Soluções

Pentest SUSEP: teste de intrusão para seguradoras conforme a Circular 638

Pentest para seguradoras, entidades abertas de previdência, sociedades de capitalização e resseguradores. Testes manuais feitos por especialistas, com relatório pronto para o relatório anual de segurança cibernética, a supervisão da SUSEP e o Open Insurance.

O que é o Pentest SUSEP?

O Pentest SUSEP é um teste de intrusão planejado para o mercado de seguros. Ele simula ataques reais contra os sistemas que sustentam a operação de uma supervisionada (portal do segurado, plataforma do corretor, cotação e emissão, regulação de sinistros, APIs do Open Insurance, aplicativos e infraestrutura) e transforma o resultado em evidência regulatória. A diferença para um pentest comum está na entrega. O escopo parte dos dados relevantes e serviços relevantes definidos na sua Política de Segurança Cibernética, e o relatório é organizado para alimentar o relatório anual exigido pela Circular SUSEP 638 e responder a uma fiscalização da autarquia.

Para a SUSEP, segurança cibernética é gestão de risco operacional. O pentest é a forma mais direta de mostrar que a seguradora identifica, classifica e trata vulnerabilidades de forma proativa, e não só depois de um incidente.

[!] Scanner Automatizado 0 Critical

[!] Framework Genérico 0 Critical

Vantico Pentest 4 Critical Found

UPDATE system_logs

SET message = 'User authentication succeeded with elevated privileges after multi-factor validation',

context_json = '{"module":"auth","action":"login","mfa":true,"latency_ms":842,"source":"web"}',

severity = 'INFO',

processed_at = '2026-02-26 15:08:49'

WHERE log_id = 553210 AND environment = 'production';

SELECT u.id, u.full_name, t.reference_code, t.amount, t.status, t.created_at

O que a SUSEP exige sobre vulnerabilidades e testes de segurança

A Circular SUSEP 638/2021 está em vigor para todas as supervisionadas, dos segmentos S1 a S4. Em julho de 2026 a SUSEP publicou o Manual de Orientações sobre Segurança Cibernética, que detalha como implementar esses requisitos e estende o tema a cooperativas de seguros e administradoras de proteção patrimonial mutualista.

Os requisitos que o pentest atende (Circular 638 e Open Insurance)

A Vantico entrega o que a avaliação de segurança da SUSEP precisa ver:

Vulnerabilidades (art. 5º): identificar e reduzir vulnerabilidades de forma proativa.
Periodicidade: pelo menos uma vez por ano (obrigatório no Open Insurance).
Independência: feito por empresa especializada. Quem opera o ambiente não o testa.
Documentação: vulnerabilidades registradas, classificadas por risco e com plano de correção.
Relatório anual (art. 9º): principais vulnerabilidades e ações de tratamento, apresentados à administração.
Terceiros (art. 11): prestadores relevantes com controles equivalentes aos da seguradora.
Retenção: documentos à disposição da SUSEP por cinco anos.

UPDATE system_logs

SET message = 'User authentication succeeded with elevated privileges after multi-factor validation',

context_json = '{"module":"auth","action":"login","mfa":true,"latency_ms":842,"source":"web"}',

severity = 'INFO',

processed_at = '2026-02-26 15:08:49'

WHERE log_id = 553210 AND environment = 'production';

SELECT u.id, u.full_name, t.reference_code, t.amount, t.status, t.created_at

Todas as seguradoras estão sujeitas à Circular 638. As de S1 e S2 também participam obrigatoriamente do Open Insurance e precisam de testes de intrusão anuais nas APIs.

Entidades abertas de previdência complementar e sociedades de capitalização seguem os mesmos requisitos de segurança cibernética e relatório anual.

Ambientes com dados de cedentes, contratos e sinistros de grande porte, com exigências de terceirização e continuidade.

Operações digitais, nativas em nuvem e baseadas em API, que precisam demonstrar maturidade de segurança para obter e manter a autorização.

Nosso processo

Etapa 1 Kick-off e escopo regulatório

Etapa 2 Pentest de aplicações e APIs

Etapa 3 Infraestrutura e nuvem

Etapa 4 Terceiros e integrações

Etapa 5 Relatório e plano de ação

Etapa 6 Retest e Carta de Atestado

Perguntas frequentes

O pentest é obrigatório pela SUSEP?

A Circular SUSEP 638 não usa a palavra “pentest”, mas exige processos para identificar e reduzir vulnerabilidades de forma proativa e um relatório anual com as principais vulnerabilidades e as ações de tratamento. O pentest é a evidência técnica mais aceita para essas duas exigências. Para seguradoras que participam do Open Insurance, o Manual de Segurança do Open Insurance prevê testes de intrusão no mínimo anuais, feitos com independência.

Com que frequência uma seguradora deve fazer pentest?

No mínimo uma vez por ano, alinhado ao ciclo do relatório anual de segurança cibernética, e sempre que houver mudança relevante nos sistemas, como novo portal, nova API ou migração para a nuvem. Para participantes do Open Insurance, a periodicidade anual é um requisito expresso.

O que entra no relatório anual de segurança cibernética da Circular 638?

O art. 9º pede os incidentes relevantes com causas e efeitos, estatísticas dos incidentes, os resultados dos testes do plano de continuidade de negócios e a descrição das principais vulnerabilidades identificadas e das ações adotadas para tratá-las. O relatório do pentest e do retest alimenta diretamente esse último ponto.

A seguradora também é regulada pelo Banco Central. O mesmo pentest serve?

Em grupos com banco e seguradora, um único projeto pode cobrir os dois reguladores se o escopo e o relatório forem desenhados para isso. Veja também o nosso Pentest para BACEN, conforme as Resoluções CMN 5.274 e BCB 538.

Pronto para fortalecer sua segurança?

Agendar demonstração