Teste de invasão: como contratar sem expor dados pessoais

Sua empresa quer descobrir se alguém consegue acessar o cadastro de clientes sem permissão. O teste de invasão ajuda a responder essa pergunta, mas a contratação precisa limitar o acesso aos próprios dados avaliados. Antes de liberar o trabalho, defina o que será testado, quais provas poderão ser coletadas e quem acompanhará as correções. Este guia mostra como transformar essas decisões em uma contratação que protege a operação e a privacidade.

O que um teste de invasão deve responder

Um teste de invasão, também chamado de pentest, é uma avaliação autorizada que tenta demonstrar falhas exploráveis em sistemas. A pergunta empresarial é concreta: alguém conseguiria consultar, alterar ou retirar informações que deveria proteger? O resultado precisa relacionar a falha ao impacto possível e indicar o que corrigir. Uma lista automática de alertas, sozinha, não responde a todas essas perguntas.

O guia técnico NIST SP 800-115 aborda planejamento, execução, análise e medidas posteriores às avaliações de segurança. Ele também traz um modelo de regras para orientar a atividade antes de começar. É uma referência técnica norte-americana, usada aqui para apoiar a organização do projeto. As decisões práticas deste artigo traduzem o tema para a contratação empresarial e a proteção de dados.

Pense no portal onde seus clientes consultam pedidos. Testar apenas a tela de entrada deixa uma dúvida importante: uma conta comum consegue abrir pedidos de outro cliente? Esse objetivo ajuda a escolher o trabalho necessário e evita comprar uma avaliação que não cobre o risco esperado. A próxima decisão é delimitar onde a equipe poderá atuar.

Como definir o escopo antes de pedir propostas

Para avaliar o portal, descreva os sistemas, os perfis de usuário e os caminhos de acesso que entram no trabalho. Escopo é justamente esse conjunto de limites. Inclua os endereços dos ambientes e diferencie o sistema usado pelos clientes daquele reservado aos testes. Registre também o que ficará fora, com o motivo da exclusão.

A TOGETHER recomenda partir do mapa de dados: quais informações passam pelo portal, quem as recebe e onde ficam guardadas. O artigo sobre data mapping e adequação à LGPD explica esse levantamento. Para a contratação, use o mapa para identificar cadastros e integrações que merecem atenção. Uma conexão com o sistema de entrega pode carregar dados mesmo quando a tela principal parece simples.

Envie o mesmo escopo aos fornecedores para comparar propostas. Peça que expliquem quais acessos precisam receber, o que conseguirão demonstrar e quais limitações permanecerão. Reserve no orçamento a discussão dos resultados e a verificação das correções. Assim, o preço do teste de invasão corresponde a entregas comparáveis, e não apenas a horas de execução.

Quem autoriza e quem pode interromper o trabalho

Com o escopo definido, formalize a autorização antes de liberar acessos. Identifique quem tem autoridade sobre cada sistema e confira as condições dos serviços contratados de terceiros. Usar um portal hospedado por outra empresa não significa poder autorizar qualquer ação sobre toda a infraestrutura dela. Resolva esse limite com o fornecedor antes do início.

Recomendamos reunir compras, TI e o responsável pelo sistema para preencher um quadro como este. Ele transforma a conversa comercial em decisões verificáveis. O documento deve acompanhar a proposta aceita e estar disponível para quem executa o serviço. Mudanças relevantes precisam de novo alinhamento registrado.

Decisão	O que registrar	Quem confirma
Alvos permitidos	Sistemas, contas e ambientes incluídos	Responsável pelo sistema
Limites de execução	Ações vedadas e horário combinado	TI e área de negócio
Interrupção	Sinais de problema e contato substituto	Responsável pela operação
Dados e provas	Coleta permitida e destino dos arquivos	Privacidade e segurança
Encerramento	Entregas, correções e reteste contratado	Gestor do contrato

No portal de pedidos, por exemplo, combine que uma lentidão que prejudique compras exige pausa e contato imediato. Indique quem pode autorizar a retomada e como registrar o ocorrido. Evite depender de uma pessoa que estará de férias durante a execução. Esses acordos tornam utilizável a autorização do teste de invasão quando surge um imprevisto.

Como limitar o uso de dados reais

Depois de autorizar a atividade, escolha quais dados poderão aparecer durante a avaliação. A prioridade prática é demonstrar a falha com contas e registros criados para o projeto. No portal, cadastros fictícios permitem verificar se um usuário acessa o pedido de outro sem expor clientes. Confirme, porém, se esse ambiente reproduz as permissões que se pretende avaliar.

A LGPD, nos artigos 6º e 46, exige limitar o uso de dados ao necessário e adotar medidas de segurança. A autorização técnica não substitui a definição da regra legal que permite usar dados pessoais. Se precisar de dados reais, registre para que serão usados e identifique qual situação prevista na LGPD permite esse uso. Consulte o artigo 7º para dados comuns e o 11 para dados sensíveis, como informações de saúde.

Como regra de contratação, peça justificativa antes de qualquer cópia de registros reais. Defina uma prova mínima suficiente para confirmar o problema, sem exportar todo o cadastro. Oculte informações identificáveis nos materiais destinados à gestão. Essa escolha reduz a quantidade de pessoas expostas durante o teste de invasão e facilita o controle das entregas.

Inclua perguntas sobre o destino dos arquivos na avaliação do fornecedor. Quem terá acesso, inclusive entre subcontratados? Em que ferramenta ficarão os registros e haverá envio para outro país? Leve essas respostas ao responsável por privacidade antes de liberar o trabalho, para avaliar contratos e eventuais requisitos de transferência internacional.

O relatório também precisa de proteção

Definidos os limites da coleta, combine como os resultados circularão. Uma captura de tela pode revelar nomes, pedidos e informações que ajudam a repetir a falha. Por isso, recomendamos separar a explicação para a diretoria do material técnico necessário à correção. Cada destinatário deve receber o conteúdo que precisa para agir.

No resumo de gestão, peça a descrição do problema, seu impacto, o responsável e a prioridade de correção. No material técnico restrito, solicite elementos suficientes para a equipe localizar e confirmar o defeito. Para o portal, importa explicar qual regra de acesso falhou e em quais condições. Uma imagem cheia de dados de clientes não torna a evidência melhor.

O contrato deve esclarecer o canal de entrega, as pessoas autorizadas e o prazo de guarda dos arquivos. Inclua o destino das cópias mantidas pelo prestador e o registro do descarte ao final do período combinado. A seção 7.4 do guia NIST trata da coleta, guarda, transmissão e destruição dos dados da avaliação. Use essas etapas como pauta para discutir a proteção das evidências.

Como transformar o teste de invasão em correção e reteste

Com o relatório entregue, atribua cada problema a uma pessoa com condições de encaminhar a solução. Peça que TI explique a prioridade considerando o acesso possível e os dados envolvidos. Uma falha no portal que permita consultar pedidos alheios exige uma decisão de proteção concreta. A classificação escrita pelo fornecedor precisa ajudar essa decisão, sem substituir a avaliação da empresa.

Para organizar a entrega, recomendamos uma ficha por problema com os seguintes campos:

Identificador da falha e sistema afetado.
Impacto explicado em linguagem de negócio.
Responsável pela correção e prazo acordado.
Medida provisória enquanto a solução definitiva não chega.
Resultado da nova verificação e pendências restantes.

Combine o reteste ainda na contratação: ele é a nova avaliação do problema após a correção. Defina quais falhas serão verificadas, a janela disponível e o custo de novas rodadas. Se a solução do portal mudar a forma de acesso de todos os clientes, discuta também as funções relacionadas. O encerramento deve mostrar o que foi corrigido, o que continua aberto e quem assumiu cada pendência.

Como a TOGETHER apoia essa contratação

As decisões sobre dados precisam acompanhar as decisões técnicas desde o planejamento. Na metodologia da TOGETHER, a adequação começa pelo data mapping, o mapeamento dos dados usados pela organização. Esse levantamento orienta onde concentrar tempo e recursos, incluindo os cuidados com fornecedores. Exposições conhecidas exigem ação imediata, mesmo enquanto o mapa é completado.

A consultoria em LGPD pode apoiar a definição dos limites para dados reais e a análise das condições de compartilhamento. O DPO as a Service oferece apoio contínuo ao responsável pelas decisões de privacidade, inclusive quando surgem dúvidas durante o projeto. A execução técnica cabe à equipe especializada escolhida para o serviço. Dessa forma, o teste de invasão fica conectado à rotina de proteção de dados da empresa.

Conclusão

Contratar bem significa saber qual problema será investigado e como os dados ficarão protegidos durante esse trabalho. Comece pelo portal ou processo prioritário, identifique os dados envolvidos e registre os limites antes de comparar propostas. Inclua correção, reteste e encerramento dos acessos desde a negociação. Converse com a TOGETHER para organizar esse levantamento e os cuidados de privacidade que precisam acompanhar o contrato.

Perguntas frequentes

A LGPD exige teste de invasão anual?

A LGPD não estabelece uma frequência anual geral para esse serviço. Ela exige medidas de proteção adequadas. Defina a periodicidade conforme os riscos, as mudanças nos sistemas e as exigências específicas aplicáveis à empresa.

O teste de invasão pode usar dados de clientes?

Defina para que os dados serão usados, qual regra da LGPD permite esse uso e quais informações são realmente necessárias ao teste. Prefira dados fictícios quando forem suficientes para a avaliação. Se houver necessidade de registros reais, combine antes o acesso permitido e a proteção das evidências.

O que fazer se aparecer um problema fora do escopo?

Registre o sinal encontrado e avise o contato responsável, sem ampliar a atividade por iniciativa própria. A empresa deve avaliar a proteção imediata necessária. Uma investigação adicional depende de alinhamento e autorização específicos.

O relatório prova que todos os sistemas estão seguros?

O relatório descreve o que foi avaliado nas condições do projeto. Confira o escopo, as limitações e as pendências antes de usá-lo em decisões comerciais. Mantenha o acompanhamento das correções e das mudanças posteriores nos sistemas.