Wycena testu penetracyjnego sprowadza się do iloczynu liczby godzin pracy i stawki godzinowej. Cała rozmowa o cenie dotyczy więc w praktyce jednego pytania: ile pracy wymaga rzetelne przetestowanie tego, co faktycznie chcesz przetestować.
Odpowiedź zaczyna się od typu testu, bo różnice między nimi są większe niż różnice wewnątrz jednego typu.
Widełki według typu testu
| Typ testu | Typowy nakład | Co najbardziej przesuwa nakład |
|---|---|---|
| Sieć zewnętrzna, perymetr | 2-5 dni | liczba adresów i wystawionych usług |
| Aplikacja webowa lub API | 3-10 dni | liczba ról, funkcji i punktów końcowych |
| Aplikacja mobilna z backendem | 4-8 dni | dwie platformy, mechanizmy ochrony aplikacji |
| Sieć wewnętrzna, Active Directory | 5-12 dni | liczba lokalizacji, segmentów i systemów |
| Urządzenie IoT lub embedded | 5-15 dni | liczba warstw: sprzęt, firmware, radio, chmura |
| Systemy OT i ICS | 5-15 dni | ostrożność, okna serwisowe, praca pasywna |
| Socjotechnika, phishing | 3-7 dni | liczba scenariuszy i wielkość grupy odbiorców |
| Automotive, magistrale pokładowe | wycena indywidualna | dostęp do pojazdu lub stanowiska, wymagany sprzęt |
Widełki zakładają jednego wykonawcę, tryb grey box i pojedynczy przedmiot badania. Duże wdrożenia rozjeżdżają się poza tę skalę: najkrótszy projekt, jaki prowadziłem, zamknął się w dwóch tygodniach, najdłuższy trwał trzy miesiące. Traktuj tabelę jako punkt wyjścia do rozmowy, a nie cennik.
Automotive świadomie nie ma w tej tabeli widełek. Praca na komponentach pokładowych i magistralach wymaga stanowiska, dostępu do pojazdu albo modułu i sprzętu, którego nie da się wpisać w jedną stawkę dzienną. Taki temat idzie jako osobny projekt z wyceną ustalaną indywidualnie.
Specjalizuję się w urządzeniach, systemach przemysłowych i infrastrukturze. Testy aplikacji webowych i mobilnych również wykonuję, choć nie są moim głównym obszarem, i mówię o tym wprost, zanim zapytasz o ofertę.
Dlaczego urządzenia i OT wypadają drożej
Test sieci dotyczy w zasadzie jednej warstwy. Test urządzenia dotyczy kilku, a każda z nich to osobna praca:
| Warstwa urządzenia | Zakres | Nakład |
|---|---|---|
| Sprzęt | interfejsy diagnostyczne, zrzut pamięci, zabezpieczenie obudowy | 1-3 dni |
| Firmware | analiza obrazu, sekrety, secure boot, logika | 2-5 dni |
| Komunikacja | Wi-Fi, BLE, LoRa, protokół z chmurą | 1-4 dni |
| Aplikacja i backend | uwierzytelnianie, autoryzacja, izolacja klientów | 2-5 dni |
| Proces aktualizacji | podpisy, rollback, kanał dystrybucji | 1-2 dni |
Czujnik bez aplikacji i bez części chmurowej zamyka się w kilku dniach. Kamera z aplikacją mobilną, backendem i aktualizacjami OTA to kilkanaście, mimo że oba produkty mieszczą się w pojęciu urządzenia IoT.
W przypadku OT nakład rośnie z innego powodu. Znaczna część pracy odbywa się pasywnie albo na stanowisku bliźniaczym, bo test nie może zatrzymać produkcji. Płacisz tam nie za większą liczbę podatności, lecz za ostrożność.
Czynniki wspólne dla wszystkich typów
Tryb testu
Black box oznacza pracę bez dokumentacji i bez kont. Brzmi realistycznie, kosztuje więcej i daje mniej, ponieważ znaczna część budżetu idzie na odtworzenie wiedzy, którą zamawiający już posiada.
Grey box zakłada konta testowe i podstawową dokumentację. Stosowana najczęściej i w większości przypadków optymalna.
White box obejmuje pełną dokumentację, czasem kod źródłowy. W przeliczeniu na jedną znalezioną podatność wypada najkorzystniej.
W praktyce klienci najczęściej wybierają grey albo white box i jest to wybór racjonalny: krótszy czas pracy przy tym samym zakresie oznacza niższy rachunek. Atakujący dysponuje nieograniczonym czasem, wykonawca testu ma go zwykle dwa tygodnie, więc wyrównanie tej dysproporcji dokumentacją leży w interesie zamawiającego.
Retest
Retest oznacza sprawdzenie podatności wykrytych i opisanych w raporcie, nie ponowne badanie całości. Powtórne przejście przez cały przedmiot testu to już kolejny pentest i tak też jest wyceniane.
Zamówiony razem z pentestem wchodzi w pakiet z rabatem, co jest tańsze niż zlecanie go osobno po fakcie. Bez retestu dysponujesz listą podatności, ale nie potwierdzeniem skuteczności poprawek, a właśnie to potwierdzenie trafia do dokumentacji i do klienta końcowego.
Wielkość projektu
Moja stawka mieści się w przedziale 150-250 zł netto za godzinę i nie jest stała. Im większe zlecenie, tym niższa:
| Wielkość zlecenia | Stawka |
|---|---|
| około 20 godzin | 250 zł/h |
| około 100 godzin | 200 zł/h |
| około 300 godzin | 150 zł/h |
Powód jest prozaiczny: dłuższy projekt oznacza mniej narzutu na wdrożenie w temat, ustalenia i raportowanie w przeliczeniu na godzinę pracy.
W praktyce oznacza to, że dzielenie jednego dużego zakresu na kilka drobnych zleceń wychodzi drożej niż zamówienie go w całości.
Liczba środowisk
Ta sama aplikacja w trzech wariantach dla trzech klientów to nie jeden test. Podobnie urządzenie w kilku wersjach sprzętowych.
Jak oszacować rząd wielkości
- Wskaż typ testu i odczytaj widełki z pierwszej tabeli.
- Przy urządzeniu rozpisz warstwy z drugiej tabeli i zsumuj je.
- Skoryguj w górę przy trybie black box, w dół przy pełnej dokumentacji.
- Dolicz retest.
- Przelicz dni na godziny i pomnóż przez stawkę z tabeli powyżej.
Na co zwrócić uwagę w ofertach
Pierwszym sygnałem ostrzegawczym jest skan automatyczny przedstawiony jako test penetracyjny. Wycena odpowiadająca kilku godzinom pracy niemal zawsze opisuje narzędzie, nie specjalistę. Weryfikuje to jedno pytanie o dowód wykorzystania każdej podatności. Różnice między usługami opisałem w tekście pentest, audyt czy skan.
Drugim jest raport bez rekomendacji. Lista problemów pozbawiona wskazania kolejności naprawy przenosi całą pracę analityczną z powrotem na Twój zespół.
Jak obniżyć koszt
- Dostarcz dokumentację i konta testowe. Najskuteczniejszy sposób skrócenia projektu, rozpisany w liście przygotowania.
- Zawęź zakres świadomie, zamiast obniżać jakość testu na całości.
- Zamów retest razem z pentestem, w pakiecie wychodzi taniej.
- Zaplanuj test przed zamrożeniem projektu. Poprawki na tym etapie kosztują ułamek tego, co zmiany po wdrożeniu.
Jak wyceniam
Wycena powstaje na podstawie zakresu i stawki z tabeli powyżej. Nie mam progu minimalnego: krótki, dobrze postawiony temat wyceniam tak samo chętnie jak wielomiesięczny projekt. W praktyce wystarcza jedna rozmowa i wypełniona lista przygotowania, aby podać widełki nakładu.
Napisz i opisz przedmiot testu w kilku zdaniach. Odsyłam szacunek zakresu zwykle w ciągu jednego dnia roboczego. Zakres poszczególnych usług opisałem w sekcji usług.