Em 2026, com o cenário de ameaças evoluindo mais rápido do que nunca, contratar um serviço de penetration testing não é mais opcional — é uma necessidade estratégica. Mas entre escolher o fornecedor certo e garantir que o teste cubra o que realmente importa, existe uma etapa crítica que a maioria das empresas subestima: o RFP (Request for Proposal).
Um RFP de pentest mal elaborado resulta em propostas incomparáveis, fornecedores errados para o seu contexto, escopo mal definido e, no fim, um teste que não serve para nada. Este guia foi desenvolvido pela equipe da Rondo Security para ajudar CISOs, CTOs e equipes de segurança a criar documentos de solicitação de proposta que atraem os melhores profissionais e garantem um engajamento de qualidade.
O que é um RFP de Pentest?
Um RFP (Request for Proposal) de penetration testing é o documento formal que sua empresa envia a fornecedores de segurança solicitando propostas para conduzir testes de invasão no seu ambiente. Ele define objetivos, escopo técnico, requisitos de qualificação, cronograma e expectativas de entrega.
Diferente de uma simples cotação de preços (RFQ) ou de uma pesquisa de mercado (RFI), o RFP é um convite para que fornecedores demonstrem como resolveriam um problema específico — o seu problema. Um bom RFP transforma o processo de contratação de uma comparação de preços em uma seleção baseada em competência técnica e alinhamento estratégico.
RFP vs. RFI vs. RFQ: qual a diferença?
RFP (Request for Proposal): Solicita propostas completas com metodologia, equipe e precificação. Use quando você quer saber como um fornecedor resolveria o seu problema.
RFI (Request for Information): Coleta informações gerais sobre capacidades do mercado. Use para pesquisa exploratória antes de definir o escopo.
RFQ (Request for Quotation): Solicita preço para um serviço já bem definido. Use quando o escopo está 100% claro e você quer apenas comparar valores.
Preparação: o que fazer antes de escrever
Um RFP eficaz começa com clareza interna. Antes de escrever uma linha, reúna as informações que os fornecedores precisarão para elaborar propostas relevantes.
1. Defina seus objetivos de segurança
Por que você está conduzindo esse teste agora? Os objetivos mais comuns incluem:
Descobrir vulnerabilidades em uma nova aplicação antes do lançamento
Atender a requisitos de conformidade (LGPD, PCI DSS, ISO 27001)
Avaliar a resistência da infraestrutura após um incidente
Validar controles de segurança implementados recentemente
Simular um ataque real para testar capacidade de detecção e resposta
2. Avalie sua postura atual de segurança
Antes de contratar um pentest, entenda o que você já conhece sobre seu ambiente: testes anteriores realizados, incidentes recentes, pontos fracos já identificados e áreas críticas de negócio. Essa autoanálise ajuda a definir prioridades no escopo e evita pagar para testar algo que você já sabe que está vulnerável.
3. Forme o time de stakeholders
Não escreva o RFP em isolamento. Inclua representantes de TI/Segurança, Desenvolvimento, Operações, Jurídico e Compliance. Cada área tem perspectivas diferentes sobre o que deve ser testado e quais restrições operacionais precisam ser respeitadas.
4. Defina o orçamento
Estabeleça um intervalo de orçamento antes de enviar o RFP. Compartilhar um intervalo (mesmo que amplo) ajuda os fornecedores a calibrar propostas e evita desperdiçar tempo de ambos os lados.
Componentes essenciais de um RFP de pentest
Contexto da empresa
Forneça contexto suficiente para que os fornecedores entendam com quem estão trabalhando: setor de atuação, porte da empresa, ambiente tecnológico (on-premises, cloud, híbrido) e quaisquer particularidades regulatórias do seu segmento.
Escopo detalhado do trabalho
O escopo é o componente mais crítico do RFP. Seja específico sobre o que está dentro e fora do teste. Liste explicitamente:
Ativos em escopo: endereços IP, domínios, aplicações web, APIs, aplicativos mobile, ambientes cloud, Active Directory
Ativos fora de escopo: sistemas de terceiros, ambientes de produção críticos que não podem sofrer interrupção
Tipo de acesso: black box (sem informações), gray box (acesso parcial) ou white box (acesso total)
Cronograma e marcos
Inclua datas específicas: início e término do teste, janelas de blackout, prazo para entrega do relatório e apresentação dos resultados. Seja realista — testes de qualidade levam tempo.
Qualificações exigidas
Defina os requisitos mínimos que o fornecedor deve atender:
Tempo mínimo de experiência em penetration testing
Certificações relevantes: OSCP, CEH, CREST, GPEN, GWAPT
Experiência no seu setor específico
Composição da equipe (seniores, especialistas por área)
Metodologias adotadas (OWASP, PTES, OSSTMM)
White Box, Gray Box ou Black Box?
White Box: Os testadores recebem acesso completo — diagramas de rede, código-fonte, credenciais administrativas. Permite análise profunda, mas não simula o ponto de vista de um atacante externo.
Gray Box: Os testadores recebem acesso parcial — credenciais de usuário, algumas informações de rede. Simula um insider com acesso limitado. Para a maioria das empresas, oferece o melhor custo-benefício.
Black Box: Os testadores não recebem nenhuma informação prévia. Simulam o ponto de vista de um atacante externo real tentando comprometer o ambiente do zero.
Entregáveis esperados
Defina claramente o que você espera receber ao final do engajamento:
Sumário executivo: Visão geral das descobertas para liderança — sem jargão técnico, focado em impacto de negócio e risco.
Relatório técnico detalhado: Documentação completa de todas as vulnerabilidades com steps-to-reproduce, evidências, severidade CVSS e mapeamento para OWASP Top 10.
Recomendações de remediação: Guidance acionável e priorizado para correção de cada vulnerabilidade.
Reteste gratuito: Verificação de que as vulnerabilidades críticas foram corrigidas. Exija isso — fornecedores sérios já oferecem.
Aspectos legais e de compliance
NDA: Exigência básica antes de qualquer discussão técnica.
Seguro de responsabilidade profissional: O fornecedor deve ter seguro de E&O e cyber liability.
Regras de engajamento: Horários de teste, impacto aceitável em sistemas produtivos, protocolo de comunicação em caso de descoberta crítica.
Proteção de dados (LGPD): Se o teste envolver acesso a dados pessoais, inclua requisitos específicos de manuseio e destruição de dados.
Como avaliar e selecionar fornecedores
Use um sistema de pontuação objetivo: compreensão dos requisitos (20%), experiência e qualificações (20%), abordagem e metodologia (20%), qualidade dos entregáveis (10%), cronograma (10%), custo-benefício (20%). Peça sempre referências de clientes anteriores e amostras anonimizadas de relatórios.
Conclusão
Na Rondo Security, recebemos dezenas de RFPs por mês. Os que resultam em engajamentos mais produtivos são sempre os que têm escopo claro, objetivos bem definidos e regras de engajamento explícitas. Se você precisar de ajuda para elaborar o RFP do seu próximo pentest ou quiser solicitar uma proposta diretamente, fale com nossa equipe.
