Custo do teste de intrusão em 2026: preços e escopo

Resposta direta

O custo do teste de intrusão depende dos ativos, do trabalho técnico e das entregas contratadas. Para empresas no Brasil, referências publicadas por fornecedores ajudam a iniciar o orçamento, mas não substituem uma proposta para o ambiente real. Este guia apresenta valores em reais com fonte e data, explica os fatores de preço e mostra como comparar testes de aplicações, redes, APIs e nuvem. Considere relatórios, reteste e esforço de correção no custo total. Definir esses itens antes de contratar evita comparar propostas com coberturas diferentes.

Quanto custa um teste de intrusão no Brasil?

Como referência comercial, a Blaze Information Security publica uma faixa de R$ 15.000 a R$ 50.000 para avaliações básicas e informa que projetos complexos podem ultrapassar R$ 100.000. O guia de cotações da Blaze foi atualizado em 25 de maio de 2026. Esses valores são a referência divulgada por esse fornecedor, não uma média estatística calculada pela DeepStrike.

A Vantico, em seu guia de 17 de fevereiro de 2026, apresenta uma referência que começa em R$ 15.000 para escopos menores e pode superar R$ 100.000 em projetos complexos. As duas fontes mostram a importância do escopo; elas não estabelecem uma tabela nacional obrigatória nem um preço mínimo para um pentest válido.

Pesquisa realizada em 5 de setembro de 2026. A tabela reúne referências publicadas por fornecedores, com descrições de escopo diferentes. Não foram coletados contratos, notas fiscais ou uma amostra representativa de projetos concluídos. Os valores não são cotações da DeepStrike, ofertas vinculantes ou uma comparação de qualidade entre empresas.

Para transformar uma referência em orçamento, envie aos fornecedores a mesma lista de ativos, os mesmos perfis de acesso e os mesmos requisitos de entrega. Confirme moeda, tributos, condições de pagamento e validade comercial na proposta. Se receber uma cotação em dólares, avalie as condições cambiais e os custos aplicáveis à contratação; uma conversão isolada não torna dois escopos equivalentes.

O que você está contratando em um pentest?

Um teste de intrusão, também chamado de pentest ou teste de invasão, é uma avaliação autorizada que busca identificar e validar possibilidades de comprometimento dentro de um escopo. O trabalho deve produzir evidências, explicar o impacto das falhas e orientar a correção. O NIST SP 800-115 trata do planejamento, da execução e da análise de avaliações técnicas de segurança.

Ferramentas automatizadas ajudam a descobrir ativos e identificar potenciais vulnerabilidades. A análise especializada pode investigar autorização, lógica de negócio e combinações de falhas que exigem contexto. O orçamento precisa explicar quais atividades serão realizadas e como os achados serão validados; o nome comercial do serviço não resolve essa dúvida.

Nos serviços de teste de intrusão da DeepStrike, a definição do alvo e a validação técnica orientam a avaliação. Ao comparar propostas, peça um exemplo de relatório com dados sensíveis removidos e verifique se ele apresenta evidência, impacto, limitações e recomendações úteis para a equipe responsável pela correção.

Preço baixo prova que o serviço é apenas um scanner?

Não. O preço, sozinho, não demonstra a metodologia nem a qualidade do trabalho. Um escopo pequeno pode ter uma proposta menor; um serviço caro também pode deixar atividades importantes de fora. Evite usar um corte fixo em reais ou dólares como prova de que uma avaliação é legítima.

Pergunte quem executará o teste, quais acessos serão utilizados, como a análise manual será aplicada, quais limitações existem e que evidências serão entregues. Uma varredura automatizada pode ter utilidade própria. O problema é contratar esperando uma avaliação que o escopo não contempla.

Fatores que influenciam o custo do pentest

Escopo, funções e integrações

A quantidade de ativos é um ponto de partida. Também importam as funções disponíveis, os perfis de usuário, as integrações e os caminhos pelos quais dados sensíveis circulam. Duas aplicações com o mesmo número de páginas podem exigir trabalhos diferentes se uma delas tiver múltiplos clientes, permissões administrativas e operações financeiras.

Para uma aplicação web, descreva os fluxos críticos e os níveis de acesso que precisam ser avaliados. O escopo de um teste de intrusão em aplicações web (em inglês) deve identificar essas funções, além dos endereços da aplicação.

Nas interfaces de programação de aplicações, ou APIs, registre operações, mecanismos de autenticação, perfis e relações entre usuários e objetos. Em ambientes compartilhados por vários clientes, informe como os dados e as permissões de cada cliente devem permanecer separados. Contar somente os endpoints pode ocultar parte relevante do esforço.

Profundidade, evidências e tempo de trabalho

O fornecedor deve explicar a profundidade pretendida, o tempo reservado às atividades e as limitações da avaliação. Diferencie o período no calendário do esforço efetivamente dedicado ao projeto: uma janela de duas semanas não significa, por si só, dois profissionais trabalhando em tempo integral.

Para aplicações, o OWASP Web Security Testing Guide pode apoiar a definição dos testes pertinentes. Peça que a proposta identifique os recortes aplicáveis e as exclusões. Uma referência genérica a uma metodologia não informa quais funções serão examinadas.

Experiência da equipe e condições de execução

Avalie experiência no tipo de ambiente que será testado, capacidade de produzir evidências e clareza na comunicação. Certificações podem ajudar na avaliação de um profissional, mas não substituem a análise do trabalho proposto. Confirme a equipe responsável e a possibilidade de substituição durante o projeto.

Acessos indisponíveis, ambientes instáveis, janelas restritas e aprovações de terceiros podem afetar o cronograma e gerar retrabalho. Defina antes do início as regras de execução, os contatos de emergência, os limites de impacto e as condições para interromper o teste. Forneça credenciais de teste por um canal seguro, com privilégios e validade adequados ao escopo.

Black box, grey box e white box: como comparar

Esses modelos descrevem principalmente o conhecimento e o acesso disponibilizados à equipe. Eles não estabelecem uma ordem universal de preços. Mais informações podem reduzir a descoberta inicial, enquanto uma revisão de código ou arquitetura pode acrescentar trabalho especializado.

Escolha o modelo a partir da pergunta que precisa responder. Uma avaliação de acesso externo e uma análise de isolamento entre clientes podem exigir pontos de partida diferentes. O fornecedor deve justificar a abordagem e indicar o que ficará fora da cobertura.

Como o tipo de ativo muda o orçamento

Cada categoria exige informações próprias para dimensionar o trabalho. A tabela ajuda a preparar uma cotação; não atribui uma faixa universal de preço a cada tipo de sistema.

Em mobile, confirme se Android e iOS estão incluídos e como o backend compartilhado será avaliado. Um teste de aplicações móveis (em inglês) pode exigir análise específica de cada cliente, mas isso não autoriza presumir que duas plataformas sempre dobram o preço.

Na nuvem, descreva quais contas, identidades e aplicações estão autorizadas. A avaliação de segurança por teste de intrusão em nuvem, apresentada em inglês, deve ter objetivos claros. Não trate uma revisão de configuração e uma validação de caminhos de ataque como serviços automaticamente equivalentes.

Projeto pontual ou pentest recorrente?

Um projeto pontual atende a um escopo e a uma janela definidos. Um contrato recorrente pode distribuir avaliações ao longo do tempo, conforme os ativos, as mudanças e a capacidade contratada. Compare o total do período e o trabalho disponível, incluindo retestes, novos ativos e regras de agendamento.

O guia da DeepStrike sobre Penetration Testing as a Service, ou PTaaS explica esse modelo em inglês. Uma assinatura não significa capacidade ilimitada nem revisão completa de cada versão lançada. A proposta deve esclarecer os gatilhos para uma nova avaliação e o prazo para iniciar o trabalho.

No serviço de testes de intrusão contínuos da DeepStrike, também descrito em inglês, o monitoramento de mudanças pode sinalizar trabalho para testadores humanos. Confirme quais sinais estão cobertos e como eles entram no planejamento da avaliação.

Para dimensionar o investimento anual, parta dos sistemas críticos, do ritmo de mudanças e das obrigações aplicáveis. Número de funcionários, sozinho, não determina quantas aplicações precisam de teste. Uma empresa pequena pode operar um produto complexo; uma organização maior pode contratar um escopo restrito para uma finalidade específica.

Como comparar o custo total de duas propostas

A DeepStrike propõe uma comparação em três camadas: cobertura, entrega e custo total. É um roteiro editorial de contratação, não um índice de qualidade ou uma certificação. Primeiro confirme que as propostas respondem à mesma necessidade; depois examine o preço.

Para cada fornecedor, registre o preço proposto e acrescente os itens necessários que ficaram de fora: preparação específica, reteste, relatórios adicionais, deslocamento ou outras despesas previstas no contrato. Registre separadamente o esforço interno de acesso, acompanhamento e correção. Não some duas vezes um item já incluído e não presuma que todos os fornecedores cobram essas parcelas de forma separada.

Se um item obrigatório estiver sem preço, a comparação ainda está incompleta. Solicite o valor e a condição de cobrança antes de escolher. Um desconto no preço inicial pode ser irrelevante se a proposta não cobre uma função crítica ou a verificação das correções.

O que deve constar na entrega

Peça um relatório técnico com descrição das falhas, evidências suficientes, impacto, condições necessárias para exploração, recomendações e limitações. Para a gestão, defina a necessidade de um resumo executivo. O documento deve identificar o que foi testado e em que condições, para que os resultados não sejam interpretados como cobertura integral do ambiente.

No reteste, confirme quais achados poderão ser verificados, o prazo para solicitar a atividade e o tratamento de mudanças no sistema. Diferencie “corrigido e retestado”, “correção pendente” e “não retestado”. A ausência de uma nova evidência de exploração não deve ser apresentada automaticamente como validação de todas as correções.

Compliance aumenta o preço do teste de intrusão?

Requisitos adicionais podem aumentar o trabalho de preparação, documentação e validação. O orçamento deve identificar essas atividades. Uma sigla, por si só, não estabelece um preço, uma metodologia completa ou uma garantia de aprovação em auditoria.

No Brasil, o artigo 46 da Lei Geral de Proteção de Dados Pessoais, a LGPD, exige medidas técnicas e administrativas de segurança para proteger dados pessoais. Esse dispositivo não fixa um preço de pentest nem determina, por si só, um teste anual universal. Relacione a avaliação aos riscos, ao tratamento de dados e às demais obrigações aplicáveis.

No PCI DSS v4.0.1, os testes de intrusão estão na família 11.4. Os requisitos 11.4.2 e 11.4.3, na abordagem definida, estabelecem testes internos e externos ao menos a cada 12 meses e após mudanças significativas, dentro do escopo aplicável. O texto do PCI SSC, em cópia hospedada pela Middlebury, também exige qualificação e independência organizacional do testador. Confirme a aplicabilidade ao ambiente com os responsáveis pelo programa PCI.

Para tratamentos sujeitos ao regulamento europeu de proteção de dados, conhecido como GDPR, o artigo 32 aborda segurança adequada ao risco e a avaliação regular da eficácia das medidas. O texto não deve ser convertido em uma afirmação de que toda empresa precisa comprar o mesmo pentest anual.

Nos Estados Unidos, o Departamento de Saúde e Serviços Humanos (HHS) distingue a regra HIPAA vigente da proposta que inclui testes de intrusão a cada 12 meses. Uma proposta regulatória não deve ser tratada como obrigação em vigor. Para uma contratação sujeita à HIPAA, verifique a regra aplicável e a situação normativa na data do projeto.

Para ISO/IEC 27001, SOC 2 ou uma autorização federal norte-americana, peça que o responsável pelo programa identifique controles, evidências e qualificações exigidas. Não atribua automaticamente um “prêmio compliance” a todas as propostas. O custo adicional precisa corresponder a atividades descritas, e um pentest isolado não comprova conformidade integral.

Checklist de cinco passos para pedir uma cotação

1. Defina o objetivo. Registre a decisão que o teste deve apoiar: lançamento, avaliação de uma função crítica, verificação após mudanças ou evidência para um programa de conformidade.
2. Liste os ativos autorizados. Informe aplicações, APIs, redes, plataformas móveis, contas de nuvem e integrações relevantes. Identifique quais dependem de autorização de terceiros.
3. Descreva a complexidade. Inclua perfis, autenticação, fluxos críticos, tipos de dados e limites entre clientes ou ambientes. Indique o que mudou desde a última avaliação.
4. Alinhe abordagem e execução. Defina acesso inicial, documentação disponível, ambiente, janela, restrições e procedimento de interrupção. Não envie segredos em formulários públicos de cotação.
5. Compare entregas e condições. Peça esforço previsto, relatórios, reteste, suporte, exclusões, preço total e validade da proposta. Resolva diferenças de escopo antes de negociar o valor final.

Se a contratação fizer parte de um ciclo de desenvolvimento, conecte esses passos ao processo de mudanças. O material sobre testes de intrusão em DevOps, em inglês, ajuda a relacionar acesso, correção e novas versões ao planejamento da avaliação.

Como justificar o investimento sem inventar ROI

Dividir o custo médio de uma violação pelo preço de um pentest não demonstra retorno sobre o investimento. Essa razão não informa a probabilidade de um incidente no seu ambiente, a parcela de risco que o teste pode reduzir nem se as correções serão implementadas. Também não transforma uma média de empresas diferentes em perda prevista para a sua organização.

Uma justificativa mais útil descreve os ativos em risco, os cenários que precisam ser avaliados, as decisões que o relatório permitirá tomar e os recursos necessários para corrigir os achados. Quando houver estimativas financeiras internas, documente as premissas e a incerteza. Não apresente perdas hipotéticas como economias já obtidas.

Acompanhe resultados verificáveis: cobertura dos ativos previstos, achados corrigidos e retestados, limitações resolvidas e mudanças que exigem uma nova avaliação. Esses indicadores ajudam a avaliar o trabalho entregue. Eles não garantem ausência de incidentes.

Perguntas frequentes

Existe uma tabela oficial de preços de pentest?

As referências apresentadas neste guia são publicações de fornecedores. Não foi identificada, na pesquisa, uma tabela oficial nacional que determine o preço de cada escopo. Para uma decisão de compra, peça propostas comparáveis e confirme o que o valor inclui.

Posso executar o teste com uma equipe interna?

Avalie competência, disponibilidade e independência para o objetivo do trabalho. Confirme também as exigências contratuais e de conformidade aplicáveis. Na comparação financeira, inclua o tempo da equipe, as ferramentas, a revisão dos resultados e as atividades que deixarão de ser realizadas durante o projeto.

Preciso testar a produção ou posso usar homologação?

A escolha depende do objetivo e de quanto o ambiente de homologação representa a produção. Documente diferenças de configuração, integrações, permissões e dados. Quando houver testes em produção, obtenha autorização e estabeleça limites de impacto, janela e contatos responsáveis antes da execução.

Um relatório sem falhas significa que o dinheiro foi perdido?

Não necessariamente. Avalie se o trabalho cobriu o escopo contratado, se a metodologia foi adequada e se as limitações ficaram claras. Um relatório sem achados não comprova que o sistema inteiro é seguro; ele precisa ser interpretado dentro do tempo, dos acessos e das funções avaliadas.

Uma mudança durante o teste pode alterar o preço?

Pode alterar o trabalho necessário. Combine previamente como novas funções, ativos, versões ou indisponibilidades serão tratados. Solicite aprovação para qualquer alteração comercial e registre o impacto no cronograma e na cobertura antes de ampliar a execução.

Como avaliar o fornecedor além do orçamento?

Verifique experiência no seu tipo de ambiente, equipe responsável, exemplo de relatório, regras de execução, confidencialidade e apoio à remediação. O guia de empresas de testes de intrusão pode apoiar a formação de uma lista inicial. A escolha final deve considerar as evidências e o escopo da proposta recebida.

Conclusão

O custo do teste de intrusão precisa ser avaliado junto com a cobertura e os resultados contratados. Use referências de preços com fonte e data para iniciar o planejamento, preserve a mesma base de comparação entre propostas e inclua relatórios, retestes e esforço interno na decisão. Reserve também capacidade para corrigir as falhas identificadas.

Solicite à DeepStrike uma proposta de teste de intrusão com os ativos, os objetivos, os entregáveis e as condições de reteste definidos para o seu ambiente.

Sobre o autor

Mohammed Khalil é arquiteto de cibersegurança na DeepStrike, especializado em testes de penetração avançados e operações de segurança ofensiva. Com certificações como CISSP, OSCP e OSWE, ele liderou inúmeros projetos de Red Team para empresas da Fortune 500, com foco em segurança na nuvem, vulnerabilidades de aplicativos e emulação de adversários. Seu trabalho envolve a análise de cadeias de ataque complexas e o desenvolvimento de estratégias de defesa resilientes para clientes dos setores financeiro, de saúde e de tecnologia.