Segurança contínua por contrato mensal

É um contrato mensal, renovado mês a mês, com escopo definido na proposta: quais sistemas estão cobertos, com que frequência são feitos os testes e qual o tempo de resposta a incidente em cada faixa de horário. O valor é sob consulta.

É o caso mais comum. A Tox atua como a área de segurança da empresa, trabalhando junto com os desenvolvedores que ela já tem, internos ou terceirizados, e revisando o que eles entregam antes de ir para produção.

Um SOC, próprio ou contratado de um MSSP, monitora eventos e alertas da infraestrutura, em geral 24 horas por dia. O contrato contínuo da Tox atua sobre o próprio software: revisa entregas, acompanha dependências, repete testes e responde a incidentes no prazo definido em contrato, sem monitoramento 24x7. Empresas com exigência de monitoramento ininterrupto podem manter os dois serviços em paralelo.

A frequência é combinada conforme o ritmo de entregas e a criticidade do sistema. Costuma haver rodadas periódicas e rodadas extras depois de mudanças grandes. Cada rodada é comparada com a anterior, para mostrar o que foi corrigido e o que apareceu de novo.

Pelo risco real para o sistema. Primeiro se verifica se o trecho vulnerável é de fato usado pelo código. Depois, se há exploração ativa registrada, e o catálogo KEV da CISA é uma das referências para isso. Falhas na cadeia de suprimentos de software ocupam a posição A03 do OWASP Top 10:2025.

O pentest registra o estado do sistema na data em que foi feito. Se o sistema recebe entregas com frequência, o relatório envelhece em poucos meses. O contrato contínuo mantém o resultado: confere se as correções do pentest continuam no lugar e avalia o que entrou depois.

Ajuda, porque forma um histórico datado do que foi revisado, encontrado e corrigido. Para instituições autorizadas pelo Banco Central, a Resolução CMN nº 4.893/2021, com as alterações da Resolução CMN nº 5.274/2025, exige testes periódicos de vulnerabilidade, teste de intrusão e correção tempestiva, e esse histórico serve de evidência.

O tempo de resposta fora do horário comercial é definido no contrato, de acordo com a criticidade do sistema. Durante o atendimento, a prioridade é conter o incidente, preservar os registros e avaliar se há dado pessoal envolvido, caso em que a Resolução CD/ANPD nº 15/2024 dá três dias úteis para comunicar a ANPD e os titulares.