Cena penetračního testu: typy testů, rozsah v člověkodnech a co má obsahovat zpráva

Penetrační test se oceňuje projektově podle rozsahu, který se převede na počet člověkodní (MD) testera a sazbu za den. Rozsah určují hlavně typ testu (vnější infrastruktura, webová aplikace, vnitřní síť, sociální inženýrství), počet cílů (IP adres, aplikací, rolí uživatelů) a přístup testera (bez informací – „black box“, s přihlašovacími údaji – „grey box“). Ilustrativně počítáme u malé firmy 40 000–150 000 Kč za test vnější infrastruktury a 60 000–250 000 Kč za test webové aplikace bez DPH; nejde o ceny konkrétních poskytovatelů. Před testem musí být podepsané písemné oprávnění – bez něj se tester může dostat do konfliktu s trestním zákoníkem (viz penetrační test a trestní zákoník). A pozor: sken zranitelností není penetrační test.

Článek patří do sekce ceny a pravidla.

Typy testů a co ovlivňuje jejich cenu

Sken zranitelností vs. penetrační test

Vyhláška č. 409/2025 Sb. (režim vyšších povinností) v § 24 odst. 4 požaduje pravidelné skenování zranitelností z vnitřní i vnější sítě alespoň jednou ročně; vyhláška č. 410/2025 Sb. (režim nižších povinností) v § 12 požaduje pravidelné skenování zranitelností bez pevné frekvence. V režimu vyšších povinností navíc § 24 odst. 5 vyhlášky č. 409/2025 Sb. požaduje penetrační testování technických aktiv z vnitřní i vnější sítě, před uvedením do provozu a při významné změně, a to pravidelně alespoň jednou za 2 roky (v odůvodněných případech lze test rozdělit do celků, celý rozsah ale nejpozději do 5 let); povinná osoba eviduje termín a konkrétní osoby testerů a podle § 24 odst. 6 provádí retest nálezů. Vyhláška č. 410/2025 Sb. pro režim nižších povinností penetrační test nepředepisuje – může ale být rozumnou součástí řízení rizik nebo požadavkem zákazníka či pojišťovny. Ověřte v úplném znění.

Jak se počítá cena

Cena = počet člověkodní × denní sazba + případně retest a příplatky (práce mimo pracovní dobu, cestovné, fyzický test).

Modelový příklad

Smyšlená firma s e-shopem a 25 zaměstnanci. Ilustrativní denní sazba 15 000 Kč bez DPH:

S DPH 21 % je to 172 500 × 1,21 = 208 725 Kč (spočítáte i v kalkulačce ceny s DPH). Pokud test opakujete ročně, rozpočítejte ho do měsíční ceny jako pevnou položku: 172 500 ÷ 12 ≈ 14 375 Kč měsíčně. Čísla jsou ilustrativní.

Co chtít ve zprávě

Kvalitní zpráva je důvod, proč za test platíte. Měla by obsahovat:

1. Manažerské shrnutí srozumitelné pro vedení – co je nejvážnější a co s tím.
2. Rozsah a metodiku – co se testovalo, kdy, z jakých IP adres, jakým přístupem.
3. Nálezy s hodnocením závažnosti, popisem dopadu, důkazem a krokem k reprodukci.
4. Doporučení k nápravě prakticky proveditelná.
5. Co se netestovalo a proč.
6. Výsledky retestu, pokud je v ceně.

Ptejte se předem na ukázkovou zprávu (anonymizovanou). Z ní poznáte víc než z prezentace.

Na co si dát pozor při výběru

• Retest v ceně? Bez něj nevíte, zda opravy fungují.
• Kdo testuje? Zda poskytovatel test nepředává subdodavateli, a pokud ano, komu.
• Kdy test probíhá? Test produkčního e-shopu v hlavní sezóně je riziko; domluvte okna a kontakt pro okamžité zastavení.
• Zálohy před testem. Testy obvykle nejsou destruktivní, ale zálohu mějte.
• Nezávislost. Pokud vám pentest dělá stejná firma, která spravuje vaši bezpečnost, testuje vlastně sebe. Zvažte nezávislého testera.
• Mlčenlivost a nakládání s nálezy. Zpráva je citlivý dokument – kdo k ní má přístup a jak dlouho ji tester uchovává.

Rozpočet na testování v ročním plánu

Malá firma bez regulace: jeden vnější test a test hlavní webové aplikace ročně + pravidelný sken zranitelností v rámci služby. Střední firma v režimu nižších povinností: k tomu vnitřní test jednou za 1–2 roky a phishingová kampaň. Firma v režimu vyšších povinností musí naplánovat testy z vnitřní i vnější sítě nejméně jednou za 2 roky a před nasazením nových systémů. Celkový rozpočet zahrňte do modelových výpočtů. Související: externí CISO, MDR a SOC.

Jak firmu na test připravit

• Vyjasněte cíl – ověřit e-shop před sezónou, splnit požadavek zákazníka, otestovat MDR?
• Připravte seznam cílů s IP adresami a adresami aplikací a ověřte, které systémy jsou vaše.
• Zajistěte souhlasy provozovatelů hostingu a cloudových služeb, pokud je jejich pravidla vyžadují.
• Vytvořte testovací účty pro grey box test a po testu je zrušte.
• Informujte správce IT a poskytovatele MDR podle dohody.
• Zálohujte testované systémy a mějte kontakt pro okamžité zastavení.

Co dělat se zprávou

Zpráva bez nápravy je vyhozené peníze. Modelový plán (termíny jsou příklad, ne norma):

Po opravě kritických a vysokých nálezů objednejte retest.

Časté otázky

Jak dlouho test trvá?

Samotné testování u malé firmy obvykle několik pracovních dní, zpráva pak další dny. Celkově počítejte s několika týdny od objednávky po výsledky, včetně přípravy oprávnění.

Může test něco rozbít?

Riziko výpadku existuje, hlavně u starších systémů. Proto se předem dohodnou vyloučené systémy, okna, kontakt pro zastavení testu a zálohy.

Stačí automatický sken místo pentestu?

Sken je dobrý pravidelný základ, ale neodhalí řetězení slabin a logické chyby aplikace. Pro e-shop nebo klientský portál je test člověkem obvykle potřeba alespoň jednou ročně nebo po velké změně.

Zdroje

• Národní úřad pro kybernetickou a informační bezpečnost – doporučení k testování a skenování zranitelností
• e-Sbírka – vyhláška č. 409/2025 Sb. (§ 24 odst. 4–6), vyhláška č. 410/2025 Sb. (§ 12)
• Zákony pro lidi – trestní zákoník č. 40/2009 Sb., § 230–232