Frequência de pentest: de quanto em quanto tempo a sua empresa deve testar
O ritmo por tipo de empresa, o que PCI DSS, ISO 27001 e Banco Central pedem e quando testar fora do calendário.
Resumo rápido
O mínimo aceito pelo mercado é um pentest por ano e outro sempre que houver mudança significativa no ambiente. Para instituições reguladas pelo Banco Central, o teste de intrusão anual é obrigatório. Empresas que publicam código com frequência ou tratam dados de pagamento costumam testar a cada seis meses ou por ciclo de lançamento. Entre um pentest e outro, a varredura de vulnerabilidades mantém a vigilância.
Por que uma vez por ano pode não bastar
Um pentest mostra a segurança do ambiente no dia do teste. Depois disso, o sistema muda: entram novas funcionalidades, integrações, servidores e pessoas. Cada mudança pode abrir uma falha nova. Se o próximo teste só acontece em 12 meses, a falha pode ficar aberta por quase um ano.
Os números ajudam a ver o tamanho do risco: segundo o Verizon Data Breach Investigations Report (DBIR) 2025, a exploração de vulnerabilidades foi o ponto de entrada de cerca de 20% das violações analisadas, uma alta de 34% em relação ao relatório anterior. E o IBM Cost of a Data Breach 2025 calcula em 241 dias, em média, o tempo para identificar e conter uma violação.
Frequência recomendada por tipo de empresa
| Perfil | Frequência recomendada |
|---|---|
| Empresa com site institucional e poucos sistemas expostos | 1 vez por ano e após mudanças significativas |
| Empresa SaaS ou com aplicação própria em evolução constante | A cada 6 meses ou a cada lançamento importante |
| E-commerce e quem processa cartão (PCI DSS) | Pelo menos 1 vez por ano e após mudanças significativas; teste de segmentação a cada 6 meses para prestadores de serviço |
| Bancos, fintechs e instituições reguladas pelo Banco Central | No mínimo 1 vez por ano (exigência das Resoluções CMN 5.274 e BCB 538/2025) e após mudanças relevantes; sistemas críticos e muito expostos costumam testar a cada 6 meses |
| Saúde e empresas com grande volume de dados pessoais | 1 a 2 vezes por ano e após mudanças significativas |
O que as normas pedem
- PCI DSS (v4): pentest interno e externo pelo menos uma vez a cada 12 meses e depois de qualquer mudança significativa na infraestrutura ou na aplicação. Prestadores de serviço testam a segmentação a cada 6 meses.
- ISO 27001: não fixa um prazo. Pede que a empresa gerencie vulnerabilidades técnicas e comprove que os controles funcionam. O pentest anual é a evidência mais usada nas auditorias.
- Resolução CMN 4.893 (alterada pela CMN 5.274/2025) e Resolução BCB 538/2025 (Banco Central): as instituições reguladas precisam manter política de segurança cibernética com testes e controles proporcionais ao risco e, desde a alteração de dezembro de 2025, fazer testes de intrusão com periodicidade mínima anual, por empresa especializada independente, com resultados e planos de ação documentados. A CMN 5.274/2025 também trouxe exigências específicas para sistemas críticos como o Pix e o STR. O prazo de adaptação terminou em 1º de março de 2026.
- LGPD: não cita pentest, mas exige medidas de segurança técnicas para proteger dados pessoais. Um histórico de testes ajuda a demonstrar essas medidas à ANPD.
Quando fazer um pentest fora do calendário
- Lançamento de um sistema, aplicativo ou API nova.
- Mudança grande na autenticação, no controle de acesso ou nos pagamentos.
- Migração para a nuvem ou troca de provedor.
- Fusão, aquisição ou entrada de uma nova empresa no ambiente.
- Incidente de segurança ou suspeita de invasão.
- Pedido de cliente, investidor ou auditoria.
Entre um pentest e outro
O pentest dá profundidade, mas não é contínuo. Para não ficar sem visibilidade entre os testes, combine com:
- Varredura de vulnerabilidades semanal ou mensal. Entenda a diferença em pentest x varredura de vulnerabilidades.
- Reteste depois das correções, para confirmar que a falha fechou. No pentest da LC Sec, 1 reteste completo é gratuito em até 90 dias.
- Monitoramento da exposição externa, para saber quando um serviço novo aparece na internet.
Como definir a frequência certa para a sua empresa
- Liste os sistemas expostos na internet e os que tratam dados sensíveis.
- Veja quantas vezes por mês esses sistemas mudam.
- Confira o que contratos, clientes e normas exigem.
- Defina um calendário (anual, semestral ou por lançamento) e os gatilhos para testes extras.
- Registre tudo na política de segurança, para ter evidência na auditoria.
Se precisar de ajuda para montar esse calendário, a equipe da LC Sec define o escopo junto com você. Conheça o pentest para empresas, veja o que vem no relatório de pentest da LC Sec e quanto custa um pentest em 2026.
Perguntas frequentes
Pentest uma vez por ano é suficiente?
É o mínimo aceito por normas como o PCI DSS e o mínimo exigido pelo Banco Central das instituições reguladas, desde que haja testes extras após mudanças significativas. Para sistemas que mudam muito, o ideal é testar com mais frequência.
Qual a frequência ideal de pentest?
Depende de quanto o ambiente muda e do que é exigido no seu setor. Empresas reguladas costumam testar a cada 6 ou 12 meses e após cada mudança relevante; para as instituições reguladas pelo Banco Central, o mínimo é anual.
Preciso fazer pentest depois de uma atualização do sistema?
Se a mudança foi significativa (nova funcionalidade, nova autenticação, nova integração), sim.
O reteste conta como um novo pentest?
Não. O reteste confirma se as falhas encontradas foram corrigidas. O pentest seguinte procura falhas novas.
Empresas pequenas precisam testar com frequência?
Precisam de pelo menos um teste por ano nos sistemas expostos. O escopo pode ser menor, o que reduz o custo.
Monte o calendário de testes da sua empresa
Fale com um especialista da LC Sec e receba uma proposta de pentest com reteste incluído.
Compartilhe nas redes sociais:
