Pentest anual ou teste de intrusão contínuo? O que o deploy de amanhã faz com o laudo de ontem
A Resolução BCB 538 e a CMN 5.274 colocaram o teste de intrusão anual como obrigação regulatória para boa parte do sistema financeiro brasileiro. É um avanço — e é também o ponto onde muita instituição vai errar a leitura: mínimo regulatório não é sinônimo de suficiente operacional. Este artigo explica a diferença entre o pentest pontual e o teste contínuo, quando cada um faz sentido e como decidir sem gastar errado.
O pentest pontual é uma fotografia
Um teste de intrusão tradicional funciona assim: define-se o escopo, uma equipe testa por algumas semanas, sai um relatório, corrige-se o que dá, arquiva-se o laudo. No dia em que termina, ele descreve fielmente o ambiente daquele dia.
O problema é que o ambiente não para naquele dia. Cada deploy muda a aplicação. Cada API nova é superfície nova. Cada subdomínio esquecido, cada porta aberta para um teste "temporário", cada dependência atualizada às pressas — tudo isso acontece depois da fotografia. Em uma operação que sobe código toda semana, o laudo de janeiro descreve um sistema que não existe mais em março.
A pergunta que resume o problema não é "vocês fazem pentest?". É: "o que mudou no seu ambiente desde o último — e quem testou o que mudou?"
O que "contínuo" significa na prática
Teste de intrusão contínuo não é rodar o mesmo scan todo dia. É um ciclo permanente com três componentes:
1. Descoberta contínua da superfície (EASM). Antes de testar, saber o que está exposto: subdomínios, portas, APIs, painéis administrativos, certificados — incluindo o que ninguém lembrava que existia. Você não pode proteger o que não sabe que está exposto, e a superfície de hoje não é a de ontem.
2. Teste recorrente do que importa. Não só CVEs conhecidas: lógica de negócio, controle de acesso, abuso de função em API. As invasões recentes no sistema financeiro brasileiro não começaram com exploit sofisticado — começaram com API de integração aceitando chamada que não deveria e credencial de operador comprometida.
3. Reteste e evidência. Corrigiu? Reteste imediato, não no ano que vem. Cada achado vira registro: vulnerabilidade → plano de ação → correção → reteste → evidência. É exatamente a esteira que a norma exige documentada — e é o que transforma segurança em algo auditável.
Quando o pontual basta — e quando não
Sejamos honestos: nem toda operação precisa de teste contínuo.
O pentest pontual (anual ou por evento) tende a bastar quando: o ambiente muda pouco (poucos deploys, escopo estável), não há exposição crítica à internet além de canais bem controlados, e a exigência é um checkpoint formal — uma certificação, um contrato, o mínimo da norma.
O contínuo se paga quando: você faz deploy com frequência; sua operação executa ações críticas (movimentar dinheiro, liberar crédito, disparar comunicação, alterar permissão); sua superfície inclui APIs de integração com terceiros; ou o custo de descobrir uma falha pelo incidente é inaceitável — reputacional ou regulatório. No setor financeiro pós-538, com o BC declarando que vai cruzar as respostas do questionário com o monitoramento cotidiano, a segunda lista descreve quase todo mundo.
Há ainda o meio-termo pragmático: manter o pentest anual independente como âncora regulatória e adicionar descoberta de superfície + reteste contínuos por cima. O laudo anual atesta; o ciclo contínuo garante que o atestado continua verdadeiro no deploy seguinte.
Quatro perguntas para decidir
- Quantas mudanças relevantes (deploys, integrações, novos serviços) o ambiente sofre entre um pentest e outro?
- Se uma credencial de operador vazar hoje, quem descobre primeiro — vocês ou o atacante?
- Os controles que você reporta à diretoria (WAF, SIEM, MFA) já foram testados sob ataque simulado, ou existem só no slide?
- Se o regulador pedir amanhã a evidência do último teste e do que foi corrigido desde então, quanto tempo você leva para responder?
Se as respostas incomodaram, o problema não é o seu pentest anual — é o intervalo entre eles.
Onde o Defender360 entra
O Defender360 Security AI faz o ciclo completo de forma contínua: descoberta de superfície, teste de intrusão orquestrado por IA sobre aplicação e APIs, reteste após correção e a trilha documental pronta para auditoria e supervisão — cobrindo o requisito anual da norma e, principalmente, os 364 dias entre um laudo e outro. Conheça o Security AI ou leia o guia da BCB 538.
Fontes
Teste contínuo de intrusão com evidência técnica para o regulador.
Conhecer o Security IA