A LGPD exige medidas técnicas aptas a proteger dado pessoal. Não há como afirmar que uma aplicação protege dado sem testá-la — é isso que o pentest entrega.
Sendo preciso, porque muita gente vende o contrário: a LGPD não obriga contratar pentest. O artigo 46 exige que o controlador adote medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais. A palavra que importa é apta — e aptidão se demonstra testando. Uma falha de controle de acesso em que um usuário vê o cadastro de outro trocando um número na URL expõe dado pessoal independentemente de a política de privacidade estar impecável. É esse tipo de falha que procuramos, nos sistemas que efetivamente tratam dado pessoal.
O que você recebe
- Pentest focado nos sistemas que tratam dado pessoal
- Achados classificados pelo risco ao titular, não só pela severidade técnica
- Evidência técnica utilizável no seu programa de adequação
- Insumo para o relatório de impacto e para resposta à ANPD, se necessário
- Reteste após a correção
O que cobrimos
Aplicações com dado pessoal
Cadastro, área logada, formulários de coleta e integrações que trafegam dado.
Controle de acesso
Se um usuário alcança dado de outro — o achado com impacto direto no titular.
Exposição e vazamento
Dados retornados além do necessário, logs com dado pessoal, buckets abertos.
Fornecedores e integrações
Interfaces que enviam dado pessoal para operadores.
Indicado para
- Empresas em projeto de adequação que precisam da frente técnica
- Quem trata dado sensível: saúde, financeiro, dado de criança e adolescente
- Empresas que sofreram incidente e precisam demonstrar diligência
- Times que já fizeram a parte jurídica e pararam antes da técnica
Como conduzimos
Mapear onde está o dado
Identificamos quais sistemas realmente tratam dado pessoal antes de testar.
Testar o acesso
Foco em autorização e isolamento entre titulares, que é onde o impacto é direto.
Avaliar exposição
Verificamos retorno excessivo de dados, logs e armazenamento inseguro.
Relatar por risco ao titular
Priorização pensada no impacto à pessoa, que é o critério da lei.
Reteste
Confirmação de que a correção fechou a exposição.
Perguntas Frequentes
A LGPD exige pentest?
Não. O artigo 46 exige medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais — não nomeia pentest. Mas aptidão precisa ser demonstrada, e teste técnico é a forma direta de demonstrar. Quem afirma que a lei obriga pentest está vendendo, não informando.
Fiz a adequação jurídica. Ainda preciso de teste técnico?
Sim, se a empresa trata dado pessoal em sistema. Política de privacidade e contrato com operador não impedem que uma falha de autorização exponha o cadastro dos seus clientes.
O que muda se eu trato dado sensível?
A exigência de controle aumenta. Dado de saúde, financeiro ou de criança e adolescente eleva o risco ao titular e, com ele, a profundidade de teste que faz sentido.
Ajuda em caso de incidente?
Ajuda em dois momentos: reduz a chance do incidente, e demonstra diligência prévia caso ele ocorra e a ANPD questione as medidas adotadas.