UA
5 хв Min Read
Коротка відповідь: єдиної ціни на пентест не існує. Два проєкти під назвою «пентест вебсайту» можуть сильно відрізнятися за обсягом роботи, а отже й за вартістю. Ця стаття не дає прайсу. Вона пояснює, з чого складається ціна, що можна зробити, щоб розрахунок був точнішим, і на що дивитися, коли порівнюєте пропозиції.
З чого складається вартість
Пентест це робота кваліфікованих фахівців, тому ціна залежить від того, скільки часу і яких навичок потребує ваше завдання. Основні фактори такі.
1. Обсяг: скільки систем перевіряємо
Чим більше систем, застосунків і ролей користувачів, тим більше роботи. Тому перед запитом корисно визначити, що саме має увійти в перевірку, а що ні: без цього виконавець змушений закладати запас, і ціна зростає.
2. Тип систем і складність
Тестування інформаційного сайту на звичайному хостингу і тестування системи онлайн-банкінгу це різний масштаб роботи. Складна архітектура, нестандартні технології, велика кількість зв'язків між системами збільшують час. Окремі напрями, як-от мобільні застосунки, потребують спеціальних навичок та інструментів.
3. Модель тестування
Сірий ящик. Ви надаєте доступ до систем, ми їх перевіряємо. Це найшвидший варіант, тому, як правило, і найдоступніший за ціною.
Чорний ящик. Тестувальник нічого не знає про вас, тож спершу проводить розвідку. Це додає часу.
Білий ящик. Максимум інформації, у тому числі розмови з адміністраторами й аналіз конфігурацій. Перевірок більше, тому цей варіант довший і дорожчий.
Модель обирають не за ціною, а за питанням, на яке ви хочете отримати відповідь. Чорний ящик показує, що може зробити зловмисник ззовні. Сірий допомагає знайти помилки, закладені під час розробки. Білий дає найповнішу картину.
4. Автентифікація і ролі
Тестувати систему без входу простіше. Якщо в застосунку є облікові записи та кілька ролей (клієнт, менеджер, адміністратор), потрібно перевірити, як працюють авторизація, сесії, обробка помилок і бізнес-логіка для кожної ролі. Таких перевірок значно більше. Тому чітко вказуйте, які системи треба протестувати від імені користувача і з якими ролями.
5. Методологія і глибина
Чим більше ручної роботи, тим вища вартість. Сканування вразливостей значною мірою автоматичне, а пентест передбачає ручну перевірку кожної знахідки і пошук ланцюжків атак. Для особливих середовищ, наприклад із даними платіжних карток, застосовують додаткові вимоги. Тому у пропозиції має бути вказано, за якими методиками працюють і яка частина роботи ручна.
6. Терміни
Якщо тест потрібно виконати швидко, виконавцю доведеться залучити більше фахівців одночасно. Це може збільшити вартість. Планувати пентест заздалегідь вигідніше, ніж просити його «до завтра».
Як отримати точний розрахунок
Підготуйте для виконавця:
Опис систем, які треба перевірити: Вебсайти, застосунки, мережа, хмарні сервіси.
Де потрібен вхід, які є ролі користувачів і чи надасте ви тестові облікові записи.
Мету: перевірка перед запуском, вимога стандарту, запит партнера, регулярна перевірка.
Бажані терміни та вікна для ризикованих перевірок (наприклад, вихідні).
З такими даними виконавець оцінить обсяг робіт реалістично, а ви отримаєте розрахунок без запасу «на всяк випадок».
На що дивитися, порівнюючи пропозиції
Пропозиції з різною ціною часто описують різну роботу. Перш ніж порівнювати суми, порівняйте:
Обсяг: що саме входить, що ні.
Модель тестування: чорний, сірий чи білий ящик.
Частку ручної роботи. Якщо пропозиція складається зі сканера й короткого звіту, це сканування вразливостей, а не пентест.
Звіт: чи є оцінка ризику кожної знахідки, рекомендації з усунення, зрозумілий висновок для керівника. Попросіть зразок.
Угоду про нерозголошення (NDA) і правила безпечного тестування робочих систем.
Кваліфікацію фахівців: які сертифікати мають ті, хто безпосередньо виконує роботу.
Як часто проводити пентест
Мінімум раз на рік і після суттєвих змін в інфраструктурі чи застосунках. Частіше, якщо ви обробляєте чутливі дані або працюєте за вимогами стандартів. Наприклад, PCI DSS вимагає проводити пентест щороку і після значних змін. Деякі страхові компанії можуть запитувати результати тестування. Щоб контролювати стан безпеки між пентестами, додають регулярне сканування вразливостей: різницю описано в статті пентест чи сканування вразливостей.
Висновок
Ціна пентесту це не число з прайсу, а наслідок того, скільки систем, наскільки складних і з якою глибиною ви хочете перевірити. Що точніше ви опишете завдання, то менше буде невизначеності й зайвих витрат. Порівнюйте пропозиції за змістом, а не за сумою: різниця в ціні майже завжди пояснюється різницею в обсязі та якості роботи. Пентест дозволяє знайти слабкі місця до того, як їх знайдуть зловмисники.
Часті запитання
Чому ви не вказуєте ціну?
Вартість залежить від обсягу, складності й моделі тестування, тому однієї цифри для всіх немає. Ми готуємо розрахунок після того, як отримуємо опис задачі.
Що найсильніше впливає на ціну?
Обсяг робіт і складність систем. Далі модель тестування, наявність входу й ролей та терміни.
Як зменшити вартість пентесту?
Чітко визначити обсяг, заздалегідь підготувати доступи й тестові облікові записи, обрати модель тестування під конкретне завдання (за потреби «сірий ящик»), планувати роботу без поспіху.
Join our newsletter list
Sign up to get the most recent blog articles in your email every week.
Similar Topic
Related Blogs
More Articles
Latest Blogs
Frequently Asked Questions
Wondering About Something? Let’s Clear Things Up!
We’ve gathered all the important info right here. Explore our FAQs and find the answers you need.
What types of cybersecurity services does Audit3A offer?
Audit3A provides comprehensive cybersecurity services including application and infrastructure security, cybersecurity governance risk and compliance, SIEM solutions, vulnerability management, and anti-malware solutions. We also offer penetration testing, web and mobile application security, and fraud risk management.
How can Audit3A help my business comply with industry-specific regulations?
Our team specializes in assisting organizations with establishing effective cybersecurity governance frameworks, managing cybersecurity risks, and conducting audits for compliance with various regulations and standards. We ensure your cybersecurity practices align with industry best practices and regulatory requirements specific to your sector.
What makes Audit3A different from other cybersecurity companies?
Audit3A stands out due to our comprehensive approach, combining advanced technology with expert human analysis. We offer tailored solutions for businesses of all sizes, have a global presence with local expertise, and maintain a strong focus on research and development to stay ahead of emerging threats.
How often should my organization conduct a cybersecurity audit?
The frequency of cybersecurity audits can vary depending on your industry, regulatory requirements, and risk profile. However, we generally recommend conducting a comprehensive audit at least annually, with more frequent assessments of specific areas or in response to significant changes in your IT environment.
Can Audit3A provide cybersecurity solutions for small businesses as well as large enterprises?
Yes, Audit3A offers scalable solutions suitable for organizations of all sizes. We have specific packages designed for small businesses that provide essential security measures while being cost-effective. Our team can tailor our services to meet the unique needs and budget constraints of your business.
What is the process for engaging Audit3A's services?
The engagement process typically begins with an initial consultation to understand your specific needs and challenges. We then conduct a preliminary assessment of your current security posture. Based on this, we propose a customized security plan. Once agreed, we implement the solutions, provide necessary training, and offer ongoing support and monitoring.
How does Audit3A stay updated with the latest cybersecurity threats and technologies?
Audit3A invests heavily in research and development. We have our own R&D lab dedicated to studying emerging cyber threats. We also collaborate with leading universities, participate in developing international security standards, and maintain a program for independent security researchers. Our team regularly updates their skills and certifications to stay at the forefront of cybersecurity technology and practices.
You can copy our materials only after making sure that your services are safe.
This site is protected by reCAPTCHA and the Google Privacy Policy and Terms of Service apply.