Содержание
За 30 секунд
- Единица измерения — день тестирования (человеко-день): предложение без числа дней не с чем сравнить.
- Объём определяют шесть факторов: периметр, сложность, роли, информация для тестировщика, требования соответствия и ограничения проведения.
- Тест без информации рискует оставить уязвимости ненайденными за отведённое время — об этом говорит и руководство NCSC 1.
- Отчёт должен говорить, как устранить каждую проблему 1, а повторный тест подтверждает исправления — PCI DSS требует его прямо 5.
- Второй цикл обычно дешевле: периметр уже изучен.
Единица измерения: день тестирования
На вопрос «сколько стоит пентест?» почти всегда отвечают «зависит». Это не уклонение: пентест оплачивается по трудозатратам специалиста. Серьёзные предложения строятся одинаково — оценивается число человеко-дней тестирования, добавляются отчёт и повторный тест, итог умножается на дневную ставку поставщика. Поэтому два очень разных предложения могут быть оба верными: одно оценило пять дней, другое — пятнадцать, потому что по-разному поняли периметр.
Периметр фиксируется до цены. Руководство NCSC требует, чтобы определение периметра заканчивалось документом, где указаны, среди прочего, технические границы теста 1; руководство NIST по техническому тестированию тоже ставит планирование перед самим тестированием 2.
Шесть факторов, определяющих объём
- Размер периметра
Сколько IP-адресов, приложений, доменов и поддоменов, мобильных приложений.
- Функциональная сложность
Приложение с тремя экранами и с восемьюдесятью не тестируются за одно время, даже на одном сервере.
- Роли и потоки
Каждая роль умножает тесты авторизации: кто что может видеть и менять.
- Информация для тестировщика
Black, grey или white box: с документацией и доступом время переходит с разведки на реальное тестирование.
- Требования соответствия
Тест для PCI DSS, ISO 27001 или DORA требует структуры, доказательств и задокументированного повторного теста — дополнительное время на отчёт.
- Ограничения проведения
Тестирование только в нерабочее время, чувствительный продакшен, согласования с облачными провайдерами.
Оцените объём
Оцените объём работ для вашего периметра
Ориентировочно, по нашим типичным проектам. Результат — в человеко-днях, а не в деньгах: так корректно сравниваются два предложения.
0 человеко-дней всего
- Тестирование
- 0
- Отчёт
- 0
- Повторный тест
- 0
Что чаще всего увеличивает объём здесь: Много забытых поддоменов в периметреЧисло ролей и бизнес-логикаЧисло активных хостов, а не выделенных адресовЧисло доменов, доверительных отношений, филиаловAPI бэкенда, если его ещё не тестировалиЧисло аккаунтов, регионов и сервисовЧисло сценариев и персонализированных предлогов
- Небольшой периметр: диапазон смещается к нижней границе.
- Средний периметр: середина типичного диапазона.
- Большой периметр: диапазон смещается к верхней границе.
- Black box: примерно на четверть больше — на разведку, то есть на то, что вы и так знаете.
- Grey box: базовый диапазон; время уходит на тестирование, а не на угадывание архитектуры.
- White box: те же дни, но перенесённые с разведки на реальное тестирование — более глубокие находки при том же объёме.
- Отчёт для соответствия: один дополнительный день на отчёт — периметр, методология, ограничения и доказательства в структуре, которую ждёт аудитор.
- Повторный тест: проверка исправлений, обычно около пятой части дней тестирования.
Порядок величины по видам тестов
Диапазоны ниже — из наших типичных проектов: это объём тестирования, а не цены. Используйте их для проверки любого предложения: если кто-то обещает полный тест сложного веб-приложения за два дня, вы сравниваете не цены, а разную глубину.
| Вид теста | Типичный объём | Что чаще всего увеличивает |
|---|---|---|
| Небольшое веб-приложение (сайт, простой портал) | 3–5 дней | Много забытых поддоменов в периметре |
| Сложное веб-приложение (SaaS, банк, много ролей) | 8–20 дней | Число ролей и бизнес-логика |
| Внешняя инфраструктура | 3–8 дней | Число активных хостов, а не выделенных адресов |
| Внутренняя инфраструктура / Active Directory | 5–15 дней | Число доменов, доверительных отношений, филиалов |
| Мобильное приложение (одна платформа) | 5–10 дней | API бэкенда, если его ещё не тестировали |
| Облачная среда (конфигурация и идентичности) | 4–10 дней | Число аккаунтов, регионов и сервисов |
| Социальная инженерия / фишинг | 3–8 дней | Число сценариев и персонализированных предлогов |
Black, grey или white box: что дороже
Как ни странно, black box обычно дороже при том же результате. Без информации часть оплаченных дней уходит на разведку — на то, что вы и так знаете. NCSC говорит прямо: нехватка информации может оставить часть уязвимостей ненайденными за отведённое время 1.
Grey box — тестовые учётные записи для каждой роли и базовая документация — обычный выбор для веб-приложений: в руководстве OWASP по тестированию (WSTG, стабильная версия 4.2) целые главы тестов авторизации и бизнес-логики, для которых нужны учётные записи 3. Black box имеет смысл, когда нужен именно взгляд внешнего атакующего без внутренних знаний.
Как сравнить два предложения
Разница в цене между поставщиками редко идёт от дневной ставки; она идёт от того, что поставляется. «Пентест» сложного приложения за один день почти всегда — автоматическое сканирование с экспортированным отчётом. NCSC описывает пентест как способ получить уверенность, а не как основной метод поиска уязвимостей 1 — а уверенность даёт ручная работа.
- Ручное тестирование бизнес-логики — сканеры её не покрывают.
- Повторный тест включён или оплачивается отдельно — без него реальная стоимость выше указанной.
- Кто пишет отчёт: отчёт инструмента и отчёт тестировщика выглядят совершенно по-разному; отчёт должен говорить, как устранить каждую проблему 1.
- Структура отчёта для аудита: периметр, методология, ограничения, находки и отдельный отчёт о повторном тесте с датами обоих тестов 4.
- Критичность, обоснованная контекстом, а не только оценкой CVSS.
Как снизить стоимость без потери ценности
- Дайте доступ и документацию. Каждый час, когда тестировщик угадывает архитектуру, — это оплаченный час разведки, а не тестирования.
- Сузьте периметр до важного: системы с данными и выручкой, а не весь инвентарь.
- Сначала запустите собственное сканирование и исправьте найденное. Не платите специалисту за поиск пропущенного патча.
- Планируйте регулярное тестирование: во втором цикле объём снижается, потому что периметр уже известен.
Как часто повторять и что это значит для бюджета
PCI DSS требует внутренних и внешних пентестов минимум раз в 12 месяцев и после любого значимого изменения, плюс повтор теста для подтверждения исправлений 5. Вне регулирования NCSC отмечает, что между тестами нередко проходит год и более 1. Наша рекомендация: ежегодно и после крупных изменений — а регулярная программа использует то, что второй цикл короче.
Частые вопросы
Сколько в среднем стоит пентест?
Почему поставщики не публикуют фиксированные цены?
Black box или white box — что дороже?
Повторный тест после исправлений оплачивается отдельно?
Как часто повторять тест?
Источники
Каждое утверждение о законе или стандарте ссылается на официальный источник. Проверено на указанную дату.
- NCSC — Penetration testing (руководство)ncsc.gov.uk · проверено 23 октября 2026 г.
- NIST SP 800-115 — Technical Guide to Information Security Testing and Assessment (2008)csrc.nist.gov · проверено 23 октября 2026 г.
- OWASP Web Security Testing Guide (WSTG)owasp.org · проверено 23 октября 2026 г.
- PCI SSC — Penetration Testing Guidance v1.1 (2017)pcisecuritystandards.org · проверено 23 октября 2026 г.
- PCI DSS v4.0.1 — SAQ D для поставщиков услуг, r2 (текст требования 11.4)pcisecuritystandards.org · проверено 23 октября 2026 г.
Об авторах
Руководства пишет команда, которая проводит тесты, а не отдел маркетинга. Мы обновляем их, когда меняется закон, стандарт или то, что мы видим в тестах.