A Resolução Anatel 740/2020, atualizada pela 767/2024, é a norma setorial que mais se aproxima de pedir teste: ciclos de avaliação de vulnerabilidades feitos por empresa capacitada e independente, com resultado enviado à Anatel.
O Regulamento de Segurança Cibernética aplicado ao setor de telecomunicações vale, na regra geral, para prestadoras de interesse coletivo que não são de pequeno porte. A atualização de 2024 ampliou o alcance: toda prestadora, de qualquer porte, precisa trocar a senha padrão dos equipamentos entregues em comodato e comunicar à Anatel os incidentes que também precisem ser comunicados à ANPD. O regulamento pede ciclos de avaliação de vulnerabilidades (art. 10) conduzidos por empresa capacitada e independente, com os resultados enviados à agência (art. 19). A norma não usa a palavra pentest, mas descreve exatamente o que um teste independente entrega. Para provedores regionais, os riscos mais comuns são roteador de cliente com senha padrão, sistema de gestão exposto e vazamento da base de assinantes.
O que você recebe
- Avaliação de vulnerabilidades independente do perímetro e dos sistemas de gestão
- Teste de equipamentos de cliente (CPE) e de senhas padrão
- Pentest da central do assinante, aplicativo e APIs
- Relatório técnico para envio à Anatel e plano de correção
- Reteste com evidência
O que cobrimos
Rede e perímetro
Equipamentos de borda, serviços expostos e acesso de gerência.
Equipamentos de cliente
Roteadores e ONUs em comodato, senha padrão e acesso remoto.
Sistemas de gestão
ERP do provedor, radius, sistemas de cobrança e de suporte.
Central do assinante
Portal, aplicativo e APIs com dados cadastrais e de pagamento.
Indicado para
- Prestadoras de interesse coletivo sujeitas ao regulamento
- Provedores regionais de internet de qualquer porte
- Operadoras que precisam enviar resultados de avaliação à Anatel
- Empresas que sofreram vazamento de base de assinantes
Como conduzimos
Escopo
Separamos o que é rede de clientes, gerência e sistemas corporativos.
Avaliação externa
Mapeamento e teste do que está exposto à internet.
Equipamentos e gestão
Senha padrão, acesso remoto e sistemas de gestão do provedor.
Relatório independente
Resultado no formato para envio à agência, com plano de ação.
Reteste
Confirmação das correções.
Perguntas Frequentes
A Anatel exige pentest?
O regulamento não usa essa palavra, mas pede ciclos de avaliação de vulnerabilidades feitos por empresa capacitada e independente, com resultados enviados à Anatel (arts. 10 e 19 da Resolução 740/2020). Um pentest independente atende a esse tipo de avaliação.
Provedor de pequeno porte precisa cumprir?
A regra geral exclui as prestadoras de pequeno porte, mas desde a Resolução 767/2024 todas, de qualquer porte, precisam trocar a senha padrão dos equipamentos em comodato e avisar a Anatel quando um incidente também precisar ser comunicado à ANPD.
Qual a periodicidade da avaliação?
A periodicidade é definida pelo grupo técnico de segurança cibernética da Anatel, e não está fixada no texto da resolução. Na prática, recomendamos no mínimo um ciclo por ano e após mudanças relevantes na rede.
O teste derruba a rede?
Não deve. O teste é combinado com janelas e limites, e nada que possa afetar clientes é executado sem aprovação.