Ile kosztuje test penetracyjny i od czego zależy cena?

W skrócie: pentest wycenia się w osobodniach, a nie w sztukach. Cena to iloczyn liczby dni potrzebnych na zbadanie zakresu i stawki dziennej zespołu.

Dlatego pytanie "ile kosztuje pentest" jest jak pytanie "ile kosztuje remont" - odpowiedź zaczyna się od ustalenia, co dokładnie ma zostać zrobione.

To pytanie pada w pierwszym mailu w większości zapytań, jakie dostajemy. I zwykle towarzyszy mu lekka irytacja, bo na stronach firm z branży rzadko widać jakiekolwiek liczby.

Poniżej tłumaczymy, skąd bierze się kwota w ofercie, co ją podnosi, a co obniża, i jak porównać dwie wyceny, które różnią się trzykrotnie. Bo taka różnica między ofertami jest zupełnie normalna i najczęściej nie wynika z chciwości, tylko z tego, że opisują dwie różne usługi.

Dlaczego nie ma cennika

Nie dlatego, że firmy coś ukrywają. Dlatego, że jednostką pracy jest osobodzień, a liczba potrzebnych osobodni wynika z zakresu, którego przed rozmową nikt nie zna.

Dwie aplikacje webowe mogą wyglądać identycznie z zewnątrz, a różnić się nakładem pracy pięciokrotnie. Sklep z katalogiem produktów i koszykiem to jedno. Platforma z pięcioma rolami użytkowników, panelem partnera, integracją płatności, eksportem danych i API dla aplikacji mobilnej to zupełnie inna skala, mimo że obie "to strona internetowa".

Cennik w takiej sytuacji musiałby zakładać najgorszy scenariusz, żeby nie wyjść na stracie. Efekt byłby taki, że mniejsi klienci płaciliby za złożoność, której u siebie nie mają.

Co realnie wpływa na cenę

Zakres, czyli co dokładnie badamy

Najważniejszy czynnik. Nie liczba serwerów czy adresów IP sama w sobie, tylko liczba niezależnych rzeczy do zbadania: ile aplikacji, ile ról użytkownika, ile ścieżek biznesowych, czy jest API, czy jest wersja mobilna. Każda rola to osobny zestaw uprawnień, który trzeba sprawdzić pod kątem tego, czy da się z niego wyjść wyżej.

Rodzaj celu

Aplikacja webowa, infrastruktura sieciowa, środowisko Active Directory i aplikacja mobilna to cztery różne zestawy technik i cztery różne nakłady czasu. Pentest AD w średniej firmie to zwykle więcej pracy niż pojedyncza aplikacja, bo powierzchnia jest większa i bardziej powiązana.

Tryb testów

Black-box wymaga czasu na rozpoznanie, którego przy white-boxie nie ma - dostajemy dokumentację i kod, więc od razu wiemy, gdzie patrzeć. Paradoks polega na tym, że black-box bywa droższy przy gorszym wyniku: część budżetu schodzi na ustalanie rzeczy, które klient mógł po prostu przekazać. Gray-box, czyli dostęp na poziomie zwykłego użytkownika plus podstawowa dokumentacja, jest zwykle najlepszym kompromisem.

Retest

Ponowne sprawdzenie po wdrożeniu poprawek. Czasem wliczony, czasem osobna pozycja - i to jedna z głównych przyczyn, dla których dwie oferty wyglądają na nieporównywalne. Zawsze sprawdź, czy jest w cenie, bo bez niego nie masz potwierdzenia, że cokolwiek zostało naprawione.

Forma raportu i wsparcie po

Raport techniczny to podstawa. Streszczenie dla zarządu, spotkanie omawiające wyniki, wersja angielska, pomoc przy planowaniu naprawy albo rozmowa z Waszym zespołem deweloperskim to praca, która też się liczy. Przy testach robionych pod wymóg kontrahenta bywa potrzebne osobne zaświadczenie o przeprowadzeniu testu.

Termin

Standardowy harmonogram jest tańszy niż "potrzebujemy na przyszły tydzień, bo klient czeka". Testy w nocy albo w weekend, żeby nie ruszać produkcji w godzinach pracy, też zwykle wpływają na wycenę.

Jak porównywać oferty

Najczęstszy błąd to porównywanie samych kwot. Zamiast tego zestaw liczbę osobodni i to, co w nich siedzi. Oferta o połowę tańsza, która zakłada trzy dni zamiast ośmiu, nie jest tańsza - jest po prostu mniejsza.

O co zapytać	Dlaczego to ważne
Ile osobodni obejmuje oferta?	Jedyny sensowny wspólny mianownik przy porównywaniu wycen.
Ile z tego to praca manualna?	Odróżnia test penetracyjny od uruchomienia skanera.
Czy retest jest wliczony?	Bez niego nie wiesz, czy poprawki faktycznie zadziałały.
Kto wykonuje testy?	Czy osoby z oferty to te same osoby, które usiądą do pracy.
Co dostanę na koniec?	Sam raport czy raport, streszczenie i omówienie wyników.
Co jest poza zakresem?	Rzeczy wyłączone z testu bywają tymi, które najbardziej Cię interesują.

Kiedy niska cena powinna zapalić lampkę

Manualne testy to dni pracy człowieka i nie da się tego skrócić bez utraty jakości. Jeśli oferta jest wyraźnie poniżej reszty rynku, prawie zawsze oznacza to jedną z trzech rzeczy: zakres jest dużo węższy, niż się wydaje, testy sprowadzają się do uruchomienia skanera i przeklejenia wyniku, albo raport powstaje z szablonu.

Rozpoznasz to po samym raporcie. Jeśli nie ma w nim kroków reprodukcji - konkretnego opisu "zaloguj się jako X, zmień parametr Y, zobaczysz cudze dane" - to najpewniej nikt nie potwierdzał znaleziska ręcznie. A niepotwierdzone znalezisko ze skanera bywa fałszywym alarmem równie często, jak realnym problemem.

Więcej o tej różnicy piszemy w tekście o tym, czym pentest różni się od audytu.

Jak przygotować zapytanie, żeby dostać sensowną wycenę

Im więcej konkretów w pierwszym mailu, tym dokładniejsza oferta i tym mniej rund pytań. Wystarczy kilka zdań:

Co ma być testowane - adres aplikacji, liczba systemów, czy w grę wchodzi API albo aplikacja mobilna.
Ile jest rodzajów użytkowników - gość, klient, pracownik, administrator.
Czy jest środowisko testowe, czy testujemy na produkcji.
Skąd wzięła się potrzeba - wymóg kontrahenta, przetarg, wdrożenie, incydent, własna inicjatywa. To zmienia zalecany zakres.
Termin - czy jest data, do której musi być gotowe.

Na tej podstawie da się podać widełki od ręki, a po krótkiej rozmowie konkretną kwotę i liczbę dni.

Ile to kosztuje naprawdę

Uczciwa odpowiedź: pentest pojedynczej, niewielkiej aplikacji webowej to najczęściej kilka dni pracy. Rozbudowana platforma z wieloma rolami albo środowisko Active Directory to zwykle od tygodnia wzwyż. Stawki dzienne w Polsce różnią się między firmami na tyle, że podanie jednej liczby byłoby zmyśleniem.

Dlatego zamiast cennika proponujemy prostszą drogę: opisz zakres w kilku zdaniach, a dostaniesz konkretną wycenę i szacowany czas. Bezpłatnie i bez zobowiązań - również wtedy, gdy z rozmowy wyjdzie, że na tym etapie pentest nie jest tym, czego potrzebujesz.