Question 1

Co to jest test penetracyjny (pentest) strony internetowej?

Accepted Answer

Test penetracyjny (pentest) to kontrolowana symulacja ataku hakerskiego na Twoją stronę internetową lub aplikację webową. Profesjonalny pentester próbuje znaleźć i wykorzystać luki w zabezpieczeniach, zanim zrobią to prawdziwi cyberprzestępcy. Proces obejmuje rekonesans, skanowanie podatności, eksploatację i szczegółowe raportowanie z rekomendacjami naprawczymi.

Question 2

Ile kosztuje test penetracyjny w Polsce?

Accepted Answer

Cena testu penetracyjnego w Polsce zależy od zakresu i złożoności. Orientacyjne koszty: podstawowy pentest strony www — od 4 500 zł, pentest aplikacji webowej — od 7 500 zł, pentest API (REST/GraphQL) — od 6 000 zł, audyt HTTPS/SSL — od 2 000 zł, kompleksowy audyt bezpieczeństwa — od 15 000 zł. Cena zależy od modelu testowania (Black/Grey/White Box), liczby endpointów i certyfikatów specjalistów.

Question 3

Jak długo trwa test penetracyjny?

Accepted Answer

Standardowy pentest aplikacji webowej trwa od 3 do 10 dni roboczych, w zależności od złożoności i zakresu testów. Raport z wynikami i rekomendacjami dostarczany jest w ciągu 5 dni roboczych od zakończenia testów. Retesty po wdrożeniu poprawek to dodatkowe 1-3 dni.

Question 4

Czym różni się audyt bezpieczeństwa od testu penetracyjnego?

Accepted Answer

Audyt bezpieczeństwa to szeroka, systematyczna analiza stanu bezpieczeństwa obejmująca polityki, procesy, konfigurację i kod źródłowy. Test penetracyjny to wąski, ukierunkowany test polegający na próbie przełamania zabezpieczeń (symulacja ataku). Audyt daje ogólny obraz, pentest pokazuje konkretne wektory ataku z dowodami eksploatacji (PoC).

Question 5

Czy moja firma potrzebuje testów penetracyjnych?

Accepted Answer

Tak, jeśli Twoja firma: posiada stronę internetową lub aplikację webową obsługującą klientów; przetwarza dane osobowe (wymóg RODO); podlega regulacjom NIS2 lub PCI DSS; korzysta z API do wymiany danych; prowadzi e-commerce; chce chronić się przed ransomware i phishingiem. Regularne pentesty (minimum raz w roku) to standard branżowy i wymóg wielu regulacji.

Question 6

Co to jest OWASP Top 10?

Accepted Answer

OWASP Top 10 to lista 10 najważniejszych zagrożeń bezpieczeństwa aplikacji webowych, publikowana przez OWASP (Open Web Application Security Project). Jest to standard branżowy, którego przestrzegamy w naszych testach. Lista obejmuje m.in.: Broken Access Control, Cryptographic Failures, Injection (SQL/XSS), Insecure Design, Security Misconfiguration, SSRF.

Question 7

Co to jest audyt HTTPS/SSL i dlaczego jest ważny?

Accepted Answer

Audyt HTTPS/SSL to weryfikacja prawidłowej konfiguracji protokołu HTTPS, certyfikatów SSL/TLS i nagłówków bezpieczeństwa (HSTS, CSP, X-Frame-Options). Nieprawidłowa konfiguracja może pozwolić na przechwycenie danych, ataki man-in-the-middle i obniżenie pozycji w Google. Sprawdzamy wersje protokołów, cipher suites, ważność certyfikatów i obecność mixed content.

Question 8

Jakie certyfikaty posiadają Wasi pentesterzy?

Accepted Answer

Nasz zespół posiada uznawane w branży certyfikaty, w tym OSCP (Offensive Security Certified Professional), CEH (Certified Ethical Hacker), CompTIA Security+ oraz specjalistyczne certyfikaty w zakresie testowania aplikacji webowych (GWAPT). Regularnie uczestniczymy w konferencjach i szkoleniach, aby być na bieżąco z najnowszymi technikami ataków i metodami obrony.

Question 9

Czy test penetracyjny może uszkodzić moją stronę?

Accepted Answer

Profesjonalny test penetracyjny jest przeprowadzany w kontrolowany sposób z dbałością o ciągłość działania Twojej strony. Przed rozpoczęciem testów ustalamy z Tobą dokładny zakres, harmonogram i ograniczenia. W razie potrzeby testy mogą być przeprowadzone na środowisku testowym (staging). Zawsze mamy plan awaryjny i nie wykonujemy destrukcyjnych działań bez wcześniejszej zgody.

Question 10

Jakie regulacje wymagają regularnych testów bezpieczeństwa?

Accepted Answer

Kilka kluczowych regulacji wymaga regularnych testów bezpieczeństwa: dyrektywa NIS2 (dla podmiotów kluczowych i ważnych w UE), RODO (ochrona danych osobowych), PCI DSS (dla firm obsługujących płatności kartami), ISO 27001 (zarządzanie bezpieczeństwem informacji), KNF (sektor finansowy w Polsce). Niespełnienie wymogów grozi karami — do 10 mln EUR lub 2% rocznego obrotu w przypadku NIS2.

Frequently Asked Questions

Didn't find your answer?