Pentest para SaaS e questionário enterprise (SIG, CAIS)

O questionário que trava o contrato

Você fechou a reunião, o time técnico do cliente gostou, e então chega a planilha do time de segurança deles: SIG, CAIS ou um questionário próprio de gestão de risco de terceiros, com 150 perguntas. Em algum ponto, aparece a linha que decide o ritmo do negócio: "A empresa realiza testes de intrusão independentes? Quando foi o último? Pode compartilhar o resultado?"

Quem responde "sim, fazemos" sem anexo costuma receber uma pergunta de volta. Quem responde "sim, em março, aqui está o resumo executivo com reteste" passa para a próxima linha. Este guia mostra como montar essa segunda resposta antes de o questionário chegar.

Enquanto a planilha não é respondida, o contrato fica parado. Comercial cobra, engenharia diz que "temos um pentest, só preciso achar o PDF", e o analista do cliente marca o item como pendente. A revisão de segurança costuma ser a última etapa antes da assinatura, e cada rodada de pergunta e resposta empurra a data do primeiro pagamento.

O que o time de risco do cliente realmente quer saber

O analista de risco de terceiros não vai ler o seu relatório técnico inteiro. Ele precisa marcar uma caixa defensável para o auditor interno dele. Na prática, ele procura cinco coisas:

Independência: o teste foi feito por terceiro, não pelo próprio time de desenvolvimento.
Atualidade: normalmente nos últimos 12 meses ou depois de mudança relevante no produto.
Escopo compatível: cobre a aplicação e a API que o cliente vai usar, não só o site institucional.
Tratamento dos achados: críticos e altos corrigidos e retestados.
Método: metodologia citada (OWASP WSTG, OWASP API Security, PTES, NIST SP 800-115), não só uma lista de itens.

Se o seu material responde a essas cinco perguntas em uma página, a maior parte do atrito acaba.

O que compartilhar: carta de atestação, resumo executivo ou relatório completo

Quase nunca se envia o relatório completo. Ele contém detalhes de vulnerabilidades, caminhos internos e provas de exploração. Em mãos erradas, ou no e-mail errado, vira um roteiro de ataque. O padrão de mercado são três camadas:

Documento	O que contém	Quando enviar
Carta de atestação	Quem testou, quando, escopo, metodologia, resumo de severidades, status do reteste. Uma página.	Resposta padrão a questionários e primeiro contato de due diligence
Resumo executivo	Visão geral dos riscos, contagem por severidade, correções confirmadas, limitações do teste. 2 a 4 páginas.	Clientes enterprise, pedido de segurança durante a negociação
Carta de reteste	Confirma, achado por achado, o que foi corrigido e o que segue aberto, com data.	Quando o cliente pergunta se os problemas graves foram resolvidos
Relatório completo	Achados detalhados, evidências, reprodução.	Só sob NDA e para clientes específicos com pedido formal; prefira leitura supervisionada

Duas regras práticas: nunca envie achados em aberto sem plano de correção, e mantenha uma versão do resumo sem nomes de endpoints, usuários de teste ou credenciais. Fale com o jurídico sobre o NDA antes de o pedido chegar, não durante.

Como responder a pergunta no questionário

Uma resposta que costuma passar sem pergunta de volta tem esta estrutura:

Sim, com frequência definida ("anual e a cada mudança significativa de arquitetura").
Data do último teste e quem executou (empresa independente).
Escopo: aplicação web, API, autenticação e isolamento entre clientes.
Metodologia: OWASP WSTG e OWASP API Security Top 10.
Status dos achados: críticos e altos corrigidos e retestados em data X.
Anexo: carta de atestação ou resumo executivo.

Evite respostas vagas como "realizamos testes de segurança regularmente". Evite também prometer o que o teste não cobriu: se o escopo foi só a API, diga que foi só a API.

Exemplos de resposta para adaptar

Pergunta: "A empresa realiza testes de intrusão independentes?"

Sim. Realizamos pentest independente anualmente e a cada mudança significativa de arquitetura. O último foi concluído em [mês/ano] por [empresa], cobrindo aplicação web, API, autenticação e isolamento entre clientes, conforme OWASP WSTG e OWASP API Security Top 10. Os achados críticos e altos foram corrigidos e retestados em [data]. A carta de atestação está anexa.

Pergunta: "Pode compartilhar o relatório completo?"

O relatório técnico completo contém detalhes de exploração e é compartilhado apenas sob NDA, mediante solicitação formal. Disponibilizamos carta de atestação e resumo executivo, e podemos apresentar os achados em sessão de leitura supervisionada.

Se o primeiro teste ainda não aconteceu:

Pentest independente contratado, com execução prevista para [mês]. Enviaremos a carta de atestação assim que o reteste for concluído.

Nunca invente uma data de teste que não existe. O analista pode pedir o anexo, e uma resposta honesta com prazo costuma ser mais bem aceita do que um "sim" sem prova.

Escopo de pentest para SaaS B2B

SaaS vendido para empresas tem um risco que o site institucional não tem: vários clientes dentro da mesma aplicação. Um bom escopo cobre:

Aplicação web (todas as funções autenticadas, por perfil de usuário).
API usada pelo front-end e por integrações, incluindo endpoints não documentados. Veja o guia de pentest de API.
Autenticação e sessão: login, MFA, recuperação de senha, SSO/SAML/OAuth, expiração de token.
Isolamento multi-tenant: um usuário do cliente A consegue ler ou alterar dados do cliente B? É o achado que mais assusta compradores enterprise, e o mais comum em APIs, como o BOLA.
Autorização e perfis: escalada de privilégios entre papéis (usuário comum para administrador).
Upload de arquivos, exportações, webhooks e integrações com sistemas de terceiros.
Componentes de IA, se existirem (assistentes, RAG, agentes), tratados como parte da superfície.

Pentest de infraestrutura em nuvem entra se o cliente pergunta sobre ela, mas o ponto central em SaaS é aplicação, API e isolamento entre inquilinos.

Na prática, os pontos em que SaaS B2B mais falha são previsíveis: objetos acessados por identificador sem checar o dono (BOLA/IDOR), funções de administrador acessíveis por usuários comuns, SSO com validação fraca de assertions ou tokens, uploads que aceitam conteúdo executável e exportações que vazam dados de outro cliente. Peça ao fornecedor que teste cada perfil de usuário e pelo menos duas contas de clientes diferentes, para provar o isolamento em vez de supô-lo. O painel administrativo interno também entra no escopo: é onde um erro expõe todos os inquilinos de uma vez.

Quando testar para não atrasar o contrato

O pior momento para contratar pentest é depois de receber o questionário. Um teste leva dias, o relatório mais alguns, e a correção e o reteste mais um tempo. Uma linha do tempo realista:

Antes de prospectar enterprise: faça o primeiro teste e deixe a carta de atestação pronta.
A cada 12 meses, ou depois de mudança grande (nova arquitetura de autenticação, novo módulo de pagamentos, migração de nuvem).
Quando um cliente grande pede escopo próprio: avise o fornecedor cedo, porque ajuste de escopo e janela de teste levam tempo.

Um pentest de 2023 apresentado em 2026 depois de duas migrações vira pergunta, não resposta.

O custo de adiar o teste

Compare o preço do pentest com o custo do atraso, não com zero. Cada semana de negociação parada adia receita recorrente que só começa depois da assinatura, mantém comercial e engenharia em retrabalho e dá espaço ao concorrente que já tem a resposta pronta. Não existe número universal, mas você consegue estimar com seus dados: valor anual dos três últimos contratos enterprise que travaram em segurança, multiplicado pelas semanas de atraso e dividido por 52. Coloque esse valor ao lado do orçamento do teste.

Reteste: a evidência que fecha a conversa

O analista de risco não precisa de um relatório sem falhas. Ele sabe que testes encontram problemas. O que ele quer ver é que os problemas graves foram corrigidos e verificados por quem os encontrou. Por isso o reteste importa:

Data do reteste e quais achados foram confirmados como corrigidos.
Achados residuais, com justificativa de aceite de risco ou plano de correção.
Menção no resumo executivo, não escondida no anexo.

Um resumo que mostra "3 altos encontrados, 3 corrigidos e retestados" é mais forte do que um relatório limpo sem reteste.

Como manter a evidência atual entre um teste e outro

A carta de atestação envelhece. Para ela continuar útil durante o ano:

Registre no histórico de releases as mudanças relevantes (novo módulo de pagamento, nova forma de login, migração de nuvem) e decida se cada uma pede teste complementar.
Prefira um teste dirigido ao que mudou, em vez de refazer tudo, quando a arquitetura base não mudou.
Atualize a carta com a data do último reteste sempre que houver nova rodada.
Mantenha achados residuais com dono e prazo, e revise o backlog por trimestre.
Use scanner contínuo e revisão de dependências como complemento. Eles ajudam a manter a higiene, mas não substituem o teste manual.

Como isso acelera o negócio e se liga a SOC 2 e ISO 27001

Ter carta de atestação e resumo prontos tira o time de segurança e o time comercial da fila de e-mails. Em vez de "vamos ver com o time técnico" e esperar duas semanas, a resposta sai no mesmo dia, e o analista de risco do cliente tem o que precisa para aprovar.

Pentest não substitui certificação. SOC 2 e ISO 27001 mostram que você tem processos de segurança; o pentest mostra que o produto resiste a ataque. Os dois se complementam, e vários controles de ambos pedem testes independentes periódicos. O post sobre pentest para ISO 27001, SOC 2 e LGPD detalha o que cada um exige. Se você ainda não tem certificação, um pentest recente já ajuda a passar na maior parte dos questionários.

Sobre custo, o guia de preços de pentest explica o que muda o valor. Para um SaaS com web app e API, o investimento costuma ser menor que o custo de um ciclo de vendas enterprise que emperra por falta de resposta.

Checklist: pronto para o próximo questionário

[ ] Pentest independente nos últimos 12 meses, cobrindo web app, API, autenticação e isolamento multi-tenant
[ ] Carta de atestação de uma página, revisada pelo jurídico
[ ] Resumo executivo com contagem por severidade e status de reteste
[ ] Reteste dos críticos e altos documentado com data
[ ] Texto padrão de resposta para a pergunta de pentest nos questionários
[ ] Política de NDA definida para envio de relatório completo
[ ] Calendário do próximo teste (anual ou após mudança grande)

Perguntas frequentes

Posso enviar o relatório completo de pentest para o cliente?

Pode, mas não deve ser o padrão. Prefira carta de atestação e resumo executivo. Relatório completo só sob NDA, para cliente específico e com pedido formal, de preferência em leitura supervisionada.

Meu pentest foi feito há mais de 12 meses. Ainda vale?

Muitos clientes aceitam até 12 meses e perguntam o que mudou desde então. Se houve mudança grande de arquitetura, autenticação ou nuvem, planeje novo teste ou um teste complementar do que mudou.

Preciso de SOC 2 ou ISO 27001 para vender para enterprise?

Não necessariamente. Muitos clientes aceitam pentest recente, políticas documentadas e respostas consistentes ao questionário. A certificação ajuda quando o cliente a exige em contrato.

Scanner automático serve como evidência?

Em geral não. Quem avalia sabe diferenciar scan de teste manual. Veja a diferença em scanner, pentest ou bug bounty.

Quanto tempo leva para ter o resumo executivo pronto?

Depende do escopo. Combine com o fornecedor, desde o início, o formato da carta de atestação e do resumo executivo, para que eles saiam junto com o relatório e o reteste.

Quem assina a carta de atestação?

A empresa que executou o teste, com data, escopo, metodologia e status do reteste. O jurídico da sua empresa deve revisar o texto antes do primeiro envio.

O teste deve ser feito em produção ou em homologação?

O ideal é um ambiente equivalente à produção, com dados fictícios, ou produção com janela combinada e salvaguardas. A carta deve dizer qual ambiente foi testado, porque o analista de risco vai perguntar.

O cliente pode exigir testar o nosso produto por conta própria?

Alguns pedem. Costuma funcionar definir no contrato janela, escopo, contas de teste e proibição de negação de serviço, e oferecer o relatório independente como alternativa.

Prepare sua resposta antes do próximo questionário

A Pentest Machine entrega pentest para SaaS com relatório pronto para cliente enterprise: carta de atestação, resumo executivo, relatório técnico completo e reteste dos achados corrigidos. Defina o escopo conosco antes de o questionário chegar. Solicite um orçamento.