Сколько стоит пентест: из чего складывается цена
Пентест продаётся днями работы. Что увеличивает число дней, что уменьшает, почему без анкеты сметы не бывает и как отличить дешёвый пентест от сканирования.
Цена пентеста — это дни работы, умноженные на ставку специалиста, плюс отчёт и повторная проверка. Ставки у серьёзных команд различаются не в разы. Разница в сметах почти всегда — разница в оценке дней. Поэтому вопрос «сколько стоит пентест» без описания системы звучит как «сколько стоит ремонт». Ниже — из чего складываются дни, что их сокращает и как отличить смету на пентест от сметы на сканирование с другим названием.
Что определяет число дней
Дней тем больше, чем шире объём, чем меньше команда знает о системе на старте и чем жёстче условия работ. Семь факторов, и каждый считается отдельно.
| Фактор | Что считаем | Как влияет |
|---|---|---|
| Объём | Адреса, приложения, роли, функции, методы API | API на триста методов — не лендинг |
| Тип работ | Периметр, веб, мобильное, внутренняя сеть, беспроводная, люди | Две мобильные платформы — почти вдвое |
| Уровень знания | Чёрный, серый, белый ящик | Чёрный дороже разведкой, белый — чтением кода |
| Сложность | SPA и API, микросервисы, единый вход, привязка сертификатов в приложении | Каждый слой — свои проверки |
| Условия | Окна ночью и в выходные, только продуктив, работа на площадке | Медленнее и осторожнее |
| Отчёт | Языки, привязка к PCI DSS или ISO 27001, презентация руководству | Дни уходят на письмо |
| Повторная проверка | Одна в течение одного-трёх месяцев обычно включена | Повторная по всему объёму — отдельно |
Ориентиры по дням
Это порядок величины. Смета появляется после анкеты.
- Внешний периметр из десяти-тридцати адресов: пять-десять дней.
- Веб-приложение с личным кабинетом и API: десять-пятнадцать дней.
- Мобильное приложение на двух платформах с сервером: десять-двадцать дней.
- Внутренняя сеть на двести-пятьсот узлов: десять-двадцать дней.
- Красная команда — другой продукт: шесть-двенадцать недель.
Какой из этих видов нужен именно вам — в статье про виды пентеста.
Что делает дешевле
- Точные границы. «Платёжный контур и личный кабинет» вместо «всё». Остальное — в следующий раз.
- Серый ящик. Учётные записи, схема, описание API экономят дни разведки, а находят больше.
- Тестовый стенд, похожий на продуктив, с данными. На нём можно проверять то, что на продуктиве нельзя.
- Доступы к первому дню. Каждый день ожидания VPN — оплаченный день.
- Один контакт с правом решать.
Что делает дороже — незаметно
- «Всё и сразу» без приоритетов: дни размазываются, глубины нет нигде.
- Продуктив без права на ошибку: нельзя нагружать, нельзя писать в базу — часть проверок только руками и медленно.
- Согласование каждого шага: команда ждёт, счётчик идёт.
- Сжатые сроки: две команды параллельно стоят как две команды.
Дешёвый пентест дешёв не потому, что команда щедрая, а потому что дней в нём мало. Вопрос — на что их не хватило.
С чем сравнивать смету
Не с нулём. С 19 июня 2026 года за киберинцидент высокого уровня из-за пренебрежения защитой юридическому лицу в Беларуси грозит до 600 базовых величин штрафа, это 27 тысяч рублей, — без учёта простоя и уведомлений клиентам. В августе 2026 года бухгалтеры десяти минских компаний перевели «директорам» из мессенджера больше 300 тысяч рублей — в среднем по тридцать тысяч на компанию, столько же стоит неделя работы команды, которая проверила бы почту, доступы и регламент платежей.
Слишком дёшево — это как
- Отчёт — экспорт сканера с логотипом на обложке.
- Нет шагов воспроизведения и доказательств: находки нельзя ни проверить, ни закрыть.
- Нет повторной проверки.
- В договоре нет ни окон работ, ни контактов на случай сбоя: команда, которая об этом не спросила, ничего эксплуатировать не собирается.
- Смета за час, без единого вопроса о системе.
Как получить смету
Анкета из десяти вопросов: что проверяем — адреса и приложения; сколько ролей; есть ли API и его описание; стенд или продуктив; окна работ; чёрный, серый или белый ящик; сроки; для кого отчёт; нужна ли повторная проверка; есть ли требования регулятора или партнёра. День на ответы — и смета с числом дней по каждому блоку, чтобы было видно, за что именно. Что входит в работу и в отчёт — на странице пентеста.
Напишите на hello@cyberiti.by — пришлём анкету.