Co to jest test penetracyjny i po co się go robi

Atakujący nie dobierają celów według wielkości firmy, tylko według najmniejszego oporu. Dlatego założenie „nas nikt nie zaatakuje” bywa najdroższą pozycją w budżecie IT – rachunek przychodzi później i z odsetkami. Test penetracyjny odwraca tę kolejność: zamiast czekać na incydent, wynajmujesz kogoś, kto włamuje się do systemu na Twoich warunkach i spisuje, którędy wszedł. Poniżej wyjaśniamy, co to jest test penetracyjny, jak przebiega, od czego zależy jego cena, jakie są rodzaje pentestów i czego wymaga nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Piszemy dla osób nietechnicznych, ale też dla menedżerów cyberbezpieczeństwa i CISO.

Co to jest test penetracyjny

Test penetracyjny, w skrócie pentest, to kontrolowany atak na systemy informatyczne, przeprowadzany przez specjalistów bezpieczeństwa za pisemną zgodą właściciela systemu. Celem jest znaleźć podatności w aplikacjach, sieciach i infrastrukturze, a potem je wykorzystać – bo dopiero wykorzystanie pokazuje, co atakujący naprawdę zdołałby z nimi zrobić. Od prawdziwego włamania odróżnia go zakres, harmonogram, zgoda na piśmie i to, że nikt niczego nie niszczy.

Warto od razu oddzielić pentest od skanowania podatności, bo w rozmowach handlowych te dwa pojęcia zlewają się w jedno. Skaner jest narzędziem automatycznym: porównuje wersje i konfiguracje z bazą znanych błędów, a na koniec zwraca listę. Pentester tę listę weryfikuje ręcznie, łączy pojedyncze błędy w łańcuch i sprawdza, dokąd taki łańcuch prowadzi – po drodze znajdując błędy logiki biznesowej, których żaden skaner nie opisze. Skanowanie mówi, co jest nieaktualne. Test mówi, co jest do wykorzystania i ile to naprawdę kosztuje.

Dobrą analogią jest audyt finansowy. Audytor nie prowadzi księgowości za firmę – sprawdza, czy procesy i kontrole działają tak, jak deklaruje zarząd. Test penetracyjny robi to samo z zabezpieczeniami: pozwala potwierdzić, że systemy skonfigurowano zgodnie ze sprawdzonymi praktykami i że w dniu testu nie ma w nich publicznie znanych podatności. Nie jest za to lekarstwem na wszystko. Sens ma dopiero jako element większej całości, obok skanowania podatności, szkoleń pracowników, planu reagowania na incydenty i monitorowania stacji roboczych.

Po co testy penetracyjne firmie, która „nikogo nie interesuje”

Przekonanie, że firma jest za mała albo zbyt nudna dla atakujących, kosztuje najwięcej wtedy, gdy okazuje się nieprawdziwe. W 2023 roku cyberatak dotknął 41% małych firm. Atakujący nie sprawdzają, ile ktoś ma pracowników – sprawdzają, gdzie stoi otwarty port, nieaktualny komponent i konto serwisowe z hasłem, którego nikt nie zmienił od lat. Infrastruktura jest tak bezpieczna, jak jej najsłabsze ogniwo, a obszary, których nikt nigdy nie testował – sieć wewnętrzna, sieć bezprzewodowa, środowisko chmurowe – to martwe pola. Wykorzysta je równie dobrze nieuczciwy pracownik, jak i ktoś z zewnątrz.

Reputacja i pieniądze

• Wycieki danych i przestoje. Podatność znaleziona w teście to podatność, której nikt już nie wykorzysta. Dla firm działających w trybie ciągłym – sklepów internetowych, instytucji finansowych – każda minuta przestoju przekłada się wprost na utracony przychód i na straty wizerunkowe, których nie da się odrobić w kwartał.
• Zaufanie klientów. Jedno naruszenie potrafi skasować lata pracy nad marką. Regularne testy działają w drugą stronę: pokazują partnerom i klientom, że bezpieczeństwo jest procesem, a nie deklaracją. W przetargach bywa to argumentem rozstrzygającym.
• Ryzyko prawne i regulacyjne. Coraz więcej branż wymaga regularnego testowania zabezpieczeń, a brak zgodności kończy się karami, postępowaniami i kosztami obsługi prawnej. W Polsce to ryzyko jest policzalne: Prezes UODO nakładał kary, wskazując w uzasadnieniu brak regularnego testowania skuteczności zabezpieczeń – tak było w decyzji dotyczącej Morele.net (DKN.5130.2484.2019), wydanej na podstawie art. 32 ust. 1 lit. d RODO.

Ile kosztuje brak testów

Traktowanie pentestu wyłącznie jako wydatku pomija tę część rachunku, którą da się policzyć. Badania wskazują, że każdy dolar wydany na testy pozwala zaoszczędzić nawet 10 dolarów na kosztach naruszenia. Cena testu jest skromna wobec rachunku za poważny incydent, który bez trudu idzie w miliony: zawiadomienia osób, których dane wyciekły, postępowania, obsługa prawna i długa praca nad odbudową marki.

Regularność też ma wymiar liczbowy. Jedna średniej wielkości firma ograniczyła liczbę nierozwiązanych podatności o 42% w pół roku – wystarczyło, że zamiast raz w roku zaczęła testować co kwartał. Nowe wektory ataku pojawiają się co tydzień, więc raport sprzed roku opisuje system, którego w tej postaci już nie ma. I jeszcze jedno: zgodność z przepisami jest dobrym powodem, żeby zacząć, ale złym, żeby na tym poprzestać. Audytor sprawdza, czy test się odbył. Atakujący sprawdza, czy cokolwiek z niego wynikło.

Jak przebiega test penetracyjny

Profesjonalny test ma stałą strukturę i najczęściej trzyma się uznanej metodyki – na przykład Penetration Testing Execution Standard (PTES), który wyznacza minimalny poziom jakości i kompletności prac.

Black box, grey box i white box

• Black box (czarna skrzynka). Pentester nie dostaje żadnych informacji o wnętrzu systemu. Taki test odwzorowuje atakującego z zewnątrz, który nie wie o organizacji nic ponad to, co sam ustali. Wariant najbardziej wierny realnemu atakowi, ale też najdłuższy – potrafi zająć ponad miesiąc – i przez to najdroższy.
• White box (biała skrzynka). Pentester dostaje komplet materiałów: schematy sieci, opis architektury, konta, a często i kod źródłowy. Ten wariant weryfikuje skuteczność wewnętrznych procesów zarządzania podatnościami i wyłapuje błędy konfiguracji, do których atak z zewnątrz nigdy by nie dotarł. Daje najpełniejszy obraz.
• Grey box (szara skrzynka). Pentester dostaje wybrane informacje – zwykle konta użytkowników i podstawowy opis systemu. Odwzorowuje nieuczciwego pracownika albo przejęte konto i godzi koszt z głębokością testu. To najczęstszy wybór.

Model dobiera się do tego, czego organizacja faktycznie się obawia, a nie do budżetu. Rozsądna strategia miesza warianty: black box od zewnątrz dla zasobów publicznych, white box od środka dla systemów, których awaria zatrzymuje firmę.

Siedem etapów według PTES

Dwa etapy decydują o wartości całego projektu i oba bywają lekceważone. Ustalenia przed testem, bo źle wyznaczony zakres albo pomija to, co najważniejsze, albo kładzie środowisko produkcyjne w środku sezonu. I działania po uzyskaniu dostępu, bo samo pokazanie wejścia nie mówi nic o skali szkody – dopiero eskalacja uprawnień i ruch boczny (lateral movement) odpowiadają na pytanie, jak głęboko sięgnąłby prawdziwy atakujący i co w związku z tym naprawić najpierw.

Rodzaje testów penetracyjnych

Atakujący korzystają z wielu dróg naraz, więc jeden rodzaj testu nie pokryje całej powierzchni ataku. Sprawdzenie samej sieci zewnętrznej zostawia martwe pola, do których prędzej czy później ktoś zajrzy.

Całościowe podejście ma sens dlatego, że atakujący uderzy w najsłabsze ogniwo, gdziekolwiek ono leży. Pominięcie testów socjotechnicznych albo bezpieczeństwa fizycznego tworzy wejście nawet w organizacji o solidnej warstwie technicznej. Dla aplikacji punktem odniesienia pozostaje OWASP Top 10, czyli okresowo aktualizowana lista najpoważniejszych błędów w aplikacjach internetowych. To, że kolejne edycje powtarzają w dużej części te same kategorie, samo w sobie jest wnioskiem: znane od lat błędy wciąż są w produkcji. Jeśli zależy Ci na pełnym obrazie, a nie na jednym wycinku, kolejnym krokiem po pentestach jest red teaming, który sprawdza zabezpieczenia razem ze zdolnością zespołu do wykrycia ataku.

Od czego zależy cena testu penetracyjnego

Cena nie bierze się z cennika za sztukę. Wycenę liczy się w osobodniach, a decyduje o niej to, co i jak głęboko trzeba sprawdzić. Poniżej czynniki, które przesuwają ją najmocniej.

• Zakres. Liczba i złożoność zasobów: adresy IP, aplikacje, role użytkowników, urządzenia, lokalizacje. Test jednej aplikacji kosztuje wyraźnie mniej niż przegląd całej infrastruktury albo środowiska chmurowego.
• Model testu. Black box jest zwykle droższy i dłuższy od white box, w którym pentesterzy dostają komplet materiałów na starcie. Grey box mieści się pośrodku.
• Złożoność środowiska. Testy wewnętrzne kosztują więcej niż zewnętrzne, bo wymagają analizy uprawnień, przepływu danych i zależności między systemami. Środowiska SaaS w modelu wielodostępnym (multi-tenant) dokładają kolejną warstwę.
• Doświadczenie zespołu. Pentesterzy z certyfikatami takimi jak OSCP, OSCE3, CISSP czy CEH kosztują więcej i znajdują to, czego mniej doświadczony tester nie zauważy. Oszczędność w tym miejscu bywa pozorna: nieznaleziona podatność zostaje w systemie razem z fakturą za tańszy test.
• Wymagania wobec raportu. Dopasowanie do konkretnego reżimu regulacyjnego (RODO, PCI DSS, ISO 27001) albo do nietypowego stosu technologicznego, a także rozbudowany plan naprawczy, podnoszą pracochłonność.
• Retest i wsparcie po teście. Ponowne sprawdzenie poprawek oraz konsultacje w trakcie naprawy zwiększają koszt, ale są tym elementem, który zamienia raport w realną zmianę.
• Dostępność specjalistów. Rynek pentesterów jest wąski, a terminy u dobrych zespołów bywają odległe – to również widać w wycenach.

Koszt testu należy planować jako część budżetu na cyberbezpieczeństwo, a nie jako osobną, opcjonalną pozycję. Sensowny budżet obejmuje sam test, naprawę tego, co test znajdzie, i retest po poprawkach. Zapobieganie prawie zawsze wychodzi taniej niż sprzątanie po incydencie.

Testy penetracyjne a ustawa o KSC

O testach bezpieczeństwa decydowały w Polsce przez lata zdrowy rozsądek i wymagania kontrahentów. Od 3 kwietnia 2026 r. dla części organizacji jest to kwestia terminu ustawowego.

Nowelizacja ustawy o KSC: co, kiedy i dla kogo

Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) to polskie wdrożenie dyrektywy NIS2. Podpisano ją 19 lutego 2026 r., ogłoszono 2 marca 2026 r., a weszła w życie 3 kwietnia 2026 r. – zgodnie z art. 49, po upływie miesiąca od dnia ogłoszenia. W praktyce polscy specjaliści mówią o KSC i o NIS2 jak o jednym i tym samym, ale przepisy, których trzeba przestrzegać, są w ustawie, nie w dyrektywie.

Podmioty kluczowe i podmioty ważne

Nowelizacja dzieli objęte nią organizacje na dwie kategorie: podmioty kluczowe (załącznik nr 1) i podmioty ważne (załącznik nr 2). Przynależność wynika z sektora i wielkości organizacji, a nie z decyzji organu – firma sama musi ustalić, czy podlega ustawie, i zgłosić się do wykazu. Szacunki liczby objętych podmiotów krążące w mediach rozjeżdżają się o rząd wielkości, a oficjalnej wartości nikt nie opublikował, więc jedyna wiarygodna odpowiedź to sprawdzenie własnego sektora i progu wielkości w załącznikach.

Dostawcy podmiotów kluczowych

Nowe przepisy odczuje też firma, której w załącznikach nie ma. Podmiot kluczowy odpowiada za bezpieczeństwo swojego łańcucha dostaw, więc wymagania – klauzule o zabezpieczeniach, obowiązek zgłaszania incydentów, prawo do weryfikacji – trafiają do dostawców przez umowy. Dla firmy IT albo integratora oznacza to prostą zmianę: raport z testów penetracyjnych staje się elementem oferty przetargowej, a nie kosztem, który da się przesunąć na przyszły rok.

Co dostarczamy do audytu z art. 15

Audyt bezpieczeństwa i test penetracyjny to w ustawie dwie różne rzeczy, które w rozmowach nagminnie się zlewają.

Art. 15 ust. 1 nakłada na podmiot kluczowy obowiązek przeprowadzenia audytu bezpieczeństwa systemu informacyjnego na własny koszt, co najmniej raz na trzy lata. Ustawa wskazuje przy tym, kto taki audyt może wykonać: akredytowana jednostka oceniająca zgodność, sektorowy zespół CSIRT albo co najmniej dwóch audytorów z certyfikatami z listy Ministra Cyfryzacji – CISA, CISM, CRISC, CISSP, CIA, audytor wiodący ISO/IEC 27001 lub ISO 22301, ISA/IEC 62443 Cybersecurity Expert.

Do takiego audytu dostarczamy to, o co audytor poprosi: same testy, znalezione podatności wraz z dowodami, ocenę ryzyka, zalecenia naprawcze i pisemne potwierdzenie z retestu, że poprawki zadziałały. Sam audyt nie polega bowiem na włamywaniu się do systemu – audytor weryfikuje, czy organizacja zleca testy, czy robi to regularnie i czy wyciąga z wyników wnioski. Testy prowadzi u nas zespół z certyfikatami klasy OSCP, a raport piszemy od razu w formie, którą audytor przyjmuje bez dopytywania.

Sam wymóg testowania stoi w ustawie wprost. Art. 8 ust. 1 pkt 2 lit. b wymaga, żeby system zarządzania bezpieczeństwem informacji obejmował bezpieczeństwo w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu informacyjnego, „w tym testowanie systemu informacyjnego”.

Sektor publiczny ma dodatkowo obowiązek starszy i częstszy: § 19 ust. 2 pkt 14 rozporządzenia w sprawie Krajowych Ram Interoperacyjności (Dz.U. 2024 poz. 773) nakazuje jednostkom realizującym zadania publiczne coroczny audyt bezpieczeństwa informacji.

Terminy i kary

Sankcje sięgają nie tylko budżetów, ale i ludzi. Dla podmiotów kluczowych kara może wynieść do 10 mln euro albo 2% obrotu, dla podmiotów ważnych do 7 mln euro albo 1,4% obrotu, a w najcięższych przypadkach ustawa przewiduje karę do 100 mln zł. Osobno odpowiada kierownik podmiotu – tu kara sięga 300% wynagrodzenia.

Terminy są rozłożone w czasie, ale nie są odległe, a kolejność prac wynika z nich sama: najpierw ustalenie statusu i wpis do wykazu, potem SZBI wraz z testowaniem systemów, na końcu audyt, który to wszystko weryfikuje. Test penetracyjny działa tu podwójnie: pokazuje faktyczny stan zabezpieczeń i jednocześnie wytwarza dowód, którego audytor będzie szukał. Opisaliśmy to szerzej na stronie testów penetracyjnych zgodnych z NIS2 i ustawą o KSC.

Co daje regularne testowanie

Test penetracyjny nie jest wyłącznie działaniem obronnym. Daje coś, czego nie da żadna deklaracja dostawcy ani żaden dokument: sprawdzoną w praktyce odpowiedź na pytanie, ile realnie wytrzymują obecne zabezpieczenia.

Porządkuje też wydatki. Zamiast kupować kolejne narzędzie „na wszelki wypadek”, wiadomo, gdzie brakuje najwięcej i co da największy efekt przy tym samym budżecie. Warunek jest jeden: testy muszą być powtarzalne. Podatności zmieniają się razem z systemem, a nowe wektory ataku pojawiają się co tydzień, więc jednorazowy pentest jest zdjęciem, a nie filmem.

Dla menedżerów cyberbezpieczeństwa i CISO największą wartością jest sam raport. Dobry raport wiąże każdą podatność ze skutkiem finansowym lub operacyjnym i układa poprawki w kolejności według ryzyka – a to zamienia rozmowę z zarządem z prośby o budżet w rozmowę o priorytetach. Dochodzi do tego niezależność: opinia zespołu z zewnątrz waży w organizacji inaczej niż ta sama uwaga zgłaszana od środka od dwóch lat.

Podsumowanie

Test penetracyjny przestał być rozszerzeniem dla ostrożnych. Ataki są tanie i zautomatyzowane, a zakres obowiązków regulacyjnych rośnie – nowelizacja ustawy o KSC wyznaczyła konkretne daty, od których organizacje będą rozliczane z tego, czy testują swoje systemy i co robią z wynikami.

Regularne testy chronią dane, chronią markę i porządkują zgodność z przepisami. Działają w dwie strony: jako tarcza przed atakiem i jako dowód dla audytora. Pierwszy krok jest niewielki – rozmowa o zakresie, która zwykle zajmuje pół godziny i kończy się listą tego, co warto sprawdzić najpierw.

Testy penetracyjne – najczęstsze pytania

Powiązane usługi Haxoris: testy penetracyjne aplikacji i infrastruktury · testy penetracyjne zgodne z NIS2 i ustawą o KSC