Блог
5 хв читання
Коротка відповідь: єдиної ціни на пентест не існує. Два проєкти під назвою «пентест вебсайту» можуть сильно відрізнятися за обсягом роботи, а отже й за вартістю. Ця стаття не дає прайсу. Вона пояснює, з чого складається ціна, що можна зробити, щоб розрахунок був точнішим, і на що дивитися, коли порівнюєте пропозиції.
З чого складається вартість
Пентест це робота кваліфікованих фахівців, тому ціна залежить від того, скільки часу і яких навичок потребує ваше завдання. Основні фактори такі.
1. Обсяг: скільки систем перевіряємо
Чим більше систем, застосунків і ролей користувачів, тим більше роботи. Тому перед запитом корисно визначити, що саме має увійти в перевірку, а що ні: без цього виконавець змушений закладати запас, і ціна зростає.
2. Тип систем і складність
Тестування інформаційного сайту на звичайному хостингу і тестування системи онлайн-банкінгу це різний масштаб роботи. Складна архітектура, нестандартні технології, велика кількість зв'язків між системами збільшують час. Окремі напрями, як-от мобільні застосунки, потребують спеціальних навичок та інструментів.
3. Модель тестування
Сірий ящик. Ви надаєте доступ до систем, ми їх перевіряємо. Це найшвидший варіант, тому, як правило, і найдоступніший за ціною.
Чорний ящик. Тестувальник нічого не знає про вас, тож спершу проводить розвідку. Це додає часу.
Білий ящик. Максимум інформації, у тому числі розмови з адміністраторами й аналіз конфігурацій. Перевірок більше, тому цей варіант довший і дорожчий.
Модель обирають не за ціною, а за питанням, на яке ви хочете отримати відповідь. Чорний ящик показує, що може зробити зловмисник ззовні. Сірий допомагає знайти помилки, закладені під час розробки. Білий дає найповнішу картину.
4. Автентифікація і ролі
Тестувати систему без входу простіше. Якщо в застосунку є облікові записи та кілька ролей (клієнт, менеджер, адміністратор), потрібно перевірити, як працюють авторизація, сесії, обробка помилок і бізнес-логіка для кожної ролі. Таких перевірок значно більше. Тому чітко вказуйте, які системи треба протестувати від імені користувача і з якими ролями.
5. Методологія і глибина
Чим більше ручної роботи, тим вища вартість. Сканування вразливостей значною мірою автоматичне, а пентест передбачає ручну перевірку кожної знахідки і пошук ланцюжків атак. Для особливих середовищ, наприклад із даними платіжних карток, застосовують додаткові вимоги. Тому у пропозиції має бути вказано, за якими методиками працюють і яка частина роботи ручна.
6. Терміни
Якщо тест потрібно виконати швидко, виконавцю доведеться залучити більше фахівців одночасно. Це може збільшити вартість. Планувати пентест заздалегідь вигідніше, ніж просити його «до завтра».
Як отримати точний розрахунок
Підготуйте для виконавця:
Опис систем, які треба перевірити: Вебсайти, застосунки, мережа, хмарні сервіси.
Де потрібен вхід, які є ролі користувачів і чи надасте ви тестові облікові записи.
Мету: перевірка перед запуском, вимога стандарту, запит партнера, регулярна перевірка.
Бажані терміни та вікна для ризикованих перевірок (наприклад, вихідні).
З такими даними виконавець оцінить обсяг робіт реалістично, а ви отримаєте розрахунок без запасу «на всяк випадок».
На що дивитися, порівнюючи пропозиції
Пропозиції з різною ціною часто описують різну роботу. Перш ніж порівнювати суми, порівняйте:
Обсяг: що саме входить, що ні.
Модель тестування: чорний, сірий чи білий ящик.
Частку ручної роботи. Якщо пропозиція складається зі сканера й короткого звіту, це сканування вразливостей, а не пентест.
Звіт: чи є оцінка ризику кожної знахідки, рекомендації з усунення, зрозумілий висновок для керівника. Попросіть зразок.
Повторну перевірку (ретест): чи входить вона у вартість. В Audit3A один ретест виправлених знахідок протягом 12 місяців входить у послугу.
Угоду про нерозголошення (NDA) і правила безпечного тестування робочих систем.
Кваліфікацію фахівців: які сертифікати мають ті, хто безпосередньо виконує роботу.
Як часто проводити пентест
Мінімум раз на рік і після суттєвих змін в інфраструктурі чи застосунках. Частіше, якщо ви обробляєте чутливі дані або працюєте за вимогами стандартів. Наприклад, PCI DSS вимагає проводити пентест щороку і після значних змін. Деякі страхові компанії можуть запитувати результати тестування. Щоб контролювати стан безпеки між пентестами, додають регулярне сканування вразливостей: різницю описано в статті пентест чи сканування вразливостей.
Висновок
Ціна пентесту це не число з прайсу, а наслідок того, скільки систем, наскільки складних і з якою глибиною ви хочете перевірити. Що точніше ви опишете завдання, то менше буде невизначеності й зайвих витрат. Порівнюйте пропозиції за змістом, а не за сумою: різниця в ціні майже завжди пояснюється різницею в обсязі та якості роботи. Пентест дозволяє знайти слабкі місця до того, як їх знайдуть зловмисники.
Часті запитання
Чому ви не вказуєте ціну?
Вартість залежить від обсягу, складності й моделі тестування, тому однієї цифри для всіх немає. Ми готуємо розрахунок після того, як отримуємо опис задачі.
Що найсильніше впливає на ціну?
Обсяг робіт і складність систем. Далі модель тестування, наявність входу й ролей та терміни.
Як зменшити вартість пентесту?
Чітко визначити обсяг, заздалегідь підготувати доступи й тестові облікові записи, обрати модель тестування під конкретне завдання (за потреби «сірий ящик»), планувати роботу без поспіху.
Підпишіться на розсилку
Отримуйте нові статті блогу на свою пошту.
Схожа тема
Схожі статті
Більше статей
Нові статті
Часті запитання
Вам щось цікаво? Давайте прояснимо речі!
Ми зібрали всю важливу інформацію прямо тут. Перегляньте наші поширені запитання та знайдіть потрібні відповіді.
Які типи послуг кібербезпеки пропонує Audit3A?
Audit3A надає комплексні послуги з кібербезпеки, включаючи безпеку додатків та інфраструктури, управління ризиками та відповідність кібербезпеці, рішення SIEM, управління вразливістю та рішення для захисту від шкідливих програм. Ми також пропонуємо тестування на проникнення, захист вебсайтів і мобільних додатків і управління ризиками шахрайства.
Як Audit3A може допомогти моєму бізнесу відповідати галузевим нормам?
Наша команда спеціалізується на допомозі організаціям у створенні ефективної системи управління кібербезпекою, управлінні ризиками кібербезпеки та проведенні аудитів на відповідність різним нормам і стандартам. Ми гарантуємо, що ваші методи кібербезпеки відповідають найкращим галузевим практикам і нормативним вимогам, що стосуються вашого сектора.
Чим Audit3A відрізняється від інших компаній з кібербезпеки?
Audit3A виділяється завдяки нашому комплексному підходу, який поєднує передові технології з експертним людським аналізом. Ми пропонуємо індивідуальні рішення для підприємств будь-якого розміру, маємо глобальну присутність із місцевим досвідом і зосереджуємося на дослідженнях і розробках, щоб випереджати нові загрози.
Як часто моя організація повинна проводити аудит кібербезпеки?
Частота перевірок кібербезпеки може відрізнятися залежно від вашої галузі, нормативних вимог і профілю ризику. Проте, як правило, ми рекомендуємо проводити комплексний аудит принаймні раз на рік із частішою оцінкою окремих сфер або у відповідь на значні зміни у вашому ІТ-середовищі.
Чи може Audit3A надати рішення з кібербезпеки для малих і великих підприємств?
Так, Audit3A пропонує масштабовані рішення, які підходять для організацій будь-якого розміру. У нас є спеціальні пакети, розроблені для малого бізнесу, які забезпечують необхідні заходи безпеки, але є економічно ефективними. Наша команда може адаптувати наші послуги відповідно до потреб і бюджетних обмежень вашого бізнесу.
Який процес залучення послуг Audit3A?
Процес залучення зазвичай починається з початкової консультації, щоб зрозуміти ваші конкретні потреби та проблеми. Потім ми проводимо попередню оцінку вашої поточної безпеки. На основі цього ми пропонуємо індивідуальний план безпеки. Після узгодження ми впроваджуємо рішення, забезпечуємо необхідне навчання та пропонуємо постійну підтримку та моніторинг.
Як Audit3A залишається в курсі останніх загроз і технологій кібербезпеки?
Audit3A інвестує значні кошти в дослідження та розробки. У нас є власна науково-дослідна лабораторія, присвячена вивченню нових кіберзагроз. Ми також співпрацюємо з провідними університетами, беремо участь у розробці міжнародних стандартів безпеки та підтримуємо програму для незалежних дослідників безпеки. Наша команда регулярно оновлює свої навички та сертифікації, щоб залишатися в авангарді технологій і методів кібербезпеки.
Ви можете копіювати матеріали сайту, лише переконавшись у безпеці своїх сервісів.
Цей сайт захищено reCAPTCHA, на нього поширюються Політика конфіденційності та Умови використання Google.