Cuprins
În 30 de secunde
- O scanare compară ce vede cu vulnerabilități cunoscute; un test de penetrare încearcă să le exploateze și să ajungă la date — e o metodă de asigurare, nu în primul rând de găsit vulnerabilități 2.
- Defectele de logică de business nu pot fi detectate de un scaner — o spune ghidul de testare OWASP 1.
- PCI DSS le cere pe amândouă: scanări o dată la trei luni (11.3) și pentest o dată la 12 luni (11.4) 3.
- DORA, regulamentul NIS2 pentru furnizorii digitali și BNM numesc și ele ambele metode 679.
- Scanare PCI
- la 3 luni 3
- Pentest PCI
- la 12 luni 3
- Logica de business
- doar manual 1
- Pentest BNM
- min. la 3 ani 9
Ce este, de fapt, o scanare de vulnerabilități
Un scaner compară ce vede — versiuni de software, antete, servicii deschise, răspunsuri la cereri standard — cu o bază de vulnerabilități cunoscute. E rapid, repetabil și poate rula automat în fiecare săptămână. E cel mai bun instrument pentru o singură întrebare: „am rămas în urmă cu actualizările undeva?”.
Limita lui nu e de calitate, ci de natură: un scaner recunoaște tipare. Nu știe ce face aplicația dumneavoastră, ce înseamnă un rol de utilizator în business-ul dumneavoastră sau cui îi aparține o factură. De aceea PCI DSS judecă o scanare externă după un prag simplu: trece dacă nicio componentă nu are vulnerabilități cu scor CVSS de 4.0 sau mai mare 4.
Ce adaugă un test de penetrare
Ghidul PCI SSC descrie testul de penetrare ca „un proces manual” care poate folosi și scanări sau alte unelte automate 5. Testerul pornește de la aceleași date, dar pune întrebările pe care o unealtă nu le poate pune: ce se întâmplă dacă schimb identificatorul din cerere cu al altui client? Ajung de la un cont obișnuit la unul de administrator? Dacă înlănțuiesc trei constatări „medii”, cât de departe ajung?
NCSC, agenția britanică de securitate cibernetică, spune că testul trebuie privit ca o metodă de a obține asigurarea că sistemul rezistă, nu ca metoda principală de găsit vulnerabilități 2. Altfel spus: scanarea găsește, testul dovedește.
Comparație directă
| Criteriu | Scanare | Test de penetrare |
|---|---|---|
| Cum se face | Automat, pe semnături | Manual, cu unelte ca sprijin 5 |
| Frecvența cerută | PCI: la 3 luni și după schimbări 3 | PCI: la 12 luni și după schimbări 3 |
| Vulnerabilități cunoscute | Da — rolul lui principal | Da, dar nu acolo stă valoarea |
| Logică de business, acces între utilizatori | Nu 1 | Da — scopul declarat |
| Înlănțuirea constatărilor | Nu | Da |
| Fals-pozitive (din practica noastră) | Frecvente; cer triere | Rare; fiecare constatare e verificată |
| Ce dovedește | Că monitorizați continuu | Că măsurile chiar funcționează 2 |
Ce cer reglementările
Cadrele de conformitate le tratează diferit, dar niciunul dintre cele de mai jos nu se mulțumește cu scanarea singură:
| Cadru | Scanare | Test de penetrare |
|---|---|---|
| PCI DSS v4.0.1 | Internă și ASV externă, la 3 luni (11.3) 3 | Intern și extern, la 12 luni (11.4) 3 |
| NIS2, Reg. 2024/2690 | La intervale planificate (6.10.2(b)) 6 | Teste de securitate după evaluarea riscului (6.5); considerentul 15 numește testele de penetrare 6 |
| DORA | În lista de teste a art. 25 7 | În aceeași listă; anual pe sistemele critice (art. 24(6)) 7 |
| SOC 2 | Periodic și după schimbări (CC7.1) 8 | Una dintre evaluările numite la CC4.1 8 |
| BNM, Regulamentul TIC | Proporțional cu riscul (pct. 33.1) 9 | Pe sistemele critice, min. la 3 ani (pct. 33.2) 9 |
Scanare, pentest sau amândouă?
Alegeți ce urmăriți și sub ce cadru sunteți; instrumentul combină ce cere obiectivul cu ce cere reglementarea 36789.
De ce aveți nevoie? Răspundeți la două întrebări
Orientativ, după cerințele citate în ghid. Răspunsurile rămân în browser.
Scanare recurentă
Test de penetrare
Amândouă: scanare și test de penetrare
- Scanare recurentă pe tot ce e expus, cel puțin lunar, cu trierea și remedierea urmărite: e cel mai ieftin mod de a prinde un patch lipsă.
- Test de penetrare manual cu câte un cont pe fiecare rol: controlul accesului (A01) și logica de business (A06) nu se găsesc prin scanare.
- Test de penetrare înainte de lansare, apoi scanare recurentă după ea, ca plasă pentru regresii.
- Test țintit pe calea de atac folosită, care arată că breșa e închisă, plus scanare a întregului perimetru expus.
- Din practica noastră: fără un cadru anume, auditorii cer dovada că măsurile funcționează — un raport de test cu perimetru, metodă și re-test, plus istoricul scanărilor.
- PCI DSS: scanări interne și ASV o dată la trei luni (11.3), pentest intern și extern o dată la 12 luni (11.4). Una nu o înlocuiește pe cealaltă.
- NIS2: evaluarea eficacității măsurilor (art. 21(2)(f)); pentru furnizorii digitali, Reg. 2024/2690 cere scanări la intervale planificate (6.10.2(b)) și teste de securitate după evaluarea riscului (6.5).
- DORA: program de testare cu scanări și teste de penetrare (art. 25), cel puțin anual pe sistemele care susțin funcții critice (art. 24(6)).
- SOC 2: scanări periodice și după schimbări (punct de atenție la CC7.1); pentestul e una dintre evaluările numite la CC4.1. ISO 27001 lasă alegerea pe seama analizei de risc.
- BNM: scanări de vulnerabilități și teste de penetrare proporționale cu riscul (pct. 33.1); pe sistemele critice, pentest cel puțin o dată la 3 ani (pct. 33.2).
Cum se folosesc împreună
Întrebarea corectă nu e „care dintre ele”, ci „în ce ordine”. Scanarea e plasa care rulează tot timpul și prinde ieftin regresiile; testul manual verifică periodic ce plasa nu poate prinde. Din practica noastră: cine începe cu testul manual pe o infrastructură nepetecită plătește un specialist ca să citească rezultatele unui scaner.
- Scanare recurentă
Pe tot ce e expus, cu trierea și remedierea urmărite.
- Test de penetrare periodic
Cel puțin anual, pe sistemele care țin datele și veniturile, și după schimbări mari.
- Re-test documentat
Fără el, nici scanarea, nici testul nu închid bucla; PCI DSS îl cere explicit (11.4.4) 3.
Cum recunoașteți un „pentest” care e de fapt o scanare
Din practica noastră, trei semne sunt de ajuns:
- Durata: un test serios pe o aplicație reală nu se termină într-o zi.
- Raportul: dacă fiecare constatare are aceeași structură generică și remedierea pare copiată, vine dintr-o unealtă.
- Dovada: un test manual arată pașii de exploatare, reproductibili, și impactul pentru business-ul dumneavoastră, nu doar un scor CVSS.
Întrebări frecvente
Care e diferența dintre un pentest și o scanare de vulnerabilități?
Îmi ajunge o scanare pentru conformitate?
Cât de des trebuie făcută fiecare?
Cu ce încep dacă am buget limitat?
Ce înseamnă că o scanare ASV „trece”?
Surse
Fiecare afirmație despre lege sau standard trimite la sursa ei oficială. Consultate la data indicată.
- OWASP WSTG — introducere în testarea logicii de businessowasp.org · consultat 23 octombrie 2026
- NCSC (Regatul Unit) — Penetration testingncsc.gov.uk · consultat 23 octombrie 2026
- PCI DSS v4.0.1 — SAQ D pentru furnizori de servicii, r2 (textul cerințelor 11.3 și 11.4)pcisecuritystandards.org · consultat 23 octombrie 2026
- ASV Program Guide v4.0 r2pcisecuritystandards.org · consultat 23 octombrie 2026
- PCI SSC — Penetration Testing Guidance v1.1 (2017)pcisecuritystandards.org · consultat 23 octombrie 2026
- Regulamentul de punere în aplicare (UE) 2024/2690 (NIS2, cerințe tehnice)eur-lex.europa.eu · consultat 23 octombrie 2026
- Regulamentul (UE) 2022/2554 (DORA)eur-lex.europa.eu · consultat 23 octombrie 2026
- AICPA — 2017 Trust Services Criteria (puncte de atenție revizuite, 2022)aicpa-cima.com · consultat 23 octombrie 2026
- BNM — Regulamentul privind cerințele minime pentru gestionarea riscurilor TIC (HCE nr. 29/2025)bnm.md · consultat 23 octombrie 2026
- OWASP Top 10:2025owasp.org · consultat 23 octombrie 2026
- A01:2025 Broken Access Controlowasp.org · consultat 23 octombrie 2026
Despre autori
Ghidurile le scrie echipa care face testele, nu un departament de marketing. Le actualizăm când se schimbă legea, standardul sau ce vedem în teste.