Priset sätts innan testet börjar.Av er, inte av oss.

Frågan är inte om ni ska beställa ett pentest. Frågan är när, och vad ni beställer det på.

Ett penetrationstest är inte samma sak som en sårbarhetsscanning. En scanning letar efter kända mönster i kod och konfiguration. Ett pentest anlitar en person som försöker ta sig in, precis som en angripare skulle göra, och som sedan bevisar vad hen faktiskt kom åt.

Testerna delas ofta upp efter hur mycket testaren får veta i förväg. Black box betyder att testaren börjar utan insyn, som en utomstående angripare. White box betyder full insyn, källkod och dokumentation inräknat. Grey box ligger mitt emellan, och är det vanligaste valet i praktiken.

NIST beskriver arbetet i fyra faser: planering, kartläggning, angrepp och rapport. Två av fyra ligger före angreppet. Kartläggningen är den delen som tar tid, och den är precis lika nödvändig som den är långsam.[01]

De flesta beställningar vi ser kommer i ett av två lägen. Antingen strax före en stor lansering, eller strax före en revision. Båda lägena har samma problem. Det finns ingen tid kvar att åtgärda det som hittas innan det testet skulle skydda redan är i drift, eller redan är granskat.

Rätt tidpunkt ligger tidigare. Innan lansering, inte samma vecka som den. Efter en större förändring i infrastrukturen, inte ett år senare. Och rutinmässigt, oavsett om något hänt, för att veta om det som skyddade er förra året fortfarande gör det.

Cybersäkerhetslagen genomför NIS2 i Sverige och kräver att den som omfattas har rutiner för att bedöma om säkerhetsåtgärderna faktiskt fungerar. Att bedöma det utan att pröva det är svårt, och att pröva en gång vart tredje år är svårt att kalla en rutin.[02][03]

Ett uppdrag prissätts i huvudsak på hur mycket som ska kartläggas och hur mycket som ska bevisas, inte på hur avancerad angriparen låtsas vara. Ju bredare scope, desto mer av den dyra tiden går åt till att kartlägga i stället för att bedöma.

Det är därför ett billigt, brett test sällan är en bra affär. Kartläggningen äter budgeten, och det som blir kvar till bedömningen krymper. Ett snävare scope, valt med omsorg, ger mer bedömning för samma summa.

En certifiering som CREST visar att testaren klarat ett praktiskt prov mot verkliga scenarier. Den visar inte att just er miljö kommer testas väl, men den är ett rimligt golv att kräva.[05]

Fråga också vilken metodik som används, och be om ett namn. Ramverk som OWASP:s testguide finns för att ett test ska gå att mäta mot något etablerat, inte bara mot testarens egen känsla.[06]

• Hur många testare arbetar på uppdraget, och räcker det för scopet ni satt?
• Ingår ett retest av de allvarligaste fynden, eller är det en tilläggstjänst?
• Står ett namn i rapporten, eller bara företagets?
• Vem hos er är mottagare, och vad förväntas hen göra med resultatet?

Svaren avgör om ni köper en bedömning eller bara en genomgång.