LGPD & Pentest: O Que a Lei Exige da Sua Segurança

Resumo:

• A LGPD exige medidas técnicas e administrativas aptas a proteger dados pessoais, cabendo à empresa avaliar riscos e definir controles proporcionais.
• O mínimo de segurança técnica inclui controle de acesso com privilégio mínimo, criptografia, monitoramento de acessos e gestão contínua de vulnerabilidades.
• O pentest é o método mais eficaz de comprovar que os controles funcionam, simulando ataques reais em vez de presumir que a aplicação é segura.
• A conformidade é um processo contínuo: mapeamento de dados, avaliação de risco, controles proporcionais, testes periódicos e resposta a incidentes precisam se manter ativos ao longo do tempo.

Quando a Lei Geral de Proteção de Dados (LGPD) entrou em vigor, muita gente a tratou como assunto exclusivo do jurídico. Política de privacidade no site, aviso de cookies e termo de consentimento pareciam resolver. Entretanto, a parte mais difícil da LGPD ainda está na infraestrutura.

A lei exige, em diversos pontos, que a empresa adote medidas de segurança capazes de proteger os dados pessoais que trata, principalmente no âmbito técnico. Ou seja, é preciso demonstrar que os controles existem, funcionam e são revisados. 

Entenda o que isso significa na rotina de quem cuida de tecnologia.

O que a lei diz sobre segurança

A LGPD estabelece que agentes de tratamento devem adotar medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração ou vazamento.

Ao usar “medidas aptas”, a lei cobra que tais abordagens sejam adequadas ao risco. Ao invés de trazer uma lista pronta de controles obrigatórios, a lei transfere para a empresa a responsabilidade de avaliar seus riscos e implementar proteções proporcionais. 

Essa flexibilidade é uma faca de dois gumes, porque dá liberdade, mas também não permite à organização se esconder atrás do argumento de que a lei não pediu algo específico.

Dados sensíveis: por que exigem tratamento diferente

A LGPD classifica alguns tipos de dados como sensíveis e impõe restrições mais rígidas ao seu tratamento. 

São eles: dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde ou vida sexual, dado genético ou biométrico.

Para dados sensíveis, a lei exige bases legais específicas e as medidas de segurança precisam ser mais robustas. 

• Bancos de dados com informações de saúde, biometria ou dados de menores precisam de controles adicionais de acesso, criptografia mais rigorosa e monitoramento mais frequente.
• O risco de uma violação envolvendo dados sensíveis é maior tanto em impacto para o titular quanto em exposição regulatória para a empresa.
• Quando o tratamento de dados sensíveis apresentar risco elevado aos titulares, a LGPD prevê a realização de Avaliação de Impacto à Proteção de Dados (RIPD): um processo formal de análise que documenta os riscos e as medidas adotadas para mitigá-los.

Para empresas do setor de saúde, RH, financeiro ou qualquer área que processe dados biométricos ou de saúde, essa camada adicional de exigência precisa ser refletida na arquitetura de segurança.

Medidas técnicas que sustentam a conformidade

Se a lei pede medidas adequadas ao risco, vale entender quais controles compõem uma base sólida. Eles formam o mínimo esperado de uma empresa que trata dados pessoais com seriedade.

Controle de acesso e princípio do menor privilégio

Cada pessoa e cada sistema deve ter acesso apenas aos dados estritamente necessários para a sua função. Contas administrativas compartilhadas, acessos que ninguém revisa e ex-colaboradores com login ativo são exatamente o tipo de falha que transforma um incidente pequeno em um grande vazamento.

Criptografia em trânsito e em repouso

Dados pessoais sensíveis devem trafegar e ser armazenados de forma cifrada. Em caso de incidente, a criptografia bem aplicada pode ser a diferença entre um susto contornável e a obrigação de notificar titulares e a autoridade nacional.

Registro e monitoramento

A empresa precisa ser capaz de saber quem acessou o quê e quando. Logs adequados são essenciais para investigar um incidente e para demonstrar diligência caso a conformidade seja questionada.

Gestão de vulnerabilidades

Sistemas mudam o tempo todo e novas falhas surgem na mesma velocidade. Manter um processo contínuo de identificação e correção de vulnerabilidades é o que evita que uma brecha conhecida há meses se torne a porta de um vazamento.

Plano de resposta a incidentes

A LGPD prevê a obrigação de comunicar incidentes de segurança à ANPD e aos titulares afetados em prazo razoável. A regulamentação vigente estabelece 3 dias úteis como prazo máximo para a notificação inicial à autoridade quando o incidente puder acarretar risco ou dano relevante aos titulares.

Essa obrigação só é cumprida com preparo prévio. Empresas que descobrem um vazamento sem um plano de resposta documentado enfrentam dois problemas ao mesmo tempo: conter o incidente e descobrir como notificar quem deve ser notificado. Ter o plano pronto reduz o tempo de resposta e demonstra diligência.

Por que o pentest se tornou peça central da LGPD

Como afirmado anteriormente, a lei exige medidas aptas a proteger os dados pessoais tratados pela empresa. É preciso implementar controles de segurança eficazes e auditáveis. A forma mais eficiente de comprovar isso é testando, seja por auditorias, simulações de ataque ou avaliações periódicas de vulnerabilidade.

O pentest coloca os controles à prova simulando o comportamento de um atacante real. Em vez de presumir que a aplicação é segura, o pentest tenta acessar dados que não deveriam estar disponíveis. Como resultado, você tem uma evidência concreta da postura de segurança.

Diante de um incidente, a autoridade nacional avalia se a empresa agiu com diligência. Demonstrar que havia um programa de testes periódicos, com falhas identificadas e corrigidas, é um argumento muito mais forte do que apenas afirmar que se levava a segurança a sério.

ANPD: o que a autoridade avalia em um incidente

Desde que a ANPD (Autoridade Nacional de Proteção de Dados) se tornou um órgão de regime especial pela Lei 15.352/2026, sua capacidade de fiscalização foi ampliada. As investigações de incidentes passaram a considerar de forma mais estruturada a postura de segurança da empresa.

Os elementos que a ANPD avalia incluem:

• Se a empresa tinha políticas de segurança formalizadas e atualizadas.
• Se havia controles técnicos proporcionais à sensibilidade dos dados tratados.
• Se os colaboradores foram treinados sobre proteção de dados.
• Se a empresa realizava testes periódicos de segurança.
• Se havia um plano de resposta a incidentes e se ele foi ativado corretamente.
• Se a notificação foi feita no prazo e com as informações exigidas.

A presença de um programa estruturado de segurança, com evidências documentadas de testes e correções, influencia diretamente a avaliação de culpabilidade e, consequentemente, o peso das sanções aplicadas.

O elo entre LGPD e o programa de segurança

Empresas que tratam a LGPD apenas como tarefa jurídica costumam descobrir, no pior momento possível, que a parte técnica ficou para trás. A verdadeira conformidade nasce da integração entre as duas áreas.

• Mapeamento de dados: saber onde os dados pessoais ficam armazenados e por onde transitam é pré-requisito para protegê-los.
• Avaliação de risco: classificar o impacto de cada base de dados orienta onde investir primeiro.
• Controles proporcionais: dados sensíveis pedem proteção mais robusta do que informações de baixo impacto.
• Testes periódicos: os sistemas e as vulnerabilidades permanecem em constante atualização, então a validação precisa ser recorrente.
• Plano de resposta a incidentes: a LGPD prevê a comunicação de incidentes, e isso exige preparo prévio.

Conformidade é processo

A conformidade é um processo contínuo, porque o ambiente muda, novos sistemas entram em produção e novas ameaças surgem.

Uma empresa que fez um único pentest há dois anos e nunca mais testou nada não está em conformidade plena, ainda que exista um documento de política de privacidade. A diligência esperada é a de quem mantém o tema vivo, com revisões e testes ao longo do tempo.

Encarar a LGPD pela ótica da infraestrutura muda a postura da empresa. Em vez de buscar o mínimo para evitar multa, a empresa passa a construir uma base de segurança que protege o negócio de verdade. E, como efeito colateral positivo, fica muito mais perto de certificações como a ISO 27001, que compartilham boa parte desses mesmos controles.

A evidência técnica é o que comprova a conformidade com a LGPD

A Vantico ajuda sua empresa a comprovar medidas de segurança adequadas com Pentest e Gestão de Vulnerabilidades.  

Agende uma conversa.

FAQ: Perguntas frequentes

A LGPD obriga a empresa a fazer pentest?

A LGPD não cita o pentest pelo nome, mas exige que a empresa adote medidas técnicas de segurança adequadas ao risco.O pentest é a forma mais concreta de demonstrar que esses controles foram testados por profissional independente. 

Em caso de incidente investigado pela ANPD, a ausência de testes periódicos de segurança é um fator que agrava a avaliação de culpabilidade da empresa.

Qual a diferença entre medidas técnicas e medidas administrativas exigidas pela LGPD?

Medidas técnicas são os controles de infraestrutura e tecnologia: criptografia, controle de acesso, monitoramento de logs, gestão de vulnerabilidades, pentest. Medidas administrativas são as políticas, processos e treinamentos que organizam o tratamento de dados, como política de privacidade, treinamento de colaboradores, contratos com operadores e plano de resposta a incidentes. A LGPD exige os dois tipos e a ANPD avalia ambos em uma investigação.

O que é RIPD e quando minha empresa precisa fazer?

RIPD é a Avaliação de Impacto à Proteção de Dados, um processo formal que documenta os riscos de uma atividade de tratamento e as medidas adotadas para mitigá-los. 

A LGPD prevê que a ANPD pode solicitar o RIPD da empresa a qualquer momento, especialmente quando o tratamento envolver dados sensíveis ou puder causar risco relevante aos titulares. Empresas que processam dados de saúde, biometria, dados de menores ou realizam tratamento em larga escala devem priorizar a elaboração do documento.

Em quanto tempo a empresa precisa notificar a ANPD após um incidente?

A regulamentação vigente estabelece 3 dias úteis como prazo máximo para a notificação inicial à ANPD, quando o incidente puder acarretar risco ou dano relevante aos titulares. Essa comunicação não precisa ser completa, podendo ser complementada posteriormente. 

O importante é acionar a autoridade dentro do prazo e contar com um plano de resposta que permita fazer isso de forma organizada.

Como comprovar à ANPD que adotei medidas técnicas adequadas?

As evidências mais aceitas incluem: relatórios de pentest com achados e plano de remediação documentado, laudos de reteste confirmando que as correções foram aplicadas, registros de gestão de vulnerabilidades com histórico de triagem e correção, logs de acesso com política de retenção definida, e política de segurança da informação atualizada. O conjunto dessas evidências forma o que a ANPD chama de “demonstração de diligência”.

Dados de saúde exigem controles diferentes dos dados comuns?

Sim. Dados de saúde são classificados como dados sensíveis pela LGPD e têm regime de proteção mais rigoroso. Além de exigir base legal específica para o tratamento, a empresa precisa adotar controles proporcionalmente mais robustos: criptografia reforçada, controle de acesso mais restritivo, monitoramento mais frequente e, em alguns casos, a elaboração de um RIPD. 

O risco regulatório em caso de vazamento de dados de saúde é significativamente maior do que em vazamentos de dados cadastrais comuns.

A LGPD se aplica a empresas pequenas da mesma forma que às grandes?

A lei se aplica a qualquer empresa que trate dados pessoais no Brasil, independentemente do porte. O que varia é a proporcionalidade dos controles exigidos: a ANPD considera o volume de dados tratados, a sensibilidade das informações e a capacidade econômica da empresa ao avaliar medidas de segurança e ao calibrar sanções. 

Isso significa que os controles das pequenas empresas precisam ser adequados ao risco real, não necessariamente idênticos aos de uma grande corporação.

Pentest e gestão de vulnerabilidades são a mesma coisa?

Não. Gestão de vulnerabilidades é um processo contínuo de identificação, triagem, priorização e correção de falhas conhecidas, geralmente apoiado por ferramentas de scan automatizado. Já o pentest é um teste pontual, conduzido por profissional humano, que simula o comportamento de um atacante real para identificar falhas que scanners não conseguem encadear. 

Os dois se complementam: a gestão de vulnerabilidades mantém o ambiente com o menor número possível de falhas conhecidas abertas e o pentest valida se os controles resistem a uma tentativa de ataque coordenada.