Pentest para ISO 27001, SOC 2 e LGPD: o que cada um exige e como um teste atende a todos
ISO 27001, SOC 2 e LGPD exigem pentest? O que cada um pede de fato, o que o auditor procura, como um único pentest bem escopado vira evidência para todos e os erros que invalidam o relatório.
Resumo: nem a ISO 27001 nem o SOC 2 nem a LGPD usam a frase "pentest obrigatório" — mas os três exigem que você teste e comprove a eficácia dos seus controles de segurança, e o pentest é a evidência que auditores, clientes e a ANPD mais reconhecem. O único padrão do grupo com exigência explícita e periódica é o PCI DSS (requisito 11.4). Abaixo, o que cada um pede, o que o auditor vai procurar e como um único pentest bem escopado atende a vários ao mesmo tempo.
"Precisamos de pentest para a certificação?" É uma das perguntas mais comuns de quem está em processo de ISO 27001 ou SOC 2. A resposta curta é: na letra da norma, nem sempre; na prática da auditoria e da venda, quase sempre.
ISO/IEC 27001:2022
O que a norma pede: a ISO 27001 exige gestão de riscos e controles do Anexo A proporcionais a eles. Três controles tocam diretamente em testes de segurança:
- A.8.8 — Gestão de vulnerabilidades técnicas: obter informação sobre vulnerabilidades, avaliar a exposição e tomar medidas.
- A.8.29 — Testes de segurança no desenvolvimento e na aceitação: testar a segurança de sistemas novos e alterados antes de entrarem em produção.
- A.5.35 — Revisão independente da segurança da informação.
O que o auditor procura: evidência de que vulnerabilidades são identificadas de forma sistemática além de scanners, que os achados viram tratamento de risco com dono e prazo, e que mudanças significativas são testadas. Um relatório de pentest recente, com plano de correção e reteste, atende a esses três pontos de uma vez.
Escopo recomendado: os sistemas dentro do escopo do SGSI que tratam dados sensíveis ou suportam processos críticos — normalmente a aplicação principal, as APIs e o painel administrativo.
SOC 2
O que o framework pede: o SOC 2 avalia controles contra os Trust Services Criteria do AICPA. O critério CC4.1 (monitoramento de controles) cita testes de intrusão entre as formas de avaliação separada; o CC7.1 trata de detectar vulnerabilidades e mudanças de configuração. Não há "pentest obrigatório" no texto, mas o pentest anual é o padrão de mercado e auditores de SOC 2 Type II costumam perguntar por ele.
O que o auditor procura: um pentest dentro do período de observação do Type II, conduzido por terceiro independente, com achados rastreados até a correção. Clientes que leem seu relatório SOC 2 também vão pedir o sumário executivo do pentest.
Dica prática: alinhe a data do pentest com o início do período de observação. Assim os achados são corrigidos dentro da janela e o auditor vê o ciclo completo.
LGPD
O que a lei pede: o art. 46 obriga agentes de tratamento a adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de incidentes. O art. 49 exige que os sistemas sejam estruturados para atender aos requisitos de segurança. O art. 48 obriga a comunicar incidentes relevantes à ANPD e aos titulares.
Por que o pentest importa: em fiscalização ou após um incidente, a pergunta será "quais medidas técnicas vocês tinham e como verificavam se funcionavam?". Um histórico de pentests com correções documentadas é a forma mais concreta de demonstrar diligência — e as sanções do art. 52 chegam a 2% do faturamento no Brasil, limitadas a R$ 50 milhões por infração, além da publicização da infração.
Escopo recomendado: todo sistema que trata dados pessoais em volume ou dados sensíveis, com atenção especial à autorização: a falha que mais expõe dados pessoais em aplicações é um usuário acessando registros de outro, o BOLA/IDOR.
PCI DSS 4.0 — o único com exigência explícita
O PCI DSS exige pentest interno e externo pelo menos anual e após mudanças significativas, teste de segmentação e metodologia documentada. Detalhamos em pentest para PCI DSS 4.0 e BACEN.
Um pentest, várias evidências
| Requisito | Onde o pentest entra | O que guardar |
|---|---|---|
| ISO 27001 A.8.8 / A.8.29 | identificação de vulnerabilidades e teste de mudanças | relatório, plano de tratamento, reteste |
| SOC 2 CC4.1 / CC7.1 | avaliação independente dos controles | relatório no período do Type II, tickets de correção |
| LGPD art. 46 / 49 | demonstração de medidas técnicas eficazes | relatório, correções, registro de decisões |
| PCI DSS 11.4 | exigência direta | relatório com metodologia, segmentação, reteste |
Para isso funcionar, peça ao fornecedor: escopo e metodologia descritos no relatório, severidade justificada, reteste com relatório atualizado e uma carta de atestado (attestation letter) que você possa enviar a clientes sem expor detalhes técnicos.
Erros que fazem o pentest não valer como evidência
- Relatório só de scanner. Auditores experientes reconhecem e questionam.
- Escopo que não bate com o escopo da certificação. Testar o site institucional e deixar de fora a aplicação que trata dados.
- Achados críticos sem correção nem aceite de risco formal.
- Relatório com mais de 12 meses no momento da auditoria.
- Sem reteste: você afirma que corrigiu, mas não tem como provar.
Perguntas frequentes
A ISO 27001 exige pentest?
Não com essas palavras. Ela exige gestão de vulnerabilidades técnicas e testes de segurança em sistemas novos e alterados. Na prática, o pentest é a forma mais aceita de evidenciar esses controles.
O SOC 2 exige pentest?
Os critérios citam testes de intrusão como forma de avaliação, sem torná-los obrigatórios. Mas o pentest anual é expectativa de mercado e de auditores, especialmente no Type II.
A LGPD exige pentest?
A LGPD exige medidas de segurança aptas a proteger dados pessoais. Testes periódicos são a forma mais concreta de demonstrar que essas medidas funcionam, em fiscalização ou após um incidente.
Um único pentest atende a ISO 27001, SOC 2 e LGPD?
Sim, se o escopo cobrir os sistemas relevantes para todos eles e o relatório trouxer metodologia, rastreabilidade e reteste. Veja também quanto custa um pentest e o checklist para contratar.