Toda empresa tem portas abertas que ninguém mapeou. Um servidor com software desatualizado, uma senha padrão que sobrou de uma instalação, uma porta de acesso remoto exposta na internet desde uma manutenção esquecida. O atacante não precisa de genialidade para entrar — precisa achar uma dessas portas antes do dono. A análise de vulnerabilidades é o trabalho de achar primeiro.

O conceito é direto: examinar de forma sistemática os sistemas da empresa em busca de falhas conhecidas que possam ser exploradas. Vale a distinção entre os dois trabalhos que costumam ser confundidos. A varredura de vulnerabilidades é automatizada e ampla — uma ferramenta cruza o que está instalado na rede com bancos públicos de falhas catalogadas e devolve uma lista do que está vulnerável. O teste de intrusão, ou pentest, vai além: um profissional tenta de fato explorar as falhas, como um atacante faria, para medir até onde daria para chegar.

Os dois respondem perguntas diferentes. A varredura responde “onde estão as fechaduras abertas?”. O teste de intrusão responde “abrindo esta aqui, dá para entrar no cofre?”. Empresa madura usa os dois em ritmos diferentes: varredura frequente, porque o cenário muda toda semana com cada atualização e cada novo serviço; teste de intrusão pontual, porque é mais caro e mais profundo.

Ajuda saber o que essas varreduras costumam encontrar, porque os campeões se repetem de empresa para empresa. Software sem as atualizações de segurança aplicadas — o sistema operacional, o servidor de banco de dados, o plugin do site. Serviços de acesso remoto, como o RDP do Windows, expostos diretamente na internet, à espera de quem testar senha atrás de senha. Credenciais padrão que vieram de fábrica e nunca foram trocadas. Portas abertas no firewall para uma necessidade temporária que virou permanente. Nenhuma dessas falhas é exótica; todas são conhecidas, documentadas e — esse é o ponto — corrigíveis antes de alguém as usar.

A frequência é o que mais escapa. Uma rede segura hoje pode estar vulnerável amanhã, sem que nada na empresa tenha mudado — basta uma nova falha ser descoberta num software que ela já usa. Por isso a análise de vulnerabilidades não é um evento único, de um relatório que se arquiva. É um ciclo: examinar, priorizar o que corrigir primeiro, corrigir, examinar de novo para confirmar que a correção entrou e não abriu outra brecha.

A priorização, aliás, é onde o trabalho técnico vira decisão de negócio. Uma varredura ampla pode devolver centenas de itens, e tratar todos com a mesma urgência paralisa a operação. O que separa uma avaliação de segurança útil de uma lista intimidante é a leitura: quais falhas são realmente exploráveis no contexto daquela empresa, quais expõem dados sensíveis, quais ficam atrás de outras proteções e podem esperar. Provedores que prestam esse serviço, como a Global Data Solutions, entregam não a lista bruta, mas a ordem em que ela deve ser enfrentada.

A cadência depende do ritmo de mudança da empresa. Ambiente que muda pouco tolera varredura mais espaçada; operação que sobe serviço novo toda semana precisa olhar com frequência, porque cada mudança é uma chance nova de abrir brecha. O que não funciona é o extremo comum nas PMEs: varrer uma vez, no susto de uma auditoria, e nunca mais — uma foto de um único dia de um cenário que muda todo dia.

Há um ganho que não aparece no relatório técnico e pesa na mesa do gestor: conformidade. Frameworks de segurança e a própria LGPD esperam que a empresa conheça seus riscos e atue sobre eles. Não dá para proteger dado pessoal sem saber por onde ele poderia vazar — e é exatamente esse mapa que a análise de vulnerabilidades desenha.

Encontrar uma brecha numa varredura programada custa o tempo de corrigi-la. Descobri-la porque um atacante a usou custa a parada, o vazamento e a explicação que vem depois. A diferença entre os dois cenários é só quem chegou primeiro.