Testy penetracyjne dla firm
Dobieramy zakres testu do tego, co chroni firma i czego wymaga klient, ubezpieczyciel albo NIS2. Nadzorujemy wykonanie, tłumaczymy wyniki zarządowi i pilnujemy poprawek aż do retestu.
- Zakres dopasowany do systemu
- Raport w dwóch warstwach: zarząd i technika
- Retest po poprawkach
30–45 min rozmowy • NDA • rekomendacje działań
Kiedy firmy zamawiają test
Test zwykle ma konkretny powód. Od niego zależy zakres i forma raportu.
Duży klient albo przetarg pyta o wynik testu
Raport przygotowujemy tak, by dało się go pokazać kontrahentowi.
Ubezpieczyciel cyber pyta o aktualny test
Zakres i raport dopasowujemy do pytań ankiety.
Nowy system, migracja do chmury, sklep przed sezonem
Test po zmianie pokazuje błędy konfiguracji, zanim zobaczą je inni.
Aplikacja SaaS z rolami użytkowników
Sprawdzamy dostęp do cudzych danych między kontami i uprawnienia ról.
Audyt wykazał luki, które trzeba potwierdzić
Test pokazuje, czy luki da się wykorzystać i z jakim skutkiem. Zob. Audyt cyberbezpieczeństwa.
Czy test jest obowiązkowy?
Test to sposób, żeby wykazać, że zabezpieczenia działają, także w ramach wdrożenia NIS2 i ustawy o KSC.
Co możemy przetestować
Aplikacje webowe i API
Z kontem użytkownika i bez. Liczba ról użytkowników zmienia czas i cenę.
Aplikacje mobilne
Aplikacje na iOS i Androida oraz ich komunikacja z serwerem.
Sieć zewnętrzna
To, co widać z internetu: serwery, poczta, zdalny dostęp.
Sieć wewnętrzna i Active Directory
Co może zrobić intruz po wejściu do sieci biura lub magazynu.
Chmura i Microsoft 365
Konfiguracja kont, uprawnień i udostępniania.
Wi-Fi
Sieci biurowe i gościnne.
Socjotechnika
Test phishingowy: ilu pracowników kliknie.
Monitoring bezpieczeństwa
Opcjonalnie stały monitoring (SOC) z partnerem.
Co dostajecie
- 01Raport dla zarządu: ryzyka, skutki dla firmy i rekomendacje.
- 02Raport techniczny: lista podatności z oceną krytyczności i dowodami.
- 03Plan poprawek z terminami według krytyczności i właścicielami po Waszej stronie.
- 04Omówienie wyników z zarządem i zespołem IT.
- 05Retest po poprawkach z potwierdzeniem naprawy.
| Podatność | Krytyczność | Skutek dla firmy | Termin naprawy | Właściciel |
|---|---|---|---|---|
| Panel administracyjny dostępny z internetu bez MFA | wysoka | Przejęcie kont i danych klientów | do 14 dni | Kierownik IT |
| Serwer plików bez aktualnych poprawek | średnia | Przestój działu księgowości | do 30 dni | Administrator |
| Brak nagłówków bezpieczeństwa na stronie www | niska | Ryzyko ataku na użytkowników strony | do 90 dni | Agencja www |
Skan podatności, test penetracyjny, audyt czy analiza luk NIS2?
| Usługa | Odpowiada na pytanie | Wynik | Czego nie robi |
|---|---|---|---|
| Skan podatności | Jakie znane luki widać? | Automatyczny raport | Nie sprawdza, czy luki da się wykorzystać |
| Test penetracyjny (ta strona) | Czy da się włamać do wybranego systemu i co wtedy? | Lista podatności z dowodami i retest | Nie ocenia procedur i szkoleń |
| Audyt cyberbezpieczeństwa | Gdzie są największe ryzyka firmy? | Raport dla zarządu i plan na 90 dni | Nie włamuje się do systemów |
| Analiza luk NIS2 | Czego brakuje do wymagań ustawy? | Raport luk i plan do 3.04.2027 | Nie sprawdza technicznie systemów |
Jak pracujemy i czego potrzebujemy od Was
- 01Ustalenie celu i zakresuPo Waszej stronie: lista systemów i adresów, zgody dostawcy hostingu lub chmury.
- 02PrzygotowaniePo Waszej stronie: kopie zapasowe, wybór środowiska produkcyjnego lub testowego, kontakt awaryjny.
- 03TestPo Waszej stronie: osoba do kontaktu w trakcie.
- 04Raport i omówieniePo Waszej stronie: spotkanie zarządu i IT.
- 05Poprawki i retestPo Waszej stronie: naprawa według planu.
Ekspert i dowód
Pracujecie bezpośrednio z ekspertem, który prowadzi projekt od diagnozy do wdrożenia.
Ekspert w obszarze cyberbezpieczeństwa, zarządzania ryzykiem IT i ochrony danych. Specjalizuje się w audytach bezpieczeństwa, wdrażaniu standardów compliance (NIS2, ISO 27001) oraz zarządzaniu incydentami cybernetycznymi.
Profil eksperta →Testy penetracyjne: najczęstsze pytania
Czym test penetracyjny różni się od skanu podatności?
Skan automatycznie wykrywa znane luki. Test sprawdza, czy luki da się wykorzystać i co intruz zyska dalej. Porównanie jest wyżej.
Czy test może zatrzymać nasze systemy?
Test planujemy tak, by ograniczyć ryzyko dla działania firmy: ustalamy zakres, okno czasowe i kontakt awaryjny. Czy testować środowisko produkcyjne czy testowe, omawiamy przed startem.
Czym różni się black box, grey box i white box?
Black box: tester zna tylko adres. Grey box: dostaje konto użytkownika. White box: dostaje też dokumentację albo kod.
Jak przygotować się do testu?
Ustalcie cel i zakres, listę systemów i adresów, zgody dostawców hostingu i chmury, kopie zapasowe oraz osobę do kontaktu w trakcie testu.
Dobierzmy zakres testu
30–45 min rozmowy • NDA • rekomendacje działań