A regra geral
Para sistemas que guardam dados de clientes, pagamentos ou informações sensíveis, o mercado trabalha com pelo menos um pentest por ano e um novo teste sempre que houver mudança significativa. Normas como o PCI DSS escrevem isso explicitamente; outras, como a ISO 27001, deixam a frequência para a sua avaliação de riscos.
Pentest é uma foto do momento. Um sistema que recebe atualização toda semana muda muito em um ano, e a foto antiga deixa de valer.
Os gatilhos que pedem um teste
- Lançamento de um sistema, app ou portal novo.
- Mudança grande: novo checkout, novo login, nova API pública, nova integração com parceiro.
- Migração de servidor, de nuvem ou de plataforma.
- Inclusão de IA conectada a dados da empresa (chatbots, agentes, busca interna).
- Pedido de um cliente corporativo, investidor ou seguradora.
- Auditoria ou certificação chegando (PCI DSS, ISO 27001, SOC 2).
- Depois de um incidente, para confirmar que a porta foi fechada e não existem outras.
Frequência por perfil de empresa
- Site institucional sem login: verificação passiva periódica costuma bastar; pentest quando passar a coletar dados.
- E-commerce: pentest anual da loja e do checkout, e a cada troca de plataforma ou gateway.
- SaaS: pentest anual da aplicação e da API, mais testes focados nas funcionalidades grandes ao longo do ano.
- Fintech e pagamentos: pelo menos anual, após cada mudança significativa, e o que o regulador ou a norma pedir.
- Clínicas e saúde: anual para portais do paciente e sistemas com prontuário ou exames, pois são dados sensíveis pela LGPD.
Como montar o calendário
- 01Liste os sistemas expostos à internet e os dados que cada um guarda.
- 02Defina um pentest completo anual para os mais críticos.
- 03Combine com o time de produto: mudança grande no roadmap entra com teste antes de ir ao ar.
- 04Entre um pentest e outro, use verificações automáticas para pegar regressões simples.
- 05Guarde relatórios e retestes: é o histórico que clientes e auditores pedem.