Pentest para SaaS e empresas de tecnologia
Produtos SaaS B2B concentram dados de dezenas ou centenas de empresas clientes. Uma falha de isolamento entre tenants pode expor dados de todos os clientes simultaneamente. O pentest para SaaS é focado nos riscos específicos da arquitetura multi-tenant e nas exigências de conformidade dos compradores corporativos.
O que testamos em produtos SaaS
Isolamento entre tenants
Verificação se um usuário ou administrador de um tenant consegue acessar, modificar ou enumerar dados de outro tenant. A falha de tenant isolation é a vulnerabilidade mais crítica em SaaS.
Autorização baseada em papéis
Testes de RBAC: se usuários com papel de viewer conseguem executar ações de admin, se contas gratuitas acessam funcionalidades pagas, se ex-funcionários de clientes perdem acesso.
APIs e integrações
Segurança de API keys, webhooks, integrações com terceiros (Zapier, Make, Slack, etc.), endpoints de importação/exportação e APIs públicas documentadas.
Gestão de conta e acesso
Fluxos de convite, SSO/SAML, self-service de redefinição de senha, sessões de longa duração, tokens de API e impersonation de usuário por suporte.
Infraestrutura cloud
Configurações AWS/GCP/Azure: permissões IAM excessivas, buckets S3 públicos, secrets em variáveis de ambiente, configurações de banco de dados e segmentação de rede.
Conformidade SOC 2
Mapeamento de achados para Trust Services Criteria CC6, CC7 e C1. Relatório formatado para auditores AICPA durante processo de certificação SOC 2 Type I ou Type II.
Pentest como acelerador de vendas enterprise
Compradores enterprise exigem cada vez mais evidências de segurança antes de fechar contratos com SaaS B2B. Security questionnaires, SOC 2 reports e resultados de pentest são avaliados pelo time de segurança dos clientes corporativos durante o processo de procurement.
Um relatório de pentest recente com achados corrigidos e documentados é evidência direta de maturidade de segurança. Ele responde a dezenas de perguntas de security questionnaires de uma vez e acelera ciclos de vendas que de outra forma travariam por semanas em revisão de segurança.
Regulações exigidas por clientes corporativos de SaaS
Empresas SaaS B2B recebem security questionnaires de clientes que exigem evidências de compliance. O pentest responde a essas exigências com documentação auditável.
SOC 2 Type II
O principal requisito de segurança para SaaS no mercado enterprise. O pentest é evidência direta para auditores AICPA.
ISO 27001
Certificação internacional exigida por clientes europeus e enterprise. O pentest cobre o controle A.12.6.
LGPD
SaaS que processa dados pessoais de clientes brasileiros precisa de medidas técnicas documentadas (art. 46).
Pentest para seu produto SaaS
Relatório que responde security questionnaires e suporta certificação SOC 2 Type II.
Solicitar orçamento