Quando uma startup em crescimento deve fazer teste de intrusão, quanto custa (R$ 5 mil a R$ 15 mil por alvo) e como escolher a empresa certa em São Paulo.
Faça o primeiro teste de intrusão antes de vender para clientes enterprise, antes de uma due diligence de investimento e antes de lançar produto com dados sensíveis. Na LC Sec, em São Paulo, custa de R$ 5 mil a R$ 15 mil por alvo; o primeiro pentest de uma startup costuma ter 1 ou 2 alvos.
Quando uma startup deve fazer teste de intrusão? Antes de vender para clientes enterprise que enviam questionário de segurança, antes de uma rodada de investimento com due diligence técnica, antes de lançar um produto que trata dados pessoais, financeiros ou de saúde e depois de mudanças grandes na arquitetura. Na LC Sec, empresa de cibersegurança com sede em São Paulo, o teste de intrusão (pentest) custa R$ 5 mil a R$ 15 mil por alvo. O primeiro pentest de uma startup costuma ter 1 ou 2 alvos, como a aplicação principal e a API, ficando entre R$ 5 mil e R$ 30 mil, com execução típica de 5 a 15 dias úteis e 1 reteste completo gratuito por frente em até 90 dias.
Este artigo trata só da decisão de contratar o teste: quando, quanto e com quem. Para os controles básicos que uma startup deve ter antes disso, veja segurança cibernética para startups na prática.
O melhor momento é o que antecede uma decisão de negócio que depende de confiança na sua segurança. Os gatilhos mais comuns são:
Se você não sabe nem o que está exposto na internet, comece pelo diagnóstico gratuito: ele lista o que o seu domínio expõe e ajuda a definir os alvos do teste.
O escopo acompanha o estágio da empresa. Em linhas gerais:
Para startups SaaS e software houses, a frente mais crítica costuma ser o controle de acesso multiperfil e multi-tenant: garantir que um cliente não acessa, nem por manipulação de requisição, os dados de outro. A página de cibersegurança para software house detalha esse cenário.
Na LC Sec, o teste de intrusão custa de R$ 5 mil a R$ 15 mil por alvo. Alvo é uma aplicação web, uma API, um app mobile ou um ambiente (externo, interno ou em nuvem). O orçamento é a soma dos alvos:
| Estágio | Alvos típicos | Faixa (LC Sec) |
|---|---|---|
| MVP, primeiro cliente enterprise | 1 alvo: aplicação principal | R$ 5 mil a R$ 15 mil |
| Tração | 2 alvos: aplicação e API, ou aplicação e ambiente externo | R$ 10 mil a R$ 30 mil |
| Escala | 3 alvos: aplicação, ambiente externo e nuvem ou app mobile | R$ 15 mil a R$ 45 mil |
Valores de referência da LC Sec por alvo; o preço final sai em proposta fechada, após a reunião de escopo. Cada frente inclui 1 reteste completo gratuito em até 90 dias.
Startups que lançam com frequência tendem a ganhar mais com a gestão contínua de vulnerabilidades, vendida por pacote de pentest: você escolhe os alvos e quantos ciclos de teste quer no ano, e cada achado é acompanhado até o reteste confirmar a correção. Os fatores que mudam o preço estão em quanto custa um pentest e na tabela de escopo, prazo e reteste.
Mais perguntas para levar à contratação estão em como escolher uma empresa de pentest confiável e, para outros segmentos, em pentest empresarial em São Paulo.
O relatório só ajuda o negócio quando vira correção e evidência. Depois do teste, a startup deve priorizar as correções pela severidade e pelo impacto, fazer o reteste e guardar um documento de encerramento que diga o que foi testado, quando, por qual metodologia e o que foi corrigido. Esse documento responde boa parte dos questionários de segurança de clientes e da due diligence de investidores, sem expor detalhes técnicos que devem ficar sob confidencialidade.
Na LC Sec, o pentest é conduzido sob responsabilidade de Luiz Claudio, fundador, com 12 anos de experiência em segurança em ambientes críticos dos setores financeiro, saúde e tecnologia. Cada projeto tem reunião de leitura do relatório, 1 reteste completo gratuito por frente em até 90 dias e documento de encerramento.
Leia também: Pentest para fintechs em São Paulo: como escolher (BACEN, Open Finance e Pix)
Sim. Teste de intrusão é o nome em português de pentest (penetration test): um ataque controlado e autorizado aos sistemas da empresa para encontrar falhas exploráveis antes de um invasor.
Na LC Sec, de R$ 5 mil a R$ 15 mil por alvo. O primeiro teste de uma startup costuma ter 1 alvo (aplicação principal, R$ 5 mil a R$ 15 mil) ou 2 alvos (aplicação e API ou ambiente externo, R$ 10 mil a R$ 30 mil), com 1 reteste gratuito por frente em até 90 dias.
Sim. O scanner encontra vulnerabilidades conhecidas, mas não confirma se a falha é explorável nem testa lógica de negócio e autorização entre contas, que costumam ser os riscos mais graves em produtos SaaS. Os dois se complementam.
No mínimo uma vez por ano e sempre antes de lançamentos relevantes ou depois de mudanças grandes na arquitetura. Startups que lançam com frequência costumam contratar um pacote de pentest com ciclos ao longo do ano.
Depende do quanto o staging reproduz a produção. Quando é equivalente, boa parte dos testes pode rodar nele; quando não é, testa-se a produção com regras de engajamento, janelas combinadas e contas de teste para não afetar clientes.
O recomendado é enviar o resumo executivo ou o documento de encerramento após o reteste, que mostram escopo, metodologia e o que foi corrigido. A parte técnica, com detalhes de exploração, deve ficar sob acordo de confidencialidade.
Descubra o que a sua startup expõe na internet com o diagnóstico gratuito ou conheça o pentest da LC Sec: preço por alvo, relatório para clientes e investidores e reteste incluso.
Conteúdos relacionados: segurança cibernética para startups, varredura externa versus pentest, como escolher uma empresa de pentest e guia de segurança para fintechs em crescimento.