Pentest para la LGPD: evidencia técnica documentada para el Art. 46 de la LGPD.

La Ley General de Protección de Datos Personales de Brasil (LGPD, Ley 13.709/2018) no menciona el pentest por su nombre. Lo que exige es más amplio — y por eso mucho más difícil de cumplir sin evidencia técnica concreta.

Art. 46. Los agentes de tratamiento deben adoptar medidas de seguridad, técnicas y administrativas, capaces de proteger los datos personales contra accesos no autorizados y situaciones accidentales o ilícitas de destrucción, pérdida, alteración, comunicación o cualquier forma de tratamiento inadecuado o ilícito. (Traducción libre.)

“Medidas técnicas capaces”. ¿Qué significa eso en la práctica? La ANPD no publicó un checklist. Pero en casos concretos de fiscalización, tres cosas pesan más que todo lo demás:

1. Política de seguridad documentada — se puede hacer internamente
2. Capacitación del equipo — se puede hacer internamente
3. Prueba de penetración reciente — exige un tercero técnico independiente

Las dos primeras son autodeclarativas. La tercera es la única que demuestra que tu empresa hizo lo que se espera de una empresa diligente.

En una fiscalización, la ANPD suele pedir evidencia documental de las medidas técnicas y organizativas adoptadas:

• Política de privacidad y de seguridad de la información
• Inventario de datos personales y bases legales (Art. 7 y Art. 11)
• Registro de las operaciones de tratamiento (Art. 37)
• Plan de respuesta a incidentes
• Evidencia de pruebas de seguridad recientes — pentest, escaneo de vulnerabilidades, revisión de código
• DPIA (evaluación de impacto en la protección de datos) para tratamientos de riesgo

Sin el pentest, la defensa queda debilitada. Con un pentest documentado y reciente (≤ 12 meses), la empresa demuestra una postura de diligencia — lo que reduce la severidad de una eventual sanción administrativa.

Las sanciones de la LGPD llegan al 2% de la facturación en Brasil (con un tope de R$ 50 millones por infracción). Un pentest cuesta una fracción del 1% de eso. La cuenta financiera es trivial.

Recolección y almacenamiento de datos personales

• Endpoints que recolectan datos — formularios, APIs, webhooks
• Filtración de datos en las respuestas (excessive data exposure)
• BOLA — el usuario A accede a los datos personales del usuario B
• Logs con datos personales en texto plano (acceso interno indebido)
• Backups expuestos públicamente (S3, GCS)
• Cache poisoning que filtra datos entre usuarios

Derechos del titular (Art. 18)

• Acceso — el endpoint filtra datos de terceros vía IDOR/BOLA
• Corrección — mass assignment permite alterar campos sensibles
• Anonimización/eliminación — el endpoint no anonimiza por completo y los datos persisten en logs/backups
• Portabilidad — el endpoint de exportación filtra datos de otros titulares

Intercambio de datos con operadores (encargados del tratamiento)

• SSRF vía webhook hacia el operador (filtración por proxy)
• Replay de eventos sensibles
• Signature bypass en integraciones con terceros
• Logs compartidos más allá de lo necesario

Respuesta a incidentes (Art. 48)

• Capacidad de detectar intentos de acceso no autorizado
• Registro de auditoría (audit trail) adecuado
• Tiempo de detección y contención

Hardening transversal

• OWASP Top 10 completo (XSS, SQLi, SSRF, deserialization)
• OWASP API Top 10 completo (BOLA, BFLA, BOPLA, mass assignment)
• Autenticación, sesión y MFA
• Configuraciones de cloud (S3, IAM, IMDSv1)

El informe de pentest para la LGPD de No Vuln está estructurado para servir como evidencia documental inmediata en cualquier fiscalización o auditoría:

• Resumen ejecutivo alineado con el Art. 46 — declaración formal de la medida técnica
• Mapa de hallazgos × datos personales — cada vulnerabilidad vinculada al tipo de dato personal expuesto
• Severidad calibrada con CVSS 4.0 + impacto LGPD (filtración, pérdida, alteración indebida)
• Plan de remediación con priorización a 30/60/90 días
• Retest incluido dentro del plazo del plan — informe actualizado tras la corrección, que refuerza la evidencia
• Declaración de cumplimiento firmada, con fecha y alcance claros

El documento sirve como evidencia para:

• La ANPD, en fiscalizaciones administrativas
• Clientes enterprise, en auditorías contractuales (cláusula de seguridad)
• Inversionistas y compradores, en due diligence de M&A e inversión
• Aseguradoras, al contratar o renovar un seguro cibernético

Cada caso recibe una propuesta a medida una vez definido el alcance. La tarifa por hora va de US$ 150 a US$ 250 según el stack, la modalidad y el plazo; los paquetes más grandes tienen una tarifa menor. Facturación en USD por Wise o transferencia internacional: 50% al inicio y 50% en la entrega.