Vad kostar ett penetrationstest – och vad ingår?

”Vad kostar ett penetrationstest?” är en av de frågor vi får oftast. Det ärliga svaret är att det beror på – men inte på ett godtyckligt sätt. Priset på ett manuellt test styrs nästan helt av en sak: hur många dagar en kvalificerad testare behöver för att gå igenom det ni vill ha testat. Förstår ni vad som påverkar antalet dagar kan ni både budgetera rätt och jämföra offerter på riktigt.

Den här artikeln går igenom vad ett penetrationstest är, vad som driver priset, vad som ska ingå i en seriös leverans och vilka varningstecken ni ska hålla utkik efter.

Vad är ett penetrationstest – och vad är det inte?

Ett penetrationstest är ett avtalat, avgränsat test där en säkerhetsexpert försöker ta sig förbi era skydd på samma sätt som en angripare skulle göra – men med ert tillstånd och med syftet att dokumentera bristerna. Brittiska NCSC beskriver det som ett sätt att få kvitto på att ert säkerhetsarbete fungerar, ungefär som en extern revision. Det är alltså inte tänkt att vara ert enda sätt att hitta sårbarheter.

Begreppet används ibland slarvigt. Så här skiljer sig de vanligaste tjänsterna åt:

Alla priser är exklusive moms. Den viktigaste skillnaden är att ett penetrationstest kräver mänskligt omdöme. Ett verktyg kan konstatera att en inloggningssida finns. En testare kan upptäcka att en kund kan se en annan kunds ordrar genom att byta en siffra i adressfältet. Det är ett exempel på bruten åtkomstkontroll, den kategori som ligger överst på OWASP Top 10, och något inget automatiskt verktyg hittar på egen hand.

Vad styr priset?

1. Omfattningen

Det här är den överlägset största faktorn. En broschyrsajt utan inloggning är något helt annat än en e-handel med kundkonton, administrationsgränssnitt, betalintegration och ett API för appen. Det som driver tid är framför allt:

• antalet roller som ska testas (besökare, kund, administratör, återförsäljare …),
• antalet funktioner och flöden – kassa, filuppladdning, export, integrationer,
• antalet API-anrop eller IP-adresser som ingår,
• om det finns flera miljöer eller applikationer som hänger ihop.

2. Hur mycket testaren får veta

Ett test där testaren börjar utan någon information (black box) liknar en extern angripare, men en stor del av tiden går åt till att gissa sig fram. Får testaren testkonton för varje roll och en kort genomgång av systemet (grey box) hinner hen gå djupare på samma tid. För de flesta småföretag ger grey box mest säkerhet per krona.

3. Metod och djup

Seriösa leverantörer följer en etablerad metod, till exempel OWASP Web Security Testing Guide för webbapplikationer eller PTES (Penetration Testing Execution Standard) för bredare tester. Krav på att verifiera mot en viss nivå i OWASP ASVS, eller att testet ska täcka källkod, ökar tiden.

4. Praktiska förutsättningar

Tester som måste göras på kvällar och helger, i produktion med särskilda begränsningar eller med en testare på plats kostar mer. En testmiljö som speglar produktion gör testet både billigare och tryggare.

5. Rapport och uppföljning

En rapport på engelska till en utländsk ägare, kartläggning av fynden mot ISO 27001 eller NIS2, en extra presentation för styrelsen eller flera omtester påverkar priset. Fråga alltid om omtest av åtgärdade fynd ingår.

Räkneexempel

Eftersom priset i grunden är antal dagar × dagpris är det mer användbart att tänka i dagar än i kronor. Tabellen visar ungefärliga riktvärden från vår erfarenhet för grey box-tester. Er offert ska alltid bygga på ert faktiska system.

Till det kommer tid för planering, rapport och genomgång. En offert som anger antal dagar och vad som ingår gör det mycket lättare att jämföra leverantörer än ett klumpbelopp.

Vad ska ingå i ett penetrationstest?

Oavsett leverantör bör följande finnas med:

1. Skriftlig avgränsning och tillstånd. Vilka system, adresser och konton som ingår, vad som är undantaget, testfönster och kontaktvägar. Utan skriftligt tillstånd är det inte ett penetrationstest. Drivs systemen av ett webbhotell eller en molnleverantör kan deras godkännande också behövas.
2. Larm vid kritiska fynd. Hittar testaren något allvarligt ska ni få veta det direkt, inte i rapporten veckan efter.
3. En rapport med två delar. En sammanfattning för ledningen på begriplig svenska och en teknisk del där varje fynd har riskbedömning, bevis, steg för att återskapa och konkret åtgärdsförslag.
4. En genomgång där ni kan ställa frågor om resultatet.
5. Omtest av åtgärdade fynd, så att ni vet att rättningarna fungerar.
6. Sekretess – fynd och åtkomstuppgifter är känsliga. Be om sekretessavtal och fråga hur data hanteras och raderas.

I Secvras penetrationstester ingår allt detta, och omtest av åtgärdade fynd inom 60 dagar ingår i priset.

Så jämför ni offerter

Ställ samma frågor till alla leverantörer:

• Hur många konsultdagar ingår, och hur är de fördelade mellan test och rapport?
• Vem utför testet, och vilken erfarenhet har hen? Certifieringar som OSCP eller CREST säger något om kunskapsnivån, men be också om referenser.
• Vilken metod följer ni?
• Kan vi se en avidentifierad exempelrapport?
• Ingår omtest, och inom vilken tid?

Varningstecken: ett fast pris utan att leverantören frågat något om ert system, en ”pentest-rapport” som bara är utdata från ett skanningsverktyg, ingen skriftlig avgränsning eller ett löfte om att testet ska hitta ”alla” sårbarheter. Inget test kan garantera det.

Hur ofta behövs ett penetrationstest?

En vanlig tumregel är minst en gång per år och dessutom efter större förändringar: ny inloggningslösning, ny betalintegration, ny version av kundportalen eller ett byte av plattform. Hanterar ni kortdata i egen miljö kräver PCI DSS penetrationstester minst var tolfte månad och efter betydande förändringar.

Omfattas ni av cybersäkerhetslagen ska ni dessutom kunna bedöma om era säkerhetsåtgärder är effektiva. Ett penetrationstest med en tydlig rapport är ett av de mest konkreta sätten att visa det.

Mellan testerna behövs något som håller koll löpande. NCSC påpekar att ett penetrationstest bara visar läget den dag testet görs. Därför kombinerar vi gärna ett årligt test med löpande övervakning som skannar era system varje vecka.

Få ut mest av pengarna

Den dyraste formen av penetrationstest är den där en erfaren testare lägger dagar på brister ni hade kunnat hitta själva gratis. Gör så här innan ni beställer:

1. Kör en gratis säkerhetsskanning och åtgärda det enkla: säkerhetsheaders, certifikat och gamla PHP-versioner.
2. Uppdatera CMS, tillägg och beroenden.
3. Förbered testkonton för varje roll och en testmiljö som liknar produktion.
4. Avsätt tid för åtgärder direkt efter testet, så att omtestet blir meningsfullt.

Då kan testaren lägga tiden på det som verkligen kräver en människa: behörigheter, affärslogik och de kedjor av små svagheter som tillsammans blir en väg in.

Vill ni ha en fast offert? Boka ett kort samtal, berätta vad ni har, så återkommer vi med omfattning i dagar och ett fast pris. Våra övriga priser hittar ni på prissidan.

Källor

• NCSC (Storbritannien): Penetration testing
• OWASP: Web Security Testing Guide och Application Security Verification Standard
• PCI Security Standards Council: PCI DSS