Testes de intrusão para ISO 27001, SOC 2 e RGPD: o que cada um exige
A ISO 27001, o SOC 2 e o RGPD exigem testes de intrusão? O que cada um pede, o que o auditor procura e como um único teste bem delimitado serve de evidência para todos.
Resumo: nem a ISO 27001, nem o SOC 2, nem o RGPD dizem "teste de intrusão obrigatório" — mas os três exigem que teste e comprove a eficácia dos seus controlos de segurança, e o pentest é a evidência que auditores, clientes e a CNPD mais reconhecem. O RGPD é até explícito: o artigo 32.º, n.º 1, alínea d) pede "um processo para testar, apreciar e avaliar regularmente a eficácia das medidas técnicas e organizativas". O único padrão com exigência direta e periódica de pentest é o PCI DSS (requisito 11.4).
ISO/IEC 27001:2022
O que a norma pede: gestão de riscos e controlos do Anexo A proporcionais. Três controlos tocam diretamente em testes de segurança:
- A.8.8 — Gestão de vulnerabilidades técnicas.
- A.8.29 — Testes de segurança no desenvolvimento e na aceitação de sistemas novos e alterados.
- A.5.35 — Revisão independente da segurança da informação.
O que o auditor procura: evidência de que as vulnerabilidades são identificadas de forma sistemática para além de scanners, de que os achados se tornam tratamento de risco com responsável e prazo, e de que as alterações significativas são testadas. Um relatório recente, com plano de correção e reteste, cobre os três pontos.
SOC 2
O SOC 2 avalia controlos face aos Trust Services Criteria do AICPA. O critério CC4.1 refere os testes de intrusão entre as formas de avaliação separada; o CC7.1 trata da deteção de vulnerabilidades. Não há obrigação textual, mas o pentest anual é o padrão de mercado, e os auditores de SOC 2 Type II perguntam por ele. Dica: alinhe a data do teste com o início do período de observação para que as correções aconteçam dentro da janela.
RGPD
O que o regulamento pede: o artigo 32.º obriga a medidas técnicas e organizativas adequadas ao risco e inclui, expressamente, um processo para testar e avaliar regularmente a sua eficácia. O artigo 25.º (proteção de dados desde a conceção) e os artigos 33.º e 34.º (notificação de violações à autoridade e aos titulares) completam o quadro.
Porque o pentest importa: após uma violação, a pergunta da CNPD será "que medidas tinham e como verificavam que funcionavam?". As coimas por violação do artigo 32.º chegam a 10 milhões de euros ou 2% do volume de negócios anual mundial, e a 20 milhões ou 4% nas infrações mais graves do regulamento.
Âmbito recomendado: todos os sistemas que tratam dados pessoais em volume ou categorias especiais de dados, com atenção à autorização — a falha que mais expõe dados pessoais é um utilizador aceder a registos de outro, o BOLA/IDOR.
PCI DSS 4.0
Exige pentest interno e externo pelo menos anual e após alterações significativas, teste de segmentação e metodologia documentada. Veja o que o auditor espera do relatório no PCI DSS 4.0. Para o setor financeiro e entidades essenciais, junte-se a isto o DORA e a NIS2.
Um teste, várias evidências
| Requisito | Onde o pentest entra | O que guardar |
|---|---|---|
| ISO 27001 A.8.8 / A.8.29 | identificação de vulnerabilidades e teste de alterações | relatório, plano de tratamento, reteste |
| SOC 2 CC4.1 / CC7.1 | avaliação independente dos controlos | relatório no período Type II, tickets de correção |
| RGPD art.º 32.º | teste regular da eficácia das medidas | relatório, correções, registo de decisões |
| PCI DSS 11.4 | exigência direta | relatório com metodologia, segmentação, reteste |
Peça ao fornecedor: âmbito e metodologia descritos no relatório, severidade justificada, reteste com relatório atualizado e uma declaração (attestation letter) que possa enviar a clientes sem expor detalhes técnicos.
Erros que fazem o pentest não valer como evidência
- Relatório só de scanner.
- Âmbito que não coincide com o da certificação.
- Achados críticos sem correção nem aceitação formal de risco.
- Relatório com mais de 12 meses à data da auditoria.
- Sem reteste.
Perguntas frequentes
A ISO 27001 obriga a fazer testes de intrusão?
Não com essas palavras, mas exige gestão de vulnerabilidades técnicas e testes de segurança a sistemas novos e alterados. O pentest é a forma mais aceite de o evidenciar.
O RGPD exige testes de intrusão?
O artigo 32.º exige um processo para testar e avaliar regularmente a eficácia das medidas de segurança. O teste de intrusão é a forma mais direta de cumprir e demonstrar esse requisito para aplicações que tratam dados pessoais.
Um único teste serve para ISO 27001, SOC 2 e RGPD?
Sim, se o âmbito cobrir os sistemas relevantes e o relatório tiver metodologia, rastreabilidade e reteste. Veja também quanto custa um teste de intrusão.