Dostajesz trzy oferty na ten sam pentest. Jedna opiewa na 6 tysięcy złotych, druga na 18, trzecia na 40. Wszystkie nazywają się tak samo. Różnica nie leży w nazwie, tylko w tym, co się pod nią kryje – i to właśnie tę różnicę musisz umieć przeczytać, zanim podpiszesz umowę.
Zamawiając pentesty, firma kupuje w praktyce czas doświadczonego specjalisty i jego kompetencje, a nie dostęp do narzędzia – i dlatego cena potrafi się różnić kilkukrotnie przy pozornie identycznym zakresie. Ten przewodnik tłumaczy, od czego naprawdę zależy koszt testu penetracyjnego, jak czytać ofertę i po czym poznać wykonawcę, który dostarczy wartość, a nie wygenerowany automatem PDF.
Piszę go z perspektywy osoby, która podejmuje decyzję zakupową, a niekoniecznie siedzi w szczegółach technicznych. Bez żargonu tam, gdzie się da, i z konkretami tam, gdzie trzeba.
Najpierw ustal, co właściwie chcesz przetestować
Największym źródłem nieporozumień cenowych jest niedoprecyzowany zakres. „Przetestujcie nam bezpieczeństwo” to nie zakres – to życzenie. Zanim poprosisz o wycenę, odpowiedz sobie, co ma być przedmiotem testu:
- aplikacja webowa lub sklep internetowy – ile ma ról użytkowników, formularzy, integracji płatności,
- aplikacja mobilna – jedna platforma czy iOS i Android,
- infrastruktura sieciowa – ile adresów IP, ile usług wystawionych na zewnątrz,
- API – ile końcówek, jaka dokumentacja,
- czynnik ludzki – czy chcesz też testu socjotechnicznego (phishing wśród pracowników).
Im precyzyjniej opiszesz zakres, tym porównywalniejsze będą oferty – i tym mniejsze ryzyko, że tanie „testy” okażą się pobieżnym skanem, a różnicę odkryjesz dopiero po włamaniu.
Od czego realnie zależy cena
Koszt pentestu to głównie liczba osobodni, czyli ile dni pracy specjalisty pochłonie rzetelne sprawdzenie Twojego środowiska. Na tę liczbę wpływają przede wszystkim:
- Rozmiar i złożoność celu – aplikacja z jedną rolą i pięcioma formularzami to inna praca niż platforma z panelem administracyjnym, kontami firmowymi i modułem płatności.
- Głębokość testu – szybkie sprawdzenie najważniejszych ryzyk kosztuje mniej niż dogłębny test manualny z próbą eksploatacji i eskalacji.
- Wariant wiedzy – black-box (brak dostępów), grey-box (konto użytkownika) czy white-box (dostęp do kodu). Więcej wiedzy to zwykle dokładniejszy, ale i droższy test.
- Retest – czy w cenie jest ponowne sprawdzenie, że załatane podatności faktycznie zniknęły.
- Doświadczenie zespołu – certyfikowany pentester z wieloletnią praktyką kosztuje więcej niż junior, i to się przekłada na jakość ustaleń.
Dlaczego najtańsza oferta bywa najdroższa
Oferta wyraźnie tańsza od pozostałych zwykle oznacza jedno z dwóch: albo wykonawca zrozumiał zakres węziej, niż myślisz, albo zamiast testu manualnego dostaniesz raport z automatycznego skanera z lekką korektą. Problem w tym, że taki „test” uśpi Twoją czujność. Dostaniesz dokument, odhaczysz zadanie, a realne, wykorzystywalne podatności zostaną na miejscu. Fałszywe poczucie bezpieczeństwa jest gorsze niż świadomość, że bezpieczeństwa nie sprawdzono – bo przestajesz szukać.
Tu dochodzimy do wyboru wykonawcy. Na rynku działa CyberForces – zespół z obszaru cyberbezpieczeństwa należący do TestArmy Group, który od 2014 roku zrealizował ponad 2000 projektów w Polsce i za granicą, a 90% z nich prowadzi w modelu długoterminowej współpracy. Dla przedsiębiorcy ta druga liczba jest nawet ważniejsza od pierwszej: powracający klienci to najbardziej wiarygodny sygnał, że dostarczana wartość jest realna, bo nikt nie przedłuża umowy z dostawcą, który sprzedał mu wydrukowany skan.
“Przedsiębiorca nie kupuje „pentestu” jako produktu z półki, tylko odpowiedź na pytanie, czy jego firmę da się zhakować i co z tym zrobić. Dlatego o wartości testu nie decyduje cena, tylko to, czy raport nadaje się do wdrożenia przez zespół klienta następnego dnia” – mówi Sebastian Gilon, ekspert ds. bezpieczeństwa IT w CyberForces.
Jak czytać ofertę – czego szukać, a co powinno zapalić lampkę
Zanim wybierzesz, sprawdź, czy oferta i wykonawca spełniają kilka warunków:
| Na plus (szukaj tego) | Na minus (ostrożnie) |
| Opisany zakres i metodyka (np. OWASP) | „Kompleksowy test bezpieczeństwa” bez szczegółów |
| Certyfikaty zespołu (OSCP, OSCE3, CISSP) | Brak informacji, kto wykona test |
| Przykładowy raport do wglądu | Niemożność pokazania próbki raportu |
| Retest w cenie lub jasno wyceniony | Brak retestu – nie wiesz, czy łatki działają |
| Referencje, doświadczenie w Twojej branży | Tylko cena jako argument |
Prośba o przykładowy (zanonimizowany) raport to najprostszy test wykonawcy. Firma, która robi rzetelne testy, pokaże strukturę dokumentu bez problemu. Jeśli słyszysz wymówki, to sygnał.
Co powinno znaleźć się w raporcie
Niezależnie od ceny, raport z pentestu powinien zawierać:
- streszczenie dla zarządu – bez żargonu, z oceną ogólnego ryzyka,
- listę podatności uszeregowaną według realnego ryzyka, nie tylko według CVSS,
- dowód wykorzystania każdej istotnej podatności (nie samo „możliwe”),
- konkretne, wykonalne rekomendacje naprawcze,
- informację, czy i jak przeprowadzono retest.
Ile to kosztuje – realne widełki
Bez znajomości zakresu żadna liczba nie jest wiążąca, ale dla orientacji: prosty test pojedynczej aplikacji webowej to zwykle kilka-kilkanaście tysięcy złotych, rozbudowana platforma z wieloma rolami i integracjami – kilkadziesiąt tysięcy, a złożone projekty obejmujące infrastrukturę, aplikacje i testy socjotechniczne idą wyżej. Traktuj te widełki jako punkt wyjścia do rozmowy, nie jako cennik. Kluczowe jest, by porównywać oferty o tym samym zakresie – inaczej porównujesz jabłka z gruszkami.
Podsumowanie – decyzja w pięciu krokach
- Zdefiniuj dokładnie, co ma być testowane.
- Poproś minimum trzech wykonawców o wycenę na ten sam zakres.
- Sprawdź certyfikaty zespołu i poproś o przykładowy raport.
- Porównaj oferty merytorycznie, nie tylko cenowo – i odrzuć ofertę podejrzanie tanią.
- Upewnij się, że w cenie jest retest, i ustal, jak często test będzie powtarzany.
Dobrze dobrane pentesty CyberForces albo innego sprawdzonego wykonawcy to nie koszt „na papier”, lecz inwestycja, która realnie obniża ryzyko kosztownego incydentu. Różnica między firmą, która naprawdę testuje, a tą, która sprzedaje skan, zwraca się przy pierwszej próbie włamania – pytanie tylko, po której stronie chcesz wtedy stać.
