Vad kostar ett penetrationstest, och varför skiljer offerterna så mycket?

Den första är bredd. Antalet system, gränssnitt, domäner och konton i omfattningen bestämmer hur mycket kartläggning som krävs innan något test ens börjar, och kartläggningen skalar ungefär linjärt med bredden.

Den andra är djup. Ett mandat att konstatera att en väg finns kostar en bråkdel av ett mandat att följa vägen till dess slut. Skillnaden är stor eftersom det senare kräver att varje steg dokumenteras så att det går att reproducera.

Den tredje är verifiering. Att köra verktyg och sammanställa utdata är billigt. Att reproducera varje fynd för hand, avfärda falska positiva och beskriva stegen är dyrt, och det är precis den posten som skiljer en rapport ni kan agera på från en lista ni måste granska själva.

Problemet med att be om offert på ett penetrationstest är att varje leverantör då definierar sin egen avgränsning, och den avgränsningen är den enskilt största kostnadsdrivaren. Ni jämför alltså priser på olika arbeten och kallar det en upphandling.

Åtgärden är enkel och tar en eftermiddag. Skriv en lista över exakt vilka system, domäner, gränssnitt och konton som ingår, ange vad som uttryckligen ligger utanför, ange tidsfönster, och ange om social manipulation ingår. Be sedan alla lämna pris på den listan.

Be dessutom om priset uppdelat: kartläggning, testning, verifiering, rapport och eventuellt omtest. Uppdelningen gör det synligt om någon har prissatt bort verifieringen, vilket är den vanligaste förklaringen till en offert som ser för bra ut.

Ett billigt test som levererar overifierade fynd flyttar arbetet snarare än tar bort det. Era tekniker får då först avgöra vilka fynd som är verkliga innan de kan åtgärda något, vilket är exakt det arbete ni köpte bort.

Det finns en andra kostnad som är svårare att se. Om en rapport visar sig innehålla flera felaktiga fynd blir alla fynd i den misstänkta, inklusive de riktiga. Nästa gång rapporten ska ligga till grund för ett prioriteringsbeslut kommer den att ifrågasättas.

Under cybersäkerhetslagen finns en tredje. Rapporten är en del av underlaget som visar att ni bedömt om åtgärderna är effektiva, och ett underlag som inte höll vid granskning är sämre än inget, eftersom det redan är inlämnat.

Verksamhetsutövare ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda nätverks- och informationssystem.

Offerten beskriver leverantörens arbete. Ert eget arbete står inte i den och är sällan obetydligt.

Fyra poster återkommer. Att ta fram och besluta omfattningen tar några timmar hos någon som känner systemen. Att skaffa tillstånd för moln, tredjepartsdrift och integrationer tar ledtid snarare än arbetstid, men den ledtiden kan vara veckor. Under testet behövs en nåbar kontaktperson. Och efteråt behövs tid för att gå igenom rapporten och prioritera.

Poängen är inte att kostnaden är hög utan att den finns, och att den blir högre ju sämre rapporten är. En rapport med overifierade fynd flyttar hela verifieringen till just de här timmarna.

En siffra utan avgränsning bakom sig är inte information. Samma belopp kan vara högt för en enskild webbapplikation och lågt för en koncernmiljö, och den som publicerar ett spann utan att veta er omfattning har gissat åt er.

Det som går att säga generellt är hur ni får fram er egen siffra: skriv avgränsningen, be om uppdelade offerter från minst tre leverantörer på exakt den avgränsningen, och jämför posterna snarare än totalerna.

Om en offert avviker kraftigt nedåt är den mest sannolika förklaringen att verifieringen eller kedjningen inte ingår. Fråga rakt ut, och be om en exempelrapport från ett tidigare uppdrag med kunduppgifter borttagna.