Etični heker: kako izbrati izvajalca penetracijskega testa

»Najeti hekerja« zveni kot šala, dokler storitve ni treba zares naročiti: izbrati izvajalca, podpisati pogodbo in tujim ljudem odpreti sistem, v katerem so podatki strank. Kakovost dela lahko ocenite šele po poročilu – torej po plačilu.

V nadaljevanju pojasnimo, kdo je etični heker, kaj ga loči od napadalca in kako izbrati izvajalca penetracijskega testa: kaj preveriti pred podpisom in ali je pomembno, kje ima izvajalec sedež. Kako test poteka, smo opisali v članku kaj je penetracijski test.

Kdo je etični heker?

Etični heker je strokovnjak, ki sisteme napada z istimi orodji in tehnikami kot pravi napadalec – vendar po naročilu, v dogovorjenem obsegu in zato, da ranljivosti odkrije prej kot kdo drug. Delo je manj filmsko, kot se sliši. Večinoma je branje, preizkušanje in zapisovanje:

• Avtentikacija in avtorizacija. Se je mogoče izdati za drugega uporabnika? Vidi navaden račun podatke, do katerih nima pravice? Tu nastanejo najresnejše ugotovitve in skener jih ne odkrije.
• Poslovna logika. Kupon, unovčen dvakrat, preskočen korak naročila, negativen znesek pri nakazilu. S stališča kode se nič ne pokvari, denar pa odteka.
• Veriženje ranljivosti. Dve malenkosti, ki vsaka zase ne pomenita ničesar, skupaj omogočita prevzem skrbniškega računa.
• Dokazi. Ugotovitev brez ponovljivega dokaza je mnenje.

V ponudbah boste srečali etičnega hekerja, penetracijskega testerja in pentesterja: naziv je različen, delo isto. Etično hekanje je širši pojem, penetracijski test pa konkretna, časovno omejena storitev. Naročite zato penetracijski test – samo to ime prinese obseg, rok in poročilo. Ponudbe z naslovom »etično hekanje« ni mogoče primerjati z nobeno drugo, ker o obsegu dela ne pove ničesar.

Kaj etičnega hekerja loči od napadalca?

Ne tehnika – ta je ista. Loči ju pooblastilo.

Kazenski zakonik (KZ-1) v 221. členu, naslovljenem »Napad na informacijski sistem«, določa, da kaznivo dejanje stori, kdor v informacijski sistem vstopi ali vdre neupravičeno. Odločilna je prav beseda »neupravičeno«: test od kaznivega dejanja loči pisno pooblastilo tistega, ki ga je upravičen dati.

V praksi morajo biti pred začetkom dela na papirju tri stvari:

• Pisno pooblastilo naročnika. Če aplikacija teče pri ponudniku gostovanja ali v oblaku, preverite tudi njegova pravila za testiranje.
• Obseg. Natančen seznam tega, kar se testira, in tega, kar je izključeno. Sistema zunaj obsega se tester ne dotakne, tudi če v njem vidi napako.
• Pravila izvedbe testa. Časovno okno, dovoljene tehnike, kontaktne osebe in dejanja, za katera je potreben poseben dogovor – praviloma napadi na razpoložljivost, množično pošiljanje sporočil in posegi v produkcijske podatke.

Izvajalec, ki bi začel brez pisnega pooblastila, bo enako površen tudi pri vaših podatkih.

Kaj preveriti pri izvajalcu penetracijskega testa

Kdo bo testiral

Certifikat ima oseba, ne podjetje. Vprašajte po imenih ljudi, ki bodo delali na vašem projektu, in po njihovih certifikatih – značka podjetja v nogi spletne strani ne pove, kdo bo testiral. Certifikati tudi ne potrjujejo istega:

Veljavnost večine certifikatov lahko preverite pri izdajatelju, zato prosite za identifikator, ne za posnetek zaslona. Vprašajte tudi, ali bodo ljudje iz ponudbe res delali na projektu.

Metodologija z imenom

Resen izvajalec pove, po čem testira: OWASP WSTG za spletne aplikacije, OWASP ASVS kot standard preverjanja s tremi ravnmi, PTES za potek projekta. »Sledimo dobrim praksam« ni odgovor. Šele metodologija z imenom naredi dve ponudbi primerljivi: iz »aplikacijo smo testirali« nastane »preverili smo ta poglavja WSTG«. Naše metodologije testiranja so objavljene.

Ročno delo ali izpis skenerja

Skener najde znane ranljivosti, logike aplikacije pa ne razume. Vprašajte, kolikšen del delovnih dni je ročno testiranje. Pregled ranljivosti je samostojna, cenejša in smiselna storitev – ni pa penetracijski test in ne sme stati toliko kot test.

Vzorčno poročilo

Poročilo je edini trajni izdelek testa, zato za anonimizirano vzorčno poročilo prosite pred podpisom. V njem preverite dvoje. Prvič, ali ima vsaka ugotovitev dokaz, s katerim jo je mogoče ponoviti: zahtevek, parameter, korake. Drugič, ali so priporočila konkretna: »priporočamo uvedbo dobrih praks« ni izvedljivo, »nastavite glavo X na vrednost Y« je naloga za eno popoldne. Naše poročilo ima povzetek za vodstvo in tehnični del z dokazi – zahtevajte vzorčno poročilo in presodite sami.

Obseg, pravila in zaupnost v pisni obliki

Obseg in pravila izvedbe testa sodijo v pogodbo, ne v e-poštno sporočilo. Sporazum o nerazkrivanju informacij (NDA) podpišite pred pogovorom o obsegu, saj že ta razkrije arhitekturo. Vprašajte, kje bodo shranjeni dokazi in podatki iz testa, kdo ima do njih dostop, kako dolgo se hranijo in kdaj bodo izbrisani. Če so v obsegu osebni podatki, z izvajalcem sklenite tudi pogodbo o obdelavi po 28. členu Splošne uredbe o varstvu podatkov (GDPR).

Ponovni test in komunikacija med testom

Ponovno testiranje (retest) preveri, ali popravki delujejo. V ponudbi naj piše, ali je vključeno in do kdaj ga lahko izkoristite; pri nas je ponovni test po odpravi ranljivosti brezplačen. Dogovorite se tudi, kaj se zgodi, če tester med delom najde kritično ranljivost ali sledi tujega vdora – klic še isti dan ali vrstica v poročilu čez tri tedne – in kdo sta kontaktni osebi na obeh straneh.

Opozorilni znaki

• Cena pred obsegom. Kdor pove ceno, preden pozna število aplikacij, vlog in integracij, ugiba ali prodaja skeniranje. Kako nastane ponudba, pišemo v članku koliko stane penetracijski test.
• Skeniranje, prodano kot penetracijski test. Prepoznate ga po tem, da ima vsaka ugotovitev opis iz zbirke ranljivosti, nobena pa dokaza o izrabi.
• »Ekipa certificiranih strokovnjakov« brez enega samega imena. To je oglas, ne referenca.
• Ponudba brez ponovnega testa. Ostane vam seznam nalog, ki jih nihče ne preveri.
• Obljuba skladnosti. Penetracijski test da tehnične dokaze; z njim ne postanete skladni z zakonom ali standardom in tega vam ne more obljubiti noben izvajalec.
• Odpor do pisnega obsega. Če obseg težko pride v pogodbo, bo še težje prišel v poročilo.

Tuji ali slovenski izvajalec?

Kupec v Sloveniji ob tujem izvajalcu upravičeno vpraša, ali temu kaj manjka: licenca, vpis v register, akreditacija.

ZInfV-1 (Uradni list RS, št. 40/25) in njegovi izvedbeni akti za izvajalce penetracijskih testov ne predvidevajo ne licence ne registra ne akreditacije (stanje na dan 12. novembra 2026). Statusa, ki bi ga izvajalec lahko imel ali bi mu manjkal, torej ni – ne za domačega ne za tujega. Šteje, kdo testira in kaj lahko pokaže, ne država na računu.

Drugače je, kadar pogoje postavi naročnik sam: razpis ali notranja pravila lahko zahtevajo določen certifikat, reference ali sedež izvajalca. To je pogodbena zahteva, ne zakonski status.

Od penetracijskega testa je treba ločiti dvoje:

• Revizija skladnosti. Revizijo skladnosti po 25. členu ZInfV-1 lahko izvede le revizor informacijskih sistemov, vpisan v register Slovenskega inštituta za revizijo; Haxoris te revizije ne izvaja. Penetracijski test ni ta revizija in zanj tak naziv ni potreben. Poročilo o testu je tehnični dokaz, ki ga lahko uporabita zavezanec in njegov revizor.
• Katalog strokovnjakov DIH Slovenije. To je seznam, povezan s sofinanciranjem storitev, ne licenca za opravljanje dela. Haxoris v tem katalogu ni.

Od vsakega izvajalca, domačega ali tujega, pa lahko zahtevate:

• Preverjanje preteklosti. Zavezanec po ZInfV-1 lahko v skladu z oceno tveganja preveri preteklost zaposlenih pri pogodbenih izvajalcih, ki imajo dostop do njegovih ključnih informacijskih sistemov (23. člen). Pri takem preverjanju sodelujemo.
• Varstvo podatkov. Za izvajalca s sedežem v EU velja GDPR neposredno. Vseeno vprašajte, kje hrani podatke iz testa.
• Dogovor o jeziku in dostopu. Vnaprej določite, v katerem jeziku bo potekala komunikacija in v katerem bo napisano poročilo ter kako bo izvajalec dostopal do notranjega omrežja.

In kdo smo mi: Haxoris OÜ je registriran v Estoniji in ima pisarni v Bratislavi in Pragi. Slovenskega podjetja ali pisarne nimamo.

Ista vprašanja zastavite nam

Sedem etičnih hekerjev je z imenom in kratko predstavitvijo navedenih na strani O nas. Med certifikati, ki jih imajo posamezni člani ekipe, so OSCP, OSWE, BSCP in CISSP. Adam Žilla je zmagal v kategoriji EY ESO DNA Born Ethical Hacker (3. izvedba tekmovanja EY Cyber Security Trophy) in je član zmagovalne ekipe tekmovanja Guardians 2025; Vladimír Andráš je s slovaško ekipo Slovak Cyber Team na tekmovanju European Cybersecurity Challenge 2025 dosegel 4. mesto. Ekipa ima skupaj več kot desetletje izkušenj z ofenzivno varnostjo in je penetracijske teste izvedla za več kot 100 podjetij. Haxoris ima certifikat ISO 27001, ki ga je izdal TÜV SÜD – ta pove, kako upravljamo lastno informacijsko varnost, ne pa, kako dobro testiramo.

Dober izvajalec pove tudi, kdaj penetracijskega testa ne potrebujete. Če vas zanima, ali so varnostne kontrole vzpostavljene in delujejo, je pravi odgovor varnostni pregled informacijskega sistema. Če vprašanje ni, ali je mogoče vstopiti, temveč ali bi to kdo opazil, je to red teaming, simulacija resničnega kibernetskega napada.

Etični heker – pogosta vprašanja

Povezane storitve: penetracijski testi spletnih aplikacij in infrastrukture · varnostni pregled informacijskega sistema · pregled ranljivosti sistemov in aplikacij · red teaming – simulacija resničnega napada