Como contratar um pentest: autorização, escopo e relatório
Guia jurídico para contratar fornecedor de pentest: poderes sobre ativos, autorização, terceiros, limites do teste, dados, relatório, aceite e reteste.
Para contratar pentest, transforme a proposta técnica em um escopo verificável: ativos, ambiente, poderes de quem autoriza, técnicas permitidas, exclusões, janela e plano de interrupção. Defina também relatório, evidências, confidencialidade e reteste. Uma assinatura genérica não autoriza testar sistemas de terceiros nem garante segurança total.
Este é um guia jurídico para a empresa que contrata um fornecedor técnico de teste de invasão. A contribuição do escritório está na contratação, nas autorizações, nos dados e nas responsabilidades. A execução e a avaliação técnica do pentest pertencem ao prestador de cibersegurança contratado.
Como comparar propostas de pentest?
No celular, deslize a tabela para ver todas as colunas.
| Questão | O que deve ficar claro | Evidência de entrega |
|---|---|---|
| Objeto e cobertura | Ativos, ambientes e objetivos delimitados. | Lista de escopo e relatório de cobertura. |
| Limites operacionais | Técnicas permitidas, exclusões e condições de interrupção. | Plano acordado e registro de execução. |
| Relatório | Conteúdo, classificação, evidências e destinatários. | Documento técnico com limitações e conclusões. |
| Correção e reteste | O que integra o preço e o que exige contratação própria. | Entrega de reteste com escopo e resultados. |
Certificações, apresentações e currículo podem ser relevantes à escolha, mas não explicam sozinhos quais sistemas serão testados nem o que será entregue. Propostas com o mesmo título podem cobrir aplicações e ambientes distintos. Peça ao responsável técnico que esclareça diferenças antes de comparar valores ou prazos.
Quem pode autorizar o teste de cada ativo?
Relacione domínio, aplicação, endereço, rede e ambiente sem depender de expressões abertas como “toda a infraestrutura”. Identifique quem controla cada ativo e os poderes do signatário. Um gestor pode representar a empresa e, ainda assim, não ter autorização para testes sobre plataforma de terceiro, infraestrutura compartilhada ou serviço contratado.
Confira regras da nuvem, hospedagem, plataforma e de terceiros envolvidos. Documente autorizações adicionais quando necessárias e exclua ativos que não estejam legitimamente abrangidos. Mudanças de endereço ou ambiente durante o projeto devem passar por revisão do escopo, em vez de serem tratadas como autorização implícita para qualquer alvo.
O art. 154-A do Código Penal, com a redação de 2021, contém elementos próprios para o crime de invasão de dispositivo informático. Não é correto chamar todo acesso não autorizado de um mesmo crime sem examiná-los. Também não é correto presumir que o contrato afasta qualquer consequência quando a execução ultrapassa a autorização válida.
Como delimitar janela, exclusões e interrupção?
Defina início e término, ambiente, contatos disponíveis e autoridade para suspender a execução. O fornecedor deve saber a quem comunicar impacto inesperado e em quais situações interromper. A retomada precisa de registro e de confirmação da condição que motivou a pausa; não deve depender de uma mensagem perdida em um grupo.
Indicar ativos e técnicas expressamente abrangidos e excluídos, com decisão do responsável técnico.
Descrever a preparação operacional combinada, inclusive contingência e restauração quando pertinentes.
Definir comunicação de achado crítico e de impacto não previsto.
Registrar alterações de escopo, janela ou equipe e quem pode autorizá-las.
A lista de atividades serve à delimitação contratual. Não transforme o guia em autorização genérica para causar indisponibilidade, acessar terceiros ou obter dados além do necessário. As condições devem corresponder ao risco da operação e aos poderes efetivamente existentes.
O que fazer com dados e evidências obtidos?
Os arts. 6º, 39 e 46 da LGPD orientam necessidade, instruções e segurança quando o teste envolve dados pessoais. A qualificação dos agentes depende da atividade real; o contrato não define sozinho quem decide as finalidades. Organize instruções, acesso restrito, canal seguro, subcontratados e destino dos registros.
Combine como comprovar achados com exposição mínima, quem poderá receber o relatório e por quanto tempo serão mantidos os dados necessários. Não coloque credenciais, documentos pessoais e conteúdo integral de bases em apresentações amplamente acessíveis. Quando for preciso preservar evidência para uma controvérsia, documente origem, integridade, acesso e guarda.
Preveja aviso rápido de incidente ao responsável do contratante. Esse prazo operacional não substitui a avaliação dos deveres legais de comunicação à autoridade e aos titulares quando cabíveis. O tratamento de incidente deve seguir o regime pertinente à operação.
Como definir relatório, aceite e reteste?
A proposta deve dizer o que o relatório conterá: ativos testados, período, cobertura, limites, achados, classificação técnica e evidências pertinentes. O aceite deve conferir a entrega contratada. Discordância sobre classificação pode exigir discussão com o responsável técnico; silêncio do contratante não deve ser usado sem exame como prova de que toda vulnerabilidade foi solucionada.
Teste, correção e reteste são etapas diferentes. Se o fornecedor apenas testa, identifique quem tratará a correção. Se houver reteste incluído, defina prazo, ativos, achados abrangidos e entrega correspondente. Um teste pontual não é garantia de ausência de vulnerabilidade futura nem auditoria irrestrita de toda a organização.
Em exemplo hipotético, o relatório cobre uma aplicação em homologação. A empresa não deve apresentá-lo como certificação de todos os ambientes de produção. A leitura do resultado deve respeitar a cobertura efetivamente contratada e executada.
Como negociar responsabilidade e encerramento?
Analise obrigações de cada parte, impactos previsíveis, cooperação, subcontratação e tratamento de danos. Uma exoneração genérica de todo prejuízo ou um teto copiado de formulário não recebe validade automática. A avaliação depende da relação, da conduta, do risco assumido e das regras aplicáveis.
No encerramento, documente entrega, pendências, revogação de acessos temporários, devolução ou destinação de dados e registros que precisem ser preservados. O termo de autorização é parte desse conjunto, não substituto do contrato de prestação. O exemplo operacional de autorização citado nas fontes é usado para visualizar campos de escopo, sem validar suas cláusulas de responsabilidade.
Para serviços continuados, compare as obrigações com o contrato SaaS. Desenvolvimento de aplicações tem outro objeto no guia de desenvolvimento de software. A análise jurídica da operação digital deve considerar essas relações quando interferirem no teste.
Perguntas frequentes
O escritório realiza o pentest técnico?
Este guia trata da contratação jurídica de fornecedor técnico. A execução e a avaliação de cibersegurança pertencem ao prestador técnico contratado; a análise jurídica organiza escopo, autorizações, dados e responsabilidades.
A assinatura do cliente autoriza testar qualquer sistema?
Não. É preciso conferir os poderes do autorizante e os ativos abrangidos, inclusive permissões de terceiros, nuvem e plataformas. A assinatura não amplia legitimamente o escopo sobre bens alheios.
Relatório de pentest garante que a empresa está segura?
Não. O relatório deve ser lido conforme ativos, período, técnicas, cobertura e limitações. Um teste pontual não garante ausência de vulnerabilidades em toda a empresa ou no futuro.
Correção e reteste estão sempre incluídos?
Não. A proposta e o contrato devem separar teste, correção e reteste, com responsáveis, condições e entregas de cada etapa.
Fontes e alcance deste guia
Referências para a edição de 30 de outubro de 2026. A aplicação exige conferir os documentos, a atividade e as regras competentes para a operação.
Documentos para uma análise jurídica
Reúna proposta técnica, lista de ativos e ambientes, contratos com terceiros e nuvem, poderes do signatário, termo de autorização, regras de execução, tratamento de dados e critérios de relatório e aceite. Indique também exigências setoriais efetivamente aplicáveis.
A análise jurídica da operação considera esses documentos, os fatos e os limites aplicáveis ao caso concreto.