Trh s pentesty je nepřehledný. Stejnou službu vám nabídne nadšenec s automatickým skenerem i tým certifikovaných specialistů — a oba tomu řeknou „penetrační test". Tady je, jak je od sebe rozeznat dřív, než podepíšete.
Proč je výběr dodavatele tak těžký
Penetrační testování je obor, kde laik prakticky nemůže posoudit kvalitu předem. Dodavatel se prezentuje certifikáty a hezkým webem, ale skutečnou práci uvidíte až ve výstupu — a to už máte zaplaceno. Navíc je vstup do oboru snadný: stáhnout open-source skener a poslat zákazníkovi jeho výstup umí kdokoliv. Rozdíl mezi tímto a poctivou ruční prací je přitom propastný.
Dobrá zpráva: existuje několik signálů, které spolehlivě oddělí profesionály od těch, kdo jen prodávají výstup nástroje. Pojďme si je projít.
Signál 1: Ptají se víc, než slibují
Nejlepší filtr přijde hned na začátku. Dobrý dodavatel se vás bude vyptávat: na jaké systémy, proč test děláte, co je kritické, jaké je prostředí, jaká očekáváte hloubka. Bude chtít rozsah upřesnit, než vám dá cenu.
Špatný dodavatel pošle obratem paušální nabídku „pentest webu za X korun" bez jediné otázky. To znamená, že vám prodává předem připravený balíček, ne službu šitou na míru vašemu riziku. U bezpečnosti je generický balíček varovný signál.
Signál 2: Umí vysvětlit metodiku
Zeptejte se přímo: „Podle jaké metodiky postupujete?" Profesionál bez váhání odkáže na zavedené rámce jako OWASP (pro webové aplikace a API), PTES, OSSTMM nebo MITRE ATT&CK a dokáže vám vysvětlit, co to v praxi znamená.
Pokud dodavatel odpoví vágně, mluví jen o „pokročilých nástrojích" a neumí pojmenovat žádnou metodiku, je pravděpodobné, že jeho proces spočívá ve spuštění skeneru a přeposlání výsledku.
Signál 3: Poměr ruční a automatické práce
Zeptejte se, jakou část testu tvoří ruční práce. Automatické skenery jsou užitečné na úvodní zmapování, ale skutečnou hodnotu přináší tester, který zranitelnosti ručně ověřuje, řetězí a hledá logické chyby, na které žádný nástroj nestačí.
Pokud z odpovědi vyplyne, že jde převážně o automatický sken s minimem ruční práce, platíte za něco, co byste si za zlomek ceny mohli spustit sami. Naopak dodavatel, který popíše, jak ručně ověřuje nálezy a eliminuje false positives, ví, co dělá.
Signál 4: Kvalita ukázkového reportu
Tohle je nejsilnější jediný test. Vyžádejte si anonymizovaný vzorový report. Dobrý report poznáte podle toho, že:
- má srozumitelné manažerské shrnutí pro vedení i detailní technickou část pro specialisty,
- u každého nálezu je důkaz zneužitelnosti, ne jen suché tvrzení,
- nálezy jsou prioritizované podle reálného rizika ve vašem kontextu, ne jen seřazené podle automatického skóre,
- obsahuje konkrétní, proveditelná doporučení k nápravě, ne obecné fráze typu „aktualizujte software".
Pokud dodavatel ukázkový report odmítá poskytnout, nebo vám pošle pár stránek vyexportovaných ze skeneru, máte odpověď.
Signál 5: Certifikace a kvalifikace týmu
Certifikace nejsou všechno, ale jsou užitečný indikátor. U jednotlivců se ptejte na uznávané certifikace jako OSCP, OSWE, CRTO, GPEN nebo CEH. U firmy může být relevantní akreditace jako CREST, zejména pokud potřebujete test pro náročnou regulaci.
Důležité ale je, kdo bude test skutečně provádět. Ptejte se konkrétně na lidi přiřazené na váš projekt, ne jen na to, že „firma má certifikované specialisty". Zkušenost a certifikace seniorního testera, který nakonec dělá vaši práci, jsou to, na čem záleží.
Signál 6: Jasná smlouva, pojištění a mlčenlivost
Dáváte dodavateli povolení útočit na vaše systémy a přístup k citlivým informacím. Profesionál to bere vážně a bude mít:
- smlouvu a explicitní písemné povolení k testování (authorization letter), které chrání obě strany,
- dohodu o mlčenlivosti (NDA) jako samozřejmost,
- pojištění odpovědnosti pro případ, že se během testu něco poškodí,
- jasně domluvený postup při kritickém nálezu — kdo, koho a jak rychle informuje, ještě před vydáním reportu.
Dodavatel, který nad smluvním ošetřením mávne rukou, je riziko sám o sobě.
Signál 7: Co se děje po testu
Test nekončí předáním reportu. Ptejte se:
- Je v ceně retest ověřující, že jste nálezy opravili? (Často se účtuje zvlášť — chtějte to vědět dopředu.)
- Nabízí konzultaci k výstupu, kde vám nálezy vysvětlí a pomůže s prioritizací oprav?
- Je ochotný komunikovat s vašimi vývojáři během nápravy?
Dodavatel, kterému jde o dlouhodobý vztah, tyto věci nabízí. Ten, kdo chce jen vyfakturovat a zmizet, předá PDF a tím pro něj projekt končí.
Varovné signály na jednom místě
Zpozorněte, pokud dodavatel:
- dá cenu bez jakýchkoliv otázek na rozsah,
- je výrazně levnější než ostatní (téměř jistě nabízí mělčí rozsah),
- neumí pojmenovat metodiku,
- odmítá ukázkový report,
- garantuje, že „najde všechno" nebo že „budete 100% v bezpečí" (seriózní tester nikdy nic takového neslíbí),
- nechce řešit smlouvu, povolení a mlčenlivost,
- nemá jasno v tom, kdo konkrétně bude test dělat.
Pět otázek, které rozhodnou
Když nemáte čas na nic jiného, položte dodavateli těchto pět otázek a poslouchejte, jak odpovídá:
- Jakou metodikou se řídíte a kolik práce je ruční?
- Můžu vidět anonymizovaný ukázkový report?
- Kdo konkrétně bude náš test provádět a jakou má kvalifikaci?
- Co se stane, když během testu najdete kritickou zranitelnost?
- Je v ceně retest a konzultace nad výstupem?
Z toho, jak sebejistě, konkrétně a srozumitelně dodavatel odpoví, poznáte víc než z celého jeho webu.
Srovnávat dodavatele je těžké, když každý posílá nabídku v jiném formátu. TrustScope vám umožní oslovit dodavatele jedním strukturovaným zadáním a dostat zpět srovnatelné nabídky — abyste vybírali podle obsahu, ne podle obalu.