Pentest para o seu relatório SOC 2
O SOC 2 mede seus controles pelos Trust Services Criteria do AICPA, e o pentest é a evidência técnica que o auditor espera para mostrar que esses controles resistem a um ataque real. A Strike testa de forma contínua com IA e validação humana especializada, durante todo o seu período de observação. A Strike apoia a auditoria; quem emite o relatório é a sua firma de CPA.
Feito para o período de observação do Type II
Times de SaaS e fintech cujo negócio enterprise está parado esperando um relatório que a área de compras do prospect já exigiu.
Organizações dentro de uma janela de Type II que precisam de evidência datada do período inteiro, e não de um relatório na borda dele.
Times que querem um único programa de teste alimentando SOC 2, ISO 27001 e PCI DSS, em vez de três contratações desconectadas.
O que o SOC 2 pede — e onde entra o pentest
SOC 2 não é uma certificação. É um relatório de asseguração, escrito e assinado por uma firma de CPA licenciada, sobre como seus controles se mapeiam aos Trust Services Criteria do AICPA — os critérios de 2017, ainda vigentes, com seus pontos de foco revisados em 2022. Em nenhum lugar desses critérios o pentest é nomeado como controle obrigatório. Ele aparece uma única vez, como um entre vários tipos de avaliação que a gestão pode executar. Essa única menção é a razão pela qual quase toda auditoria SOC 2 inclui um mesmo assim. Fonte: AICPA, 2017 Trust Services Criteria (with revised points of focus – 2022) (acessado em 28 de julho de 2026).
Um relatório Type I descreve se seus controles estão adequadamente desenhados em uma data específica. Um Type II diz se eles operaram de forma eficaz ao longo de um período de observação, normalmente de três a doze meses. Para um Type I, um relatório de teste recente costuma bastar. No Type II o auditor está amostrando uma janela — e um único teste datado quatro semanas antes de essa janela abrir não diz nada sobre os meses seguintes.
CC4.1 — Atividades de monitoramento. Espera-se que a gestão execute avaliações contínuas e separadas confirmando que o controle interno está presente e funcionando. Os pontos de foco listam as opções: auditoria interna, avaliações de conformidade, varreduras de vulnerabilidade, avaliações de segurança e pentest. É um cardápio, não uma obrigação — e o pentest é o item desse cardápio que o auditor reconhece mais rápido. Fonte: AICPA, 2017 Trust Services Criteria (with revised points of focus – 2022) (acessado em 28 de julho de 2026).
CC7.1 — Detecção. Você precisa detectar mudanças de configuração que introduzam novas vulnerabilidades e identificar as recém-descobertas nos seus componentes. A varredura cumpre a letra da exigência. O teste que encadeia achados até um exploit funcionando é o que mostra quais dessas vulnerabilidades realmente importam.
Dependendo do seu escopo, os critérios de controle de acesso do CC6 e os de incidentes do CC7.2 também se apoiam em evidência de teste: controles que resistem a tentativas reais de burlá-los, e anomalias que são detectadas em vez de apenas registradas.
No Brasil, a maioria dos programas de SOC 2 não começa por uma meta de segurança. Começa porque um prospect enterprise nos Estados Unidos não assina sem o relatório: a fintech, o SaaS ou a empresa de meios de pagamento que quer vender lá fora descobre que o SOC 2 é a porta de entrada. É esse prazo que acaba definindo a decisão de teste: contrata-se o teste mais barato que tapa o buraco, chega um PDF, e no Type II aparece que o auditor queria evidência do período inteiro, e não um documento com uma data só.
Escopo e metodologia, as qualificações de quem testou, cada achado com sua severidade, a data em que foi corrigido e a evidência de que a correção foi reavaliada e se manteve. No Type II as datas importam mais do que qualquer outra coisa: o auditor está checando se a sua evidência cobre a janela de observação, e não apenas as bordas dela.
A Strike não emite relatórios SOC 2 e nunca vai emitir — só uma firma de contadores públicos licenciada pode. O que a Strike entrega é a evidência técnica por trás deles: pentest contínuo executado por IA com validação humana especializada antes da entrega ao cliente, reteste cuja disponibilidade depende do escopo contratado, e uma trilha de evidência com datas que percorre todo o seu período de observação, em vez de parar depois de uma única contratação.
Métrica reportada pela Strike nesta página: 97% de precisão / 3% de falsos positivos. É um número que a Strike reporta sobre a própria plataforma, não um benchmark de terceiros; o escopo, a definição e as datas de medição estão em como medimos os resultados.
O SOC 2 exige pentest?
De certa forma. O SOC 2 não exige explicitamente a realização de testes de penetração nos Critérios de Serviços de Confiança da AICPA. No entanto, como critérios como o CC4.1 — atividades de monitoramento — e o CC7.1 — identificação de vulnerabilidades — exigem que os controles sejam testados e monitorados, os auditores quase universalmente esperam um teste de penetração anual realizado por terceiros como evidência padrão.
Vale começar pelo que um relatório SOC 2 é. É uma atestação, escrita e assinada por uma firma de contadores públicos licenciada, sobre como os controles de uma organização se alinham aos Trust Services Criteria da AICPA. Não é uma certificação e não existe certificado SOC 2. O que se recebe é a opinião dessa firma, a descrição do sistema e os testes que ela executou.
Onde o pentest entra é uma pergunta diferente de se ele está citado. Ele é amplamente aceito como evidência de auditoria. Isso é uma afirmação sobre a prática, e não sobre obrigação: o auditor reconhece um relatório de teste rapidamente, quem lê o relatório espera encontrá-lo, e ele é o artefato que mostra com mais clareza um controle resistindo a um ataque. Nada disso o transforma em requisito citado.
O que não conseguimos verificar, sem rodeio. Se os Trust Services Criteria citam o pentest no nível de critério: não encontrado nos materiais públicos revisados em 29 de julho de 2026. Quais critérios específicos o referenciam: não encontrado nos materiais públicos revisados em 29 de julho de 2026. Não vamos citar números de critério que não conseguimos ler em uma fonte pública — e vale ler com alguma cautela a página de fornecedor que cita.
Como usar isso quando o auditor pede. Vale perguntar em que o pedido se apoia: nas suas próprias descrições de controle, ou em um critério que o auditor consiga apontar. De um jeito ou de outro, a evidência a produzir é a mesma: escopo, método, competência de quem testou, achados com severidade, datas de remediação e prova de que a correção se sustentou, com datas dentro do período de observação. A Strike apoia esse programa; não emite relatórios SOC 2.
Fonte: AICPA & CIMA, SOC 2 (audit and assurance), acessado em 29 de julho de 2026. A Strike apoia programas de auditoria e conformidade; relatórios SOC 2 são emitidos por uma firma de contadores públicos licenciada depois do exame dela.
SOC 2 e pentest, em perguntas
O SOC 2 exige pentest?
Não. Os Trust Services Criteria nunca listam o pentest como controle obrigatório. Ele aparece como um dos exemplos de avaliações que a gestão pode executar sob o CC4.1, junto com varreduras de vulnerabilidade, auditoria interna e avaliações de conformidade. Na prática a maioria dos auditores pede, e a maioria dos compradores que lê o seu relatório espera ver. Fonte: AICPA, 2017 Trust Services Criteria (with revised points of focus – 2022) (acessado em 28 de julho de 2026); o download deste documento exige uma conta gratuita na AICPA.
Type I ou Type II — o que muda para o teste?
O Type I examina o desenho dos controles em uma única data, então um relatório de teste recente costuma bastar. O Type II examina a eficácia operacional ao longo de três a doze meses, então o auditor quer evidência distribuída nessa janela. É exatamente aí que o teste anual começa a ficar curto e o teste contínuo começa a se pagar.
Que evidência eu entrego ao auditor?
O relatório, mais escopo, metodologia, qualificações dos testadores, severidades, datas de remediação e evidência do reteste. Se seus achados aparecem corrigidos e reverificados com datas dentro do período de observação, a conversa é curta.
Quando vale testar?
Antes de a janela de observação abrir, se você vai para um Type II, e depois continuamente ao longo dela. Testar só no fim deixa os primeiros meses sem evidência, e um achado crítico descoberto tarde vira uma corrida de remediação contra a data do seu relatório.
A Strike emite o relatório SOC 2?
Não. Relatórios SOC 2 são emitidos por firmas de CPA licenciadas depois do exame delas. A Strike entrega a evidência de pentest, os registros de reteste e a documentação que apoia programas de auditoria e conformidade em que esse exame se apoia.
Quanto custa e quanto tempo leva?
A Strike é uma assinatura contínua dimensionada pela sua superfície de ataque, e não um projeto de preço fechado — então o custo acompanha o escopo e os ativos. O setup leva menos de 5 minutos assim que as informações do alvo e os acessos estiverem prontos, e os primeiros achados costumam chegar em 1–2 horas depois que o teste começa, para escopos suportados — rápido o suficiente quando tem um negócio esperando o relatório.
Escolhida pelas equipes de segurança que lideram o setor.
Experiência humana. Poder da IA. Segurança superior.
Quer você esteja crescendo rapidamente, fechando contratos corporativos ou apenas cansado de relatórios barulhentos, ajudaremos você a construir uma pilha de segurança que se mova mais rápido do que suas ameaças.
