# Test penetracyjny krok po kroku: jak wygląda, ile trwa i jak wybrać wykonawcę **W skrócie:** test penetracyjny (pentest) to kontrolowany, autoryzowany atak na Twoje systemy, który pokazuje, które luki da się faktycznie wykorzystać, a nie tylko że istnieją. Typowy projekt trwa od kilku dni roboczych do kilku tygodni, a całość (od ustalenia zakresu po retest) zajmuje zwykle 3–6 tygodni kalendarzowych. Poniżej znajdziesz przebieg etap po etapie, czynniki kosztu, wymagania prawne obowiązujące w 2026 roku i listę kontrolną wyboru wykonawcy. ## Czym jest test penetracyjny i czym nie jest? Pentest to symulacja działań włamywacza wykonywana za zgodą właściciela systemu, w ustalonym zakresie i czasie. Efektem nie jest lista automatycznych alertów, tylko raport z udowodnionymi ścieżkami ataku: „wszedłem tą drogą, zobaczyłem te dane, oto jak to naprawić". Najczęstszy błąd firm to mylenie pentestu z innymi usługami. Różnice są istotne, bo wpływają na cenę i na to, co dostajesz: | Usługa | Co robi | Kto wykonuje | Typowy rezultat | |---|---|---|---| | Skan podatności | Automatycznie szuka znanych luk i błędnych konfiguracji | Narzędzie, często cyklicznie | Lista potencjalnych problemów (także fałszywych alarmów) | | Test penetracyjny | Ręcznie i narzędziowo wykorzystuje luki, łączy je w ścieżki ataku | Specjalista, jednorazowo lub okresowo | Potwierdzone podatności, dowody, rekomendacje | | Audyt bezpieczeństwa | Ocenia procedury, polityki, zgodność z wymaganiami | Audytor | Ocena zgodności i dojrzałości organizacji | | Red team | Wieloetapowa symulacja realnego przeciwnika, z socjotechniką, często bez wiedzy zespołu obrony | Zespół ofensywny | Ocena zdolności wykrycia i reakcji, nie tylko luk | Jeśli dopiero zaczynasz i zastanawiasz się, czy Twoja firma potrzebuje pełnego projektu, czy wystarczy skan, pomocne będzie omówienie [pentestu dla małych firm i różnic względem skanu podatności](https://plaza.rakuten.co.jp/alicyja/diary/202610100000/). ## Dlaczego to ważne właśnie teraz? Po stronie atakujących opłacalność rośnie, bo wejście w proceder jest tanie. Według zestawień z rynku przestępczego gotowe usługi, takie jak wynajem DDoS czy ransomware, kosztowały w 2020 roku od kilkunastu do około stu dolarów. Pełne zestawienie znajdziesz w analizie [ile naprawdę kosztują usługi cyberprzestępcze i jak się przed nimi chronić](https://profdev-lms.tlos.vt.edu/eportfolios/820/Home/hakerzy-do-wynajecia-ile-kosztuja-uslugi-cyberprzestepcze-i-jak-sie-przed-nimi-chronic). Wniosek dla obrońcy jest prosty: skoro atak jest tani, obrona musi być sprawdzana tak samo regularnie, jak księgowość. Drugi powód to prawo. W Polsce w życie weszła nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca dyrektywę NIS2, a jej harmonogram dotyka tysięcy firm (szczegóły niżej). ## Etapy testu penetracyjnego krok po kroku Rzetelny projekt przebiega w uporządkowanych fazach. Nazewnictwo bywa różne (PTES, OWASP, NIST), ale logika jest wspólna. ### 1. Ustalenie zakresu i celów Wspólnie z wykonawcą definiujesz, co jest testowane: konkretne aplikacje, zakresy adresów IP, API, sieć wewnętrzna, aplikacja mobilna, chmura. Ustalasz też, co jest poza zakresem, godziny testów, kontakt awaryjny i to, czy test dotyczy środowiska produkcyjnego, czy testowego. Ta faza decyduje o 80% późniejszych sporów, dlatego warto poświęcić jej czas. ### 2. Umowa i autoryzacja Przed pierwszym pakietem sieciowym potrzebna jest pisemna zgoda i umowa (zakres, klauzula poufności, odpowiedzialność, sposób przekazania wyników). Bez zgody uprawnionego podmiotu ta sama czynność może wypełniać znamiona przestępstw z rozdziału XXXIII Kodeksu karnego (przestępstwa przeciwko ochronie informacji), m.in. nieuprawnionego dostępu do systemu informatycznego z art. 267 § 2. Jeśli system stoi u zewnętrznego dostawcy (hosting, chmura, CDN), upewnij się, że jego regulamin dopuszcza testy lub że zgoda została uzyskana. Dotyczy to zwłaszcza testów odporności na DDoS, które bez uzgodnienia mogą zostać potraktowane jako realny atak. ### 3. Rozpoznanie (reconnaissance) Tester zbiera informacje, które zbierałby napastnik: domeny i subdomeny, wystawione usługi, wersje oprogramowania, wycieki danych logowania, informacje o pracownikach. Część z tego to biały wywiad (OSINT), dlatego wiele firm jest zaskoczonych, ile da się o nich ustalić bez dotykania systemów. ### 4. Skanowanie i wyszukiwanie podatności Narzędzia automatyczne pokazują szeroki obraz: otwarte porty, nieaktualne komponenty, błędy konfiguracji TLS. Dla aplikacji webowych punktem odniesienia jest [OWASP Web Security Testing Guide](https://owasp.org/www-project-web-security-testing-guide/) (aktualna stabilna wersja to 4.2, trwają prace nad wersją 5.0). Ten etap sam w sobie nie jest jeszcze pentestem, tylko jego wstępem. ### 5. Wykorzystanie podatności (exploitation) To jest sedno pentestu. Tester sprawdza, czy luka pozwala na realne wejście: obejście logowania, wstrzyknięcie zapytania SQL, przejęcie sesji, eskalację uprawnień. Dobry wykonawca nie „kładzie" produkcji; ryzykowne działania uzgadnia wcześniej i zatrzymuje się, gdy dowód koncepcji (proof of concept) jest wystarczający. ### 6. Ruch boczny i eskalacja Po wejściu tester sprawdza, jak daleko można zajść: czy z jednego konta da się dojść do bazy klientów, panelu administracyjnego lub kopii zapasowych. Tu ujawniają się problemy, których skan nigdy nie znajdzie, np. wspólne hasła lokalnych administratorów czy zbyt szerokie uprawnienia kont serwisowych. Szczególnie niebezpieczne są pulpity zdalne wystawione do internetu (dostępy do takich serwerów są na rynku przestępczym sprzedawane za kilkanaście dolarów). ### 7. Raport Dobry raport składa się z dwóch warstw: podsumowania zarządczego (ryzyko biznesowe, priorytety, w kilku stronach) oraz części technicznej (opis, dowód, kroki odtworzenia, ocena krytyczności, rekomendacja naprawy dla każdej luki). Jeśli dostajesz wyłącznie wydruk ze skanera, nie jest to pentest. ### 8. Omówienie wyników i retest Po raporcie warto zorganizować spotkanie z zespołem, który będzie naprawiał błędy. Po wdrożeniu poprawek wykonawca powinien zweryfikować, czy luki rzeczywiście zniknęły (retest). Sprawdź w ofercie, czy retest jest w cenie, bo bywa płatny osobno, a to właśnie on zamyka cały proces. ## Rodzaje testów: black box, grey box, white box - **Black box:** tester zaczyna bez wiedzy o systemie, jak zewnętrzny napastnik. Najbliższy rzeczywistości, ale zwykle najdłuższy i najmniej wydajny kosztowo. - **Grey box:** tester dostaje zwykłe konta użytkowników i podstawową dokumentację. Najczęstszy wybór dla aplikacji, bo skraca etap rozpoznania i pozwala sprawdzić autoryzację między rolami. - **White box:** pełna wiedza, dokumentacja, a nawet kod źródłowy. Daje najgłębsze wyniki, np. przy krytycznych systemach płatniczych. ## Ile trwa test penetracyjny? Czas zależy od zakresu. Skoncentrowany test jednej aplikacji lub zewnętrznej sieci to zwykle kilka dni roboczych samej pracy testera. Do tego dochodzą przygotowanie, konfiguracja dostępów, raport i przegląd, więc w kalendarzu wychodzi często 2–4 tygodnie. Złożone zakresy (wiele aplikacji, sieć wewnętrzna, chmura) mogą trwać kilka tygodni, a ćwiczenia red team rozciągają się na wiele tygodni. Pamiętaj, że dobre firmy rezerwują terminy z wyprzedzeniem, więc czas oczekiwania na start bywa osobnym czynnikiem. ## Ile kosztuje test penetracyjny? Ceny na polskim rynku są wyceniane indywidualnie i rzadko publikowane. Orientacyjnie można oprzeć się na szacunkach z rynku amerykańskiego opublikowanych w 2026 roku, które pochodzą od dostawcy usług, a nie z niezależnych transakcji, więc traktuj je jako rząd wielkości, nie cennik: | Typ testu | Szacunek (USD, 2026) | |---|---| | Sieć zewnętrzna | 4 000–12 000 | | Aplikacja webowa lub API | 5 000–30 000 | | Sieć wewnętrzna | 5 000–35 000 | | Aplikacja mobilna | 7 000–35 000 | | Infrastruktura chmurowa | 10 000–50 000 | | Red team | 30 000–150 000+ | Źródło szacunków: [analiza kosztów testów penetracyjnych w 2026 r.](https://helix.ml/blog/penetration-testing-cost) Na cenę wpływają przede wszystkim: liczba aplikacji, endpointów i adresów IP, liczba ról użytkowników, metoda (black/grey/white box), złożoność środowiska, doświadczenie testera oraz wymagania co do raportu pod konkretny standard. Największym ukrytym kosztem są zwykle same poprawki po teście, nie sam test. ## Pentest a NIS2 i ustawa o KSC w 2026 roku Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie **3 kwietnia 2026 r.** i wdraża dyrektywę NIS2. Według opublikowanego [harmonogramu wdrożenia NIS2 w Polsce](https://itwiz.pl/nowelizacja-ustawy-o-ksc-zaczyna-obowiazywac-rusza-harmonogram-wdrozenia-nis2-w-polsce/) kluczowe terminy wyglądają tak: - **3 października 2026 r.:** upłynął sześciomiesięczny termin na wniosek o wpis do właściwego wykazu. Jeśli nie masz pewności, czy Twoja firma podlega ustawie i czy dopełniła tego obowiązku, skonsultuj to niezwłocznie z prawnikiem. - **3 kwietnia 2027 r.:** dostosowanie systemów, procedur i struktur organizacyjnych (zarządzanie ryzykiem, odpowiednie środki bezpieczeństwa, ciągłość działania). - **3 kwietnia 2028 r.:** pierwszy audyt cyberbezpieczeństwa podmiotów kluczowych, potem co najmniej co trzy lata. Kary administracyjne co do zasady mogą być nakładane dopiero po dwóch latach od wejścia ustawy w życie. Warto wiedzieć, że według cytowanego tam raportu „Cyberportret polskiego biznesu" aż 36% ekspertów ds. cyberbezpieczeństwa nie wie, czy ich firma podlega NIS2. Pentest nie jest tym samym co audyt wymagany ustawą, ale dostarcza dowodów, że przyjęte środki bezpieczeństwa działają w praktyce, a to dokładnie ten rodzaj dowodu, o który zapyta audytor. ## Jak przygotować firmę do testu? 1. Wyznacz osobę decyzyjną i kontakt awaryjny na czas testu. 2. Zrób kopie zapasowe systemów objętych zakresem i sprawdź, czy da się je odtworzyć. 3. Zdecyduj, czy zespół IT ma być poinformowany. W teście „na ślepo" sprawdzasz też zdolność wykrycia, ale rośnie ryzyko fałszywych eskalacji. 4. Przygotuj konta testowe w różnych rolach (grey box). 5. Uzgodnij z dostawcami (hosting, chmura, CDN, operator płatności) zgody na testy. 6. Zaplanuj zasoby na naprawy, bo raport bez wdrożonych poprawek nie zmienia poziomu ryzyka. Dla sklepów internetowych odrębnym tematem jest dostępność. Jeśli sprzedaż zależy od ciągłości działania, sprawdź materiał o tym, jak wygląda [ochrona sklepu przed atakami DDoS](https://sites.google.com/view/alicyja/ataki-ddos-na-sklepy-internetowe), w tym plan reakcji w pierwszej godzinie. Uzupełnieniem mogą być [dodatkowe notatki o zabezpieczaniu infrastruktury firmowej](https://md.darmstadt.ccc.de/s/PhFwCeD-MO). ## Jak wybrać wykonawcę testu penetracyjnego? Kompetencje, które wcześniej rynek przestępczy sprzedawał na forach, możesz kupić legalnie: hakerzy do wynajęcia w legalnej wersji to właśnie etyczni hakerzy działający na podstawie umowy. Wybierając konkretnego wykonawcę, sprawdź: - **Metodykę.** Czy oprze się na uznanych standardach, takich jak [NIST SP 800-115](https://csrc.nist.gov/pubs/sp/800/115/final) (przewodnik z 2008 r. o planowaniu i przeprowadzaniu testów bezpieczeństwa), OWASP WSTG lub PTES? Stary wiek dokumentu NIST nie przeszkadza: stanowi ramę procesu, a techniki aktualizuje się na bieżąco. - **Kompetencje zespołu.** Certyfikaty (np. OSCP, CEH) są sygnałem, ale ważniejsze są referencje i próbka raportu z zanonimizowanego projektu. - **Kto realnie testuje.** Zapytaj, czy projekt poprowadzą te same osoby, które prowadziły rozmowę sprzedażową. - **Zapisy umowy.** Zakres, poufność, ubezpieczenie OC, sposób bezpiecznego przekazania raportu i usunięcia danych po projekcie. - **Retest i wsparcie.** Czy poprawki są weryfikowane i czy jest to w cenie. - **Czerwone flagi.** Obietnica „100% bezpieczeństwa", cena bez doprecyzowania zakresu, raport będący eksportem ze skanera, brak pisemnej zgody przed startem. ## Najczęstsze błędy po teście - **Raport w szufladzie.** Brak właściciela poprawek i terminów oznacza, że luki zostają. - **Naprawa objawów zamiast przyczyny.** Załatanie jednego formularza, gdy ten sam błąd jest w całej aplikacji. - **Brak powtórzeń.** Test z 2024 r. nie opisuje systemu po wdrożeniach z 2026 r. Pentest warto powtarzać po istotnych zmianach i okresowo. ## Najczęstsze pytania (FAQ) ### Czym różni się pentest od skanowania podatności? Skan wykrywa potencjalne luki automatycznie. Pentest potwierdza, że dana luka jest wykorzystywalna, łączy kilka słabości w realną ścieżkę ataku i pokazuje wpływ na biznes. ### Czy test penetracyjny może zepsuć działanie systemu? Istnieje niewielkie ryzyko niedostępności, dlatego ryzykowne techniki uzgadnia się wcześniej, a testy wykonuje w uzgodnionych oknach, najlepiej na środowisku zbliżonym do produkcyjnego. ### Jak często wykonywać test penetracyjny? Minimum po każdej istotnej zmianie architektury lub funkcji oraz okresowo, najczęściej raz w roku dla systemów krytycznych. Dla podmiotów objętych NIS2 częstotliwość warto powiązać z analizą ryzyka. ### Czy mogę przetestować cudzą stronę, żeby sprawdzić jej bezpieczeństwo? Nie bez zgody właściciela. Nieuprawniony dostęp do systemu informatycznego jest przestępstwem, nawet jeśli intencje są dobre. ### Czy NIS2 wymaga wykonania pentestu? Ustawa wymaga środków zarządzania ryzykiem i audytów w określonych terminach. Pentest jest praktycznym sposobem udowodnienia, że te środki działają, ale nie zastępuje audytu. ### Co powinno znaleźć się w dobrym raporcie? Podsumowanie zarządcze, listę podatności z oceną krytyczności, dowody i kroki odtworzenia, rekomendacje napraw oraz zakres i metodykę testu. ## Podsumowanie Test penetracyjny to najbardziej bezpośredni sposób, by dowiedzieć się, co zobaczyłby napastnik, zanim zobaczy to on. Ustal wąski, jasny zakres, podpisz umowę, wybierz wykonawcę po metodyce i raporcie, a nie po cenie, i zaplanuj budżet na poprawki oraz retest. Przy obowiązujących już terminach wynikających z KSC i NIS2 odkładanie decyzji staje się coraz droższe.