Startup costuma fazer o primeiro pentest por um motivo de fora: a due diligence da rodada, o questionário de segurança de um cliente grande ou um contrato que pede relatório recente. O erro comum é contratar um escopo de empresa grande, ou um scan automático que não responde a nenhuma das duas perguntas.
A lei define startup na Lei Complementar 182/2021: receita bruta de até R$ 16 milhões no ano anterior, até dez anos de CNPJ e modelo de negócio inovador declarado ou enquadramento no Inova Simples (art. 4º). Na LGPD, a ANPD criou um regime diferenciado para agentes de tratamento de pequeno porte, que inclui startups (Resolução CD/ANPD 2/2022): dispensa de indicar encarregado, desde que haja canal com o titular, política simplificada de segurança da informação e prazos em dobro, inclusive para comunicar incidente. Sendo exato: o regime não vale para tratamento de alto risco, que combina, por exemplo, larga escala com dado sensível, dado de criança ou tecnologia inovadora (arts. 3º e 4º), e não dispensa medidas técnicas de segurança, que continuam obrigatórias (art. 12). Nenhuma dessas normas exige pentest; quem exige é o mercado. O escopo enxuto começa pelo que o investidor ou o cliente vai perguntar: o produto em produção, a API, a conta na nuvem e os segredos no repositório. SOC 2 e ISO 27001 vêm depois, quando a venda para empresas maiores pedir, e o relatório com reteste desse primeiro teste já serve de evidência para as duas.
O que você recebe
- Pentest da aplicação em produção e da API, com foco em autorização entre contas
- Revisão da conta na nuvem: permissões, armazenamento exposto e serviços abertos
- Busca de segredos em repositório, pipeline e aplicativo
- Sumário executivo e carta de atestado para investidor e cliente
- Relatório técnico com reteste, aproveitável depois em SOC 2 e ISO 27001
O que cobrimos
Produto em produção
Cadastro, login, convites, papéis e acesso a dado de outro cliente.
API e integrações
Autenticação, chaves, webhooks e dados devolvidos em excesso.
Nuvem
Permissões de IAM, armazenamento público e ambientes de teste esquecidos.
Código e segredos
Chaves em repositório, variáveis de ambiente e dependências.
Indicado para
- Startups em preparação para rodada com due diligence técnica
- Startups B2B respondendo ao primeiro questionário de segurança de cliente enterprise
- Fintechs, healthtechs e edtechs antes de lançar produto com dado sensível
- Times pequenos que querem saber o que corrigir primeiro
Como conduzimos
Conversa de escopo
Definimos o que o investidor ou o cliente vai perguntar e testamos isso primeiro.
Teste do produto e da API
Análise manual, com contas de teste em clientes diferentes.
Nuvem e segredos
Revisão da conta na nuvem e busca de chaves expostas.
Relatório e carta de atestado
Documento técnico para o time e documento curto para compartilhar.
Reteste
Confirmação das correções, que é o que a due diligence quer ver.
Perguntas Frequentes
Startup é obrigada a fazer pentest?
Não por lei, salvo quando atua em setor regulado, como fintech autorizada pelo Banco Central. A LGPD exige medidas de segurança, e o regime da ANPD para agentes de pequeno porte simplifica obrigações, mas não dispensa medidas técnicas (Resolução CD/ANPD 2/2022, art. 12). Na prática, o pentest é pedido por investidor e por cliente.
O que levar para a due diligence de segurança?
Um relatório recente de pentest feito por terceiro, a evidência de que os achados foram corrigidos e a descrição de como a empresa protege o produto e os dados. A carta de atestado resume o resultado sem expor detalhe técnico.
A startup tem regras mais leves na LGPD?
Tem, se não fizer tratamento de alto risco e respeitar o limite de receita da Lei Complementar 182. A Resolução CD/ANPD 2/2022 dispensa a indicação de encarregado, desde que haja canal com o titular, permite política simplificada de segurança e dá prazo em dobro, inclusive para comunicar incidente à ANPD e aos titulares, com exceções.
Qual o escopo mínimo que faz sentido?
O produto em produção, a API e a conta na nuvem, com foco em um cliente acessar dado de outro, que é a falha que mais pesa numa avaliação. Sistemas internos e testes de rede ficam para quando a empresa crescer.
Quando partir para SOC 2 ou ISO 27001?
Quando a venda para empresas maiores começar a pedir. As duas não usam a palavra pentest, mas pedem teste e gestão de vulnerabilidades, e o relatório com reteste do primeiro pentest já serve de evidência.
Posso mandar o relatório para o investidor?
O relatório técnico completo descreve como explorar o sistema e não deve circular. Entregamos também sumário executivo e carta de atestado, feitos para compartilhar.