Pentest (penetration test) é a simulação controlada de um ataque real contra seus sistemas — feita por um profissional autorizado, antes que um criminoso faça. O pentester encontra vulnerabilidades, documenta tudo, e te entrega um plano pra corrigir.
Quando você precisa? Quando seu produto começa a ter dados de cliente, integração com pagamento, ou cliente B2B que pede SOC2/ISO27001/LGPD. Também: depois de qualquer reestruturação grande (migração de cloud, refactor de auth).
O que NÃO é pentest: não é varredura automática de vulnerabilidades (isso é scan). Não é auditoria de código (isso é code review). Não é monitoramento contínuo (isso é SOC). Pentest é o teste manual, criativo, feito por humano — o que ferramenta nenhuma substitui.
Por que individual e não consultoria? Consultoria vende você pra um time júnior. Pentester individual sênior atende você diretamente, sem intermediário. Pra startup pequena/média, é a diferença entre relatório útil e relatório de prateleira.