Blog / Testy penetracyjne
Ile kosztują testy penetracyjne i od czego zależy cena
Cena testu penetracyjnego zależy od zakresu, nie od nazwy usługi. Ręczny pentest jednej aplikacji to zwykle wydatek rzędu kilku do kilkudziesięciu tysięcy złotych, a abonament z cotygodniowym testem automatycznym zaczyna się od kilkuset złotych miesięcznie. Poniżej rozkładamy, za co płacisz w każdym wariancie.
Krótka odpowiedź, zanim zaczniesz porównywać oferty
Wyceny firm pentesterskich są indywidualne i rzadko publikowane, więc nie znajdziesz jednego cennika. Pracę ręczną rozlicza się w osobodniach, a liczba osobodni rośnie z liczbą adresów, funkcji aplikacji i głębokością testu.
Dlatego zamiast pytać o jedną kwotę, zapytaj o trzy rzeczy: co dokładnie wchodzi w zakres, czy cena obejmuje powtórny test po naprawach i kiedy wynik przestaje być aktualny. Ta ostatnia odpowiedź zwykle decyduje o tym, czy pentest jest dla Ciebie opłacalny.
Od czego zależy cena ręcznego pentestu
Trzy czynniki powtarzają się w każdej wycenie.
- Zakres. Jedna aplikacja webowa to inny koszt niż aplikacja, API, aplikacja mobilna i sieć biurowa razem. Liczy się liczba ról użytkowników, formularzy i integracji.
- Perspektywa testu. Test z zewnątrz bez wiedzy o systemie jest tańszy niż test z kontami i dokumentacją, który idzie głębiej.
- Raport i wsparcie. Raport dla zarządu, rekomendacje dla programistów, powtórny test po poprawkach i spotkanie podsumowujące wyceniane są osobno albo wchodzą do ceny pakietu.
Pentest jednorazowy kontra abonament
Ręczny test daje wynik z jednego tygodnia. Po miesiącu pojawia się nowa wersja aplikacji, nowa wtyczka albo nowa subdomena i raport przestaje opisywać rzeczywistość. Dla firm, które muszą wykazać regularną ocenę środków bezpieczeństwa, na przykład w ramach wymagań NIS2, jedna kartka z datą sprzed roku to słaby dowód.
Abonament działa odwrotnie: test automatyczny z zewnątrz powtarza się co tydzień i zostawia ciąg raportów. Nie zastępuje ręcznego badania logiki aplikacji, ale pilnuje konfiguracji, certyfikatów, nagłówków, ujawnionych wersji i poczty, czyli tego, co zmienia się najczęściej.
| Ręczny pentest jednorazowy | Abonament testów automatycznych | |
|---|---|---|
| Rozliczenie | jednorazowo, w osobodniach | miesięcznie lub rocznie, stała kwota |
| Częstotliwość | zwykle raz w roku | co tydzień |
| Logika biznesowa aplikacji | tak | nie |
| Konfiguracja, TLS, nagłówki, poczta | częściowo, w dniu testu | tak, stale |
| Dowód regularnych testów dla kontrahenta | jeden dokument | ciąg raportów z datami |
Ile kosztuje abonament w Hakowaniu
Plan Start kosztuje 590 zł netto miesięcznie, Firma 1 490 zł, Grupa 3 900 zł, a Enterprise 9 900 zł. Płatność roczna daje 50% rabatu. Ceny netto, plus 23% VAT, aktualne zestawienie jest w cenniku.
Plan Firma testuje do 15 zasobów, więc obejmuje domeny, subdomeny i pocztę średniej firmy. Rocznie, przy płatności rocznej, to 8 940 zł netto, czyli wydatek wyraźnie niższy niż typowa wycena jednego ręcznego testu.
Jak policzyć budżet dla swojej firmy
Prosty sposób, który działa w większości małych i średnich firm:
- wypisz wszystko, co widać z internetu: domeny, sklep, panel, VPN, pocztę
- zapytaj kontrahentów i ubezpieczyciela, co dokładnie uznają za dowód testów
- zaplanuj jeden ręczny pentest rocznie dla kluczowej aplikacji, jeśli ona przetwarza płatności lub dane osobowe
- resztę ekspozycji pokryj abonamentem, żeby między ręcznymi testami nie było dziur
Jeśli prowadzisz sklep, zobacz konkretnie pentest sklepu internetowego. Agencje i software house'y obsługujące wiele domen znajdą dopasowanie w planie Grupa.
Co powinna zawierać dobra oferta
Porównując wyceny, sprawdź, czy każda opisuje to samo. Różnica w cenie dwóch ofert często wynika z różnicy w zakresie, a nie z jakości wykonawcy. Oferta, której możesz zaufać, wymienia konkretne adresy i funkcje objęte testem, metodykę, format raportu i to, czy wykonawca podpisze umowę o zachowaniu poufności.
Zapytaj też, kto faktycznie wykonuje test. Zdarza się, że ofertę sprzedaje jedna firma, a pracę zleca dalej. Poproś o przykładowy raport z zanonimizowanymi danymi, żeby zobaczyć, czy rekomendacje są na tyle konkretne, że programista wie, co zmienić.
Pułapki przy porównywaniu cen
- cena bez powtórnego testu: po naprawach nie masz potwierdzenia, że luki zostały zamknięte
- zakres opisany ogólnikiem typu „infrastruktura firmy”, który później okazuje się dopłatą za każdy dodatkowy adres
- raport bez priorytetów, przez co zespół nie wie, od czego zacząć
- brak informacji, jak długo wynik jest ważny i co się stanie po następnej aktualizacji aplikacji
- porównywanie ręcznego pentestu z narzędziem automatycznym jak z jak, choć odpowiadają na inne pytania
Najlepsze podejście to połączenie obu: ręczny test raz w roku dla krytycznej aplikacji i stały abonament pilnujący reszty. Wtedy płacisz za głębię tam, gdzie jest potrzebna, i za ciągłość wszędzie indziej. Jak wygląda sam test zewnętrzny, opisaliśmy w materiale testy penetracyjne sieci.
Najtańszy błąd to nienaprawione znane luki
Większość problemów wykrytych w testach zewnętrznych to rzeczy nudne: stara wersja wtyczki, brak nagłówków, niepełny DMARC. Wykrycie to połowa pracy, drugą połową jest naprawa. Jeśli nie masz kto aktualizować i testować zmian, rozważ stałą opiekę nad stroną, na przykład opiekę nad WordPressem w abonamencie z aktualizacjami na kopii testowej.
Pytania i odpowiedzi
Sprawdź swoją domenę teraz
Wpisz domenę i zobacz w kilkanaście sekund, co widzi atakujący.