Содержание
За 30 секунд
- Сканирование сравнивает увиденное с известными уязвимостями; тест на проникновение пытается их эксплуатировать и добраться до данных — это метод получения уверенности, а не в первую очередь поиска уязвимостей 2.
- Ошибки бизнес-логики не может обнаружить сканер уязвимостей — так сказано в руководстве OWASP по тестированию 1.
- PCI DSS требует обоих: сканирование раз в три месяца (11.3) и пентест раз в 12 месяцев (11.4) 3.
- DORA, регламент NIS2 для цифровых поставщиков и НБМ также называют оба метода 679.
- Сканирование PCI
- раз в 3 месяца 3
- Пентест PCI
- раз в 12 месяцев 3
- Бизнес-логика
- только вручную 1
- Пентест НБМ
- минимум раз в 3 года 9
Что такое сканирование уязвимостей на самом деле
Сканер сравнивает увиденное — версии ПО, заголовки, открытые сервисы, ответы на стандартные запросы — с базой известных уязвимостей. Он быстрый, повторяемый и может запускаться автоматически каждую неделю. Это лучший инструмент для одного вопроса: «не отстали ли мы где-то с обновлениями?».
Его ограничение не в качестве, а в природе: сканер распознаёт шаблоны. Он не знает, что делает ваше приложение, что значит роль пользователя в вашем бизнесе и кому принадлежит счёт. Поэтому PCI DSS оценивает внешнее сканирование по простому порогу: оно проходит, если ни у одного компонента нет уязвимостей с оценкой CVSS 4.0 или выше 4.
Что добавляет тест на проникновение
Руководство PCI SSC описывает тест на проникновение как «ручной процесс», который может использовать и сканирование или другие автоматические инструменты 5. Тестировщик исходит из тех же данных, но задаёт вопросы, которые инструмент задать не может: что будет, если подменить идентификатор в запросе на чужой? Можно ли из обычной учётной записи попасть в администраторскую? Если связать три «средние» находки, как далеко можно зайти?
NCSC, британское агентство кибербезопасности, говорит, что тест следует рассматривать как способ получить уверенность в устойчивости системы, а не как основной метод поиска уязвимостей 2. Иначе говоря: сканирование находит, тест доказывает.
Прямое сравнение
| Критерий | Сканирование | Тест на проникновение |
|---|---|---|
| Как выполняется | Автоматически, по сигнатурам | Вручную, с инструментами в помощь 5 |
| Требуемая частота | PCI: раз в 3 месяца и после изменений 3 | PCI: раз в 12 месяцев и после изменений 3 |
| Известные уязвимости | Да — его основная задача | Да, но ценность не в этом |
| Бизнес-логика, доступ между пользователями | Нет 1 | Да — его заявленная цель |
| Цепочки находок | Нет | Да |
| Ложные срабатывания (из нашей практики) | Часты; требуют разбора | Редки; каждая находка проверена |
| Что доказывает | Что вы постоянно отслеживаете | Что меры действительно работают 2 |
Что требуют регуляторы
Рамки соответствия относятся к ним по-разному, но ни одна из перечисленных ниже не довольствуется одним сканированием:
| Рамка | Сканирование | Тест на проникновение |
|---|---|---|
| PCI DSS v4.0.1 | Внутреннее и внешнее ASV, раз в 3 месяца (11.3) 3 | Внутренний и внешний, раз в 12 месяцев (11.4) 3 |
| NIS2, Рег. 2024/2690 | Через плановые интервалы (6.10.2(b)) 6 | Тесты безопасности по оценке риска (6.5); соображение 15 называет тесты на проникновение 6 |
| DORA | В перечне тестов ст. 25 7 | В том же перечне; ежегодно на критичных системах (ст. 24(6)) 7 |
| SOC 2 | Периодически и после изменений (CC7.1) 8 | Одна из оценок, названных в CC4.1 8 |
| Регламент ИКТ НБМ | Пропорционально риску (п. 33.1) 9 | На критичных системах, минимум раз в 3 года (п. 33.2) 9 |
Сканирование, пентест или оба?
Выберите цель и рамку; инструмент объединит то, что нужно для цели, с тем, что требует регулирование 36789.
Что вам нужно? Ответьте на два вопроса
Ориентировочно, по требованиям, приведённым в руководстве. Ответы остаются в браузере.
Регулярное сканирование
Тест на проникновение
И то и другое: сканирование и пентест
- Регулярное сканирование всего открытого, минимум ежемесячно, с отслеживанием разбора и исправлений: самый дешёвый способ найти пропущенный патч.
- Ручной тест на проникновение с учётной записью на каждую роль: контроль доступа (A01) и бизнес-логика (A06) сканированием не находятся.
- Тест на проникновение до запуска, затем регулярное сканирование как страховка от регрессий.
- Целевой тест использованного пути атаки, показывающий, что брешь закрыта, плюс сканирование всего открытого периметра.
- Из нашей практики: без конкретной рамки аудиторы просят доказательство, что меры работают, — отчёт о тесте с периметром, методом и повторным тестом, плюс история сканирований.
- PCI DSS: внутреннее и ASV-сканирование раз в три месяца (11.3), внутренний и внешний пентест раз в 12 месяцев (11.4). Одно не заменяет другое.
- NIS2: оценка эффективности мер (ст. 21(2)(f)); для цифровых поставщиков Рег. 2024/2690 требует сканирования через плановые интервалы (6.10.2(b)) и тестов безопасности по оценке риска (6.5).
- DORA: программа тестирования со сканированием и тестами на проникновение (ст. 25), минимум ежегодно для систем критичных функций (ст. 24(6)).
- SOC 2: периодическое сканирование и после изменений (пункт внимания к CC7.1); пентест — одна из оценок, названных в CC4.1. ISO 27001 оставляет выбор анализу рисков.
- НБМ: сканирование уязвимостей и тесты на проникновение пропорционально риску (п. 33.1); на критичных системах пентест минимум раз в 3 года (п. 33.2).
Как их сочетать
Правильный вопрос не «что из двух», а «в каком порядке». Сканирование — это сеть, которая работает постоянно и дёшево ловит регрессии; ручной тест периодически проверяет то, что сеть поймать не может. Из нашей практики: тот, кто начинает с ручного теста на непропатченной инфраструктуре, платит специалисту за чтение результатов сканера.
- Регулярное сканирование
Всего открытого, с отслеживанием разбора и исправлений.
- Периодический тест на проникновение
Минимум ежегодно, на системах с данными и доходами, и после крупных изменений.
- Документированный повторный тест
Без него ни сканирование, ни тест не замыкают цикл; PCI DSS прямо его требует (11.4.4) 3.
Как распознать «пентест», который на деле сканирование
Из нашей практики достаточно трёх признаков:
- Длительность: серьёзный тест реального приложения не заканчивается за день.
- Отчёт: если каждая находка имеет одинаковую шаблонную структуру, а исправление выглядит скопированным, это вывод инструмента.
- Доказательства: ручной тест показывает воспроизводимые шаги эксплуатации и влияние на ваш бизнес, а не только оценку CVSS.
Частые вопросы
В чём разница между пентестом и сканированием уязвимостей?
Достаточно ли сканирования для соответствия?
Как часто нужно проводить каждое?
С чего начать при ограниченном бюджете?
Что значит «успешное» ASV-сканирование?
Источники
Каждое утверждение о законе или стандарте ссылается на официальный источник. Проверено на указанную дату.
- OWASP WSTG — введение в тестирование бизнес-логикиowasp.org · проверено 23 октября 2026 г.
- NCSC (Великобритания) — Penetration testingncsc.gov.uk · проверено 23 октября 2026 г.
- PCI DSS v4.0.1 — SAQ D для поставщиков услуг, r2 (текст требований 11.3 и 11.4)pcisecuritystandards.org · проверено 23 октября 2026 г.
- ASV Program Guide v4.0 r2pcisecuritystandards.org · проверено 23 октября 2026 г.
- PCI SSC — Penetration Testing Guidance v1.1 (2017)pcisecuritystandards.org · проверено 23 октября 2026 г.
- Имплементационный регламент (ЕС) 2024/2690 (NIS2, технические требования)eur-lex.europa.eu · проверено 23 октября 2026 г.
- Регламент (ЕС) 2022/2554 (DORA)eur-lex.europa.eu · проверено 23 октября 2026 г.
- AICPA — 2017 Trust Services Criteria (пересмотренные пункты внимания, 2022)aicpa-cima.com · проверено 23 октября 2026 г.
- НБМ — Регламент о минимальных требованиях к управлению рисками ИКТ (ПИК № 29/2025)bnm.md · проверено 23 октября 2026 г.
- OWASP Top 10:2025owasp.org · проверено 23 октября 2026 г.
- A01:2025 Broken Access Controlowasp.org · проверено 23 октября 2026 г.
Об авторах
Руководства пишет команда, которая проводит тесты, а не отдел маркетинга. Мы обновляем их, когда меняется закон, стандарт или то, что мы видим в тестах.