Guia
Auditoria, varrimento de vulnerabilidades ou teste de intrusão: o que encomendar
Um varrimento automatizado lista falhas prováveis, uma auditoria classifica-as e diz o que corrigir, um teste de intrusão prova o que um atacante poderia fazer com elas. Eis as definições da ANSSI, o que um relatório deve conter e o que o RGPD e a ISO 27001 impõem realmente.
Atualizado a 18 de outubro de 2026 · Os números têm as fontes indicadas no fundo da página; as apreciações são da IT CyberWall.
Três serviços que se confundem
| Serviço | O que faz | O que recebe |
|---|---|---|
| Varrimento de vulnerabilidades | Uma ferramenta interroga automaticamente as suas máquinas e compara o que vê com uma base de falhas conhecidas. | Uma lista de falhas prováveis, muitas vezes longa, a triar. |
| Auditoria de segurança | Auditores examinam a sua arquitetura, as suas configurações, o seu código ou a sua organização. | Um relatório que classifica as falhas e diz o que corrigir primeiro. |
| Teste de intrusão | Auditores põem-se na pele de um atacante e verificam se uma falha é realmente explorável e com que impacto[1]. | A prova do que um atacante poderia fazer, passo a passo. |
Os cinco tipos de auditoria segundo a ANSSI
O referencial dos prestadores de auditoria qualificados (PASSI) distingue cinco atividades[1]:
- Auditoria de arquitetura: a escolha e o posicionamento dos equipamentos, as ligações à internet e a redes de terceiros.
- Auditoria de configuração: as definições dos equipamentos de rede, dos sistemas, das aplicações e dos produtos de segurança.
- Auditoria de código-fonte: as falhas no código de uma aplicação.
- Teste de intrusão: a exploração das falhas em condições reais de ataque.
- Auditoria organizacional e física: a governação, os procedimentos, a segurança das instalações.
O que o relatório deve conter
O referencial PASSI fixa o conteúdo de um relatório de auditoria[1]. É uma boa grelha para avaliar qualquer relatório:
- uma síntese compreensível por não especialistas: contexto, âmbito, falhas críticas e apreciação do nível de segurança;
- uma tabela das vulnerabilidades classificadas segundo o seu impacto e a sua facilidade de exploração;
- recomendações ligadas a cada falha, classificadas por criticidade e por custo;
- para um teste de intrusão, o desenrolar do teste e o método utilizado;
- os limites: o que não pôde ser coberto e as fases realizadas por ferramentas automáticas.
Um relatório que não passa de uma saída de ferramenta, sem síntese nem prioridades, não o ajudará a decidir.
O que a lei impõe e o que não impõe
- O RGPD exige, para os tratamentos de dados pessoais, «um processo para testar, apreciar e avaliar regularmente a eficácia das medidas» de segurança (artigo 32.º), com um nível adequado ao risco[2]. Não impõe expressamente uma auditoria nem um teste de intrusão: cabe-lhe a si escolher um procedimento proporcionado.
- A norma ISO/IEC 27001 é uma norma voluntária: é a própria empresa que decide certificar-se[3]. Não é uma obrigação legal, mesmo que um cliente a possa exigir por contrato.
- Uma qualificação PASSI só é obrigatória quando um texto ou um contrato a exige. Pode ser verificada no site da ANSSI.
Sempre uma autorização por escrito
Um teste de intrusão consiste em atacar sistemas: só se faz com o acordo por escrito do seu proprietário. O referencial PASSI prevê uma convenção assinada antes da auditoria e, para um teste de intrusão, uma ficha de autorização assinada pelo mandante, pelo auditado e pelos terceiros envolvidos (o seu fornecedor de alojamento, por exemplo), que lista os alvos, as datas e as horas[1].
O que encomendar?
| A sua situação | O que é adequado |
|---|---|
| Não sabe em que ponto está | Uma auditoria de arquitetura e de configuração, com uma síntese para a direção. |
| Quer acompanhar a evolução ao longo do tempo | Um varrimento regular, como complemento de uma auditoria, nunca em sua substituição. |
| Um site ou uma aplicação expostos na internet | Um teste de intrusão nesse âmbito. |
| Um cliente ou um concurso exige uma prova | Leia a exigência: qualificação PASSI, certificação ISO 27001 ou simples relatório de auditoria não são a mesma coisa. |
As nossas auditorias estão descritas na página Auditoria de segurança.
Não sabe o que encomendar?
Descreva o seu contexto e o que lhe pedem: dizemos-lhe que tipo de auditoria é adequado.
Fontes
Fontes consultadas a 18 de outubro de 2026. Os preços dos fornecedores são indicados sem IVA, na moeda e na região da tabela publicada, e podem mudar: confirme sempre a página oficial antes de decidir.
- ANSSI – Prestataires d’audit de la sécurité des systèmes d’information (PASSI), référentiel d’exigences v2.1-a (1 de setembro de 2023) — cyber.gouv.fr/sites/default/files/document/R%C3%A9f%C3%A9rentiel%20PASSI%20%E2%80%93%20version%202.1-a%20%E2%80%93%20sans%20marque%20de%20r%C3%A9vision.pdf
- CNIL – Règlement européen sur la protection des données, chapitre 4 (artigo 32.º) — www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
- ISO – ISO/IEC 27001, Information security management systems — www.iso.org/isoiec-27001-information-security.html