Pentest SOC 2 Type II — Trust Services Criteria
Pentest aceito por auditor SOC 2 Type II. Mapeamento direto CC4.1 (monitoring), CC7.1 (system operations), CC6.6 (change). Para cliente US enterprise.
Por que agora
A dor real
SaaS B2B brasileiro vendendo nos US precisa de SOC 2 Type II. Auditor americano (Deloitte, EY, BDO, KPMG, A-LIGN, Schellman) examina o relatório de pentest com lupa. Erro comum: empresa BR contrata fornecedor sem credencial, relatório é rejeitado, ciclo de 12 meses é perdido.
Norma e referência
/superficie-de-ataque
SOC 2 Type II
Cada engajamento é desenhado para o seu ambiente. Os pontos abaixo são parte do nosso playbook padrão neste setor — adaptamos o escopo final ao seu stack e contrato.
CC4.1 — Monitoring activities
Pentest como evidência de monitoring contínuo de controle.
CC7.1 — System operations
Validação de detecção, response, recovery.
CC6.6 — Change management
Pentest pós-mudança significativa, validação de regression.
CC6.1 — Logical access
MFA, RBAC, JIT access, off-boarding.
CC6.8 — Vulnerability management
Pentest periódico, retest, plano de remediação.
A1 (Availability), C1 (Confidentiality), P1 (Privacy)
Critérios adicionais conforme escopo SOC 2.
/metodologia
Pentest manual de verdade
Scanner automatizado encontra o que está documentado. Atacante real encontra o que não está. 90% do trabalho é manual — feito por especialistas com OSCP, CISSP, CRTO e GPEN.
01 · Reconhecimento
Mapa do alvo, OSINT, footprint, modelagem de ameaça específica do setor.
02 · Descoberta
Enumeração profunda, scan complementar, identificação manual de exposição.
03 · Exploração
Validação manual com PoC controlada, encadeamento de findings, escalação.
04 · Relatório
Executivo + técnico, replicação passo a passo, mapeado para regulação.
/por-que-confiar
Quem já confiou no nosso trabalho
SaaS B2B brasileiro com clientes US enterprise (Fortune 500), em ciclo SOC 2 Type II anual.
Avaliação técnica reconhecida em ambientes regulados de alta criticidade — o pentest que encontra o que ninguém tinha encontrado antes.
Douglas Lopes
Founder · CEO · intrus.io
/crivo · programa de integridade
dos candidatos a pentester reprovam no nosso Crivo
Você sabe quem vai ter acesso ao seu ambiente?
NDA vale no tribunal. Não vale no dia a dia. Antes do primeiro acesso, todo pentester nosso passa por background, perfil psicométrico e teste de integridade.
- Verificação criminal, fiscal e profissional aprofundada
- Avaliação psicométrica e perfil de risco
- Teste de integridade prático com cenários controlados
- Time fixo — não rotativo, sem 'estranho a cada engajamento'
/faq
FAQ — SOC 2 Type II
Auditor americano aceita o relatório?
Sim. Modelo PCI/SOC-aligned em inglês, com mapeamento direto pra TSC e PoC reproduzível por finding.
Faixa de preço?
SaaS pequeno (1 produto): R$ 35-70k. Médio (multi-produto + integrations): R$ 70-150k. Enterprise: R$ 150-300k.
/contato
Cotar pentest SOC 2
Marque uma reunião confidencial. Em até 48h enviamos a proposta com escopo, prazo e valor.