Pesquisa em segurança · · 6 min de leitura
Startups de cibersegurança: a oportunidade em segurança de aplicações
O que a tese da NFX significa para equipes que contratam segurança: teste o fluxo, examine as evidências e verifique a correção.
Por Pentesty
Qual é a tese da NFX para startups de cibersegurança?
Em O futuro da cibersegurança pertence às startups, publicado em setembro de 2026, Gigi Levy-Weiss, sócio da NFX, argumenta que a evolução do software cria oportunidades para novas empresas de segurança. Ele destaca ecossistemas de aplicações e agentes de IA como áreas às quais abordagens estabelecidas podem ter dificuldade para se adaptar. A NFX também defende que uma percepção inicial precisa se transformar em uma vantagem duradoura para o negócio.
Esse é um ponto de partida útil para discutir o mercado. Não é um teste comparativo de segurança. A NFX é uma investidora e menciona uma empresa de seu portfólio no argumento. Nossa análise assume a perspectiva de quem contrata: quais evidências uma organização deve exigir antes de confiar em um fornecedor de segurança?
Onde a segurança de aplicações precisa do contexto de negócio
Imagine uma aplicação SaaS com espaços de trabalho separados por cliente, uma API de relatórios e um assistente que exporta registros. Um login válido comprova que o usuário se autenticou. Não responde se ele pode exportar os registros de um cliente específico, se um link compartilhado continua válido após a revogação do acesso ou quais destinos o assistente pode usar.
A orientação da OWASP sobre falhas de autorização no nível de objeto identifica o risco de APIs aceitarem um identificador de objeto sem verificar a permissão de quem faz a chamada para agir sobre ele. Isso mostra por que uma avaliação precisa dos papéis dos usuários e das regras de propriedade, além de uma lista de endpoints acessíveis.
No nosso exemplo, uma preparação útil inclui dois espaços de trabalho de clientes fictícios, contas com papéis diferentes e uma lista acordada de ações permitidas. Assim, quem avalia pode verificar se esses limites se mantêm. Um resultado de teste deve identificar o papel, o objeto e a operação envolvidos para que a equipe de engenharia consiga reproduzir e corrigir o problema.
Integrações de IA acrescentam outras decisões
Para o assistente, pergunte também quem autoriza as chamadas de ferramentas e para onde os dados exportados podem ir. Uma resposta sensata do modelo não comprova que as permissões subjacentes estejam corretas. Nosso checklist de segurança de agentes de IA aborda permissões, transferências de saída, memória e registros independentes de execução.
Óculos conectados trazem o ambiente físico para essa avaliação. Nosso checklist de segurança e privacidade dos Meta VR Glasses para empresas aplica a mesma abordagem baseada em evidências aos controles de captura, contas, integrações de IA, APIs e armazenamento em nuvem.
Isso não torna obsoleta a proteção de endpoints ou redes. Recomendamos relacionar cada controle ao limite que ele protege. Um plano de segurança deve deixar as lacunas visíveis, sem presumir que uma compra em uma categoria cubra todos os fluxos de trabalho.
O que uma startup de segurança deve comprovar?
Nossa recomendação para um fornecedor especializado é definir um problema importante do cliente com precisão suficiente para demonstrar progresso. Por exemplo: “Usuários do espaço de trabalho de um cliente conseguem acessar exportações de outro?” é uma pergunta que permite avaliação. “Tornamos sua IA segura” deixa o escopo e os critérios de sucesso indefinidos.
Para quem contrata, a comprovação deve continuar útil quando chega à engenharia. Um responsável consegue entender o achado sem uma reunião comercial? Os pré-requisitos estão documentados? A equipe consegue distinguir uma exposição observada de uma hipótese? O reteste mostra o que mudou? Essas perguntas também são úteis para fornecedores estabelecidos.
Um relatório de exemplo é um bom começo. Nosso artigo sobre como obter mais valor de um relatório de pentest discute a distância entre uma lista longa de achados e um relatório que sustenta decisões.
Checklist de evidências para fornecedores de segurança
Esta matriz original da Pentesty apoia a discussão entre equipes de compras e segurança. Não é uma certificação do setor, um ranking de fornecedores ou uma afirmação de que determinada ferramenta permite todos os testes.
| Critério | Pergunta a fazer | Evidência a solicitar |
|---|---|---|
| Cobertura | Quais papéis de usuário, APIs e integrações foram realmente exercitados? | Um registro de cobertura que separe caminhos testados, bloqueados e excluídos. |
| Qualidade dos achados | A equipe consegue reproduzir o problema dentro do escopo autorizado? | Requisições e respostas sem dados sensíveis e as condições necessárias para reproduzi-lo. |
| Impacto no negócio | Quais dados ou ações uma parte não autorizada poderia alcançar? | Uma explicação do impacto ligada ao fluxo e às permissões afetados. |
| Revisão humana | O que um revisor validou e o que continua incerto? | Decisões de revisão registradas e limitações explícitas. |
| Correção | O responsável de engenharia consegue entender e verificar a correção? | Uma recomendação concreta, um responsável e uma verificação de regressão relevante. |
| Reteste | O problema original foi verificado após a mudança? | Evidências datadas de reteste e uma declaração clara do risco residual. |
Para referenciar esta matriz: Pentesty, “Startups de cibersegurança: a oportunidade em segurança de aplicações”, 17 de setembro de 2026. Link permanente para o checklist de evidências.
Como transformar a discussão em uma avaliação
1. Escolha um fluxo de trabalho representativo
Selecione uma ação de negócio com responsável definido, como um convite para uma conta, a exportação de um documento ou a configuração de uma integração. Documente as regras de acesso esperadas, os sistemas conectados e os dados sensíveis. Acorde a autorização por escrito, as contas de teste, as técnicas permitidas e as condições de interrupção.
2. Defina a entrega antes dos testes
Especifique as evidências necessárias para decidir sobre uma correção. Inclua áreas testadas e não testadas, pré-requisitos não atendidos e o escopo da revisão humana. Use o guia da Pentesty para leitura de relatórios para orientar perguntas sobre achados e recomendações de correção.
3. Feche o ciclo após uma mudança
Defina um responsável, revise a correção e teste novamente o comportamento afetado. Mantenha o resultado vinculado à versão ou configuração avaliada. Programe novas avaliações pertinentes quando permissões, integrações ou fluxos críticos mudarem; escolha a cadência conforme o risco e o escopo.
O NIST Secure Software Development Framework, versão 1.1, descreve práticas que organizações podem integrar ao ciclo de desenvolvimento para reduzir vulnerabilidades e tratar causas fundamentais. Recomendamos transformar os achados das avaliações em insumos úteis para esse ciclo, incluindo verificações de regressão quando apropriado, em vez de tratar a entrega do relatório como o fim do trabalho.
Perguntas frequentes
Por que a NFX vê uma oportunidade para startups de cibersegurança?
A NFX argumenta que as mudanças no software criam problemas de segurança que novas empresas podem resolver antes da adaptação de fornecedores estabelecidos. Seu ensaio de setembro de 2026 enfatiza a camada de aplicações e o software com agentes. Essa é uma tese de investimento, não uma comprovação de que determinada startup oferece melhor proteção.
O que é segurança de aplicações?
Segurança de aplicações é o trabalho de proteger o software e os dados e ações que ele expõe. A avaliação pode incluir autenticação, autorização, comportamento de APIs, integrações e fluxos de negócio. Os testes relevantes dependem da aplicação, de seus usuários e do escopo acordado.
A segurança de aplicações substitui a segurança de endpoints ou redes?
Não. Esses controles tratam de partes diferentes de um sistema. Uma aplicação pode ter uma falha de autorização mesmo com seu servidor protegido, enquanto um endpoint comprometido pode colocar em risco uma aplicação bem projetada. Planeje a cobertura das camadas relevantes.
Como avaliar um fornecedor de pentest com IA?
Peça escopo claro, evidências que sustentem os achados, explicação da revisão humana, limitações de cobertura documentadas e um processo de reteste. Avalie um exemplo de entrega em relação a um fluxo de trabalho representativo. O rótulo de IA ou uma quantidade alta de achados não comprova a qualidade do teste.
Fontes e escopo editorial
- NFX: O futuro da cibersegurança pertence às startups, Gigi Levy-Weiss, setembro de 2026. Fonte da tese de investimento discutida aqui.
- OWASP API1:2023: Broken Object Level Authorization. Referência técnica sobre permissões no nível de objeto.
- NIST SP 800-218: Secure Software Development Framework, versão 1.1, fevereiro de 2022. Práticas de desenvolvimento seguro.
Fontes verificadas em 17 de setembro de 2026. Esta é uma análise independente da Pentesty, com uma matriz original de avaliação. As referências à NFX, à OWASP e ao NIST não implicam endosso à Pentesty.