Prijzen · Scope · Wat het bedrag bepaalt

Wat een penetratietest werkelijk kost

Twee offertes voor wat op hetzelfde werk lijkt kunnen tien keer verschillen zonder dat een van beide partijen liegt. Het verschil zit bijna altijd in de scope, de senioriteit en hoeveel van het werk daadwerkelijk door een mens wordt gedaan. Dit zijn mijn prijzen en de zeven factoren die ze bepalen.

De prijzen

Dit zijn startpunten, geen menukaart. Elke opdracht wordt vóór aanvang vastgelegd tegen een schriftelijke scope, er is geen urenfacturering, en het bedrag wordt schriftelijk bevestigd binnen 24 uur na een gratis scopinggesprek.

  • Webapplicatietesten - vanaf $500. Handmatige OWASP Top 10, authenticatie en autorisatie, bedrijfslogica en misbruik van workflows, en API-testen over REST en GraphQL. Doorgaans drie tot vijf werkdagen. Gescoped op het aantal gebruikersrollen, de omvang van het endpointoppervlak en of een API in scope valt.
  • Netwerk- en Active Directory-testen - vanaf $1.500. Interne en externe netwerktesten, ADCS, Kerberoasting en ACL-misbruik, met BloodHound in kaart gebrachte aanvalspaden en validatie van segmentatie. Gescoped op domeingrootte, aantal hosts en vertrouwensrelaties.
  • Cloudtesten - vanaf $1.500. Azure en cloudinfrastructuur vallen onder dezelfde infrastructuurlaag en worden op dezelfde manier gescoped.
  • Compliancegedreven testen - vanaf $500. Raamwerkwerk volgt dezelfde prijslogica: vanaf $500 voor een scope met alleen de applicatie, vanaf $1.500 zodra infrastructuur meedoet. Het raamwerk verandert het bewijs dat u nodig hebt, niet de kosten van het testen zelf.

Elke opdracht bevat wat vaak als extra wordt verkocht: ondersteuning bij remediatie terwijl u herstelt, een hertest die bevestigt dat de oplossingen standhouden, en een attestatiebrief die u aan een klant of auditor kunt geven. De volledige uitsplitsing staat op de prijspagina.

Waarom twee offertes voor hetzelfde werk tien keer verschillen

Dit is de vraag die ik het vaakst krijg, en het eerlijke antwoord is dat het grootste deel van de spreiding niets met testkwaliteit te maken heeft.

1. Testerdagen, geen functionaliteiten

Een penetratietest wordt verkocht in dagen aandacht van een bekwaam persoon. Een kleine applicatie met één rol en veertig endpoints is werkelijk een andere hoeveelheid werk dan een platform met zes rollen, een betaalstroom en een publieke API. Reken elke offerte om naar testerdagen en de spreiding stort meestal in. Als een bureau niet wil zeggen hoeveel dagen u koopt, is dat de bevinding.

2. Overhead die u financiert

De offerte van een groot adviesbureau draagt een salesteam, accountmanagement, een projectmanager, panden en marge nog voordat er één pakket is verstuurd. Niets daarvan maakt de test beter. Het zijn reële kosten van kopen bij een groot bureau, en het is het grootste deel van het gat tussen een opdracht van $2.000 en een van $18.000 voor dezelfde applicatie.

3. Wie het werk daadwerkelijk doet

Grote bureaus zetten junior testers op kleine opdrachten en laten een senior de uitvoer nakijken. U wordt geoffreerd tegen een gemengd tarief en getest op juniorniveau. Bij een zelfstandige tester is degene die scopet dezelfde die uitvoert en schrijft, en het is een vraag die u bij elke aanbieder expliciet zou moeten stellen.

4. Handwerk tegenover gereedschap

Een scanner vindt ontbrekende headers, verouderde bibliotheken en bekende CVE's. Hij vindt geen gebroken toegangscontrole tussen twee tenants, geen workflow waarin je een stap kunt overslaan, en geen prijsveld dat de server vertrouwt. Dat zijn de bevindingen die ertoe doen en die komen alleen van een mens. De goedkoopste offertes op de markt zijn vaak scanneruitvoer met een voorblad, en daarom zegt de prijs alleen heel weinig.

5. Bescherming tegen scope creep

Een offerte die laag lijkt en vervolgens alles onvoorziens per uur factureert, is geen lage offerte. Vaste prijs tegen schriftelijke scope is de enige vorm waarin het getoonde bedrag het betaalde bedrag is.

6. Hertest en remediatie

Veel bureaus rekenen de hertest apart, en dat is juist het deel dat bewijst dat u iets hebt opgelost. Sluit een offerte die uit, tel hem er dan bij op voordat u vergelijkt.

7. De deadline

Werk dat deze week moet beginnen kost overal meer, ook bij mij. Als een klantcontract of een auditdatum de test aandrijft, is vroeg beginnen met het gesprek het goedkoopste wat u kunt doen.

Waar u nooit voor zou moeten betalen

Een paar dingen duiken regelmatig op in offertes en zijn geen geld waard. Een onbewerkte scannerexport, hoe lang ook. Een rapport zonder reproductiestappen, want uw engineers kunnen er niets mee. Een bevindingenlijst zonder onderbouwing van de ernst, waardoor triage onmogelijk wordt. Een "penetratietest" zonder geauthenticeerd testen op een applicatie met logins, waarmee het hele gebied wordt overgeslagen waar de echte bevindingen zitten. En elke opdracht waarbij niemand de naam of de certificeringen van de tester wil noemen.

Zelf uw bedrag inschatten

Wilt u het gesprek ingaan terwijl u al ruwweg weet waar u uitkomt, beantwoord dan deze vijf: wat voor systeem is het, hoe groot is het grofweg, hoeveel verschillende gebruikersrollen bestaan er, valt een API in scope, en bepaalt een raamwerk of een klant de deadline? Die vijf antwoorden bepalen vrijwel de hele prijs. Er staat een langere toelichting in hoeveel kost een penetratietest, en het voorbeeldrapport laat zien wat het geld oplevert.

Per situatie

Kosten werken anders afhankelijk van wat de test aandrijft. Is een financieringsronde of een enterpriseklant de reden, zie dan kosten van een penetratietest voor start-ups. Is het een auditor, zie dan kosten SOC 2-penetratietest of kosten PCI DSS-penetratietest. En overweegt u een aanbod aan de absolute onderkant van de markt, lees dan eerst wat een goedkope penetratietest werkelijk koopt.

Vragen over prijs

Omdat u het adviesbureau niet betaalt. Een bureau dat $18.000 vraagt voor een webapplicatietest dekt daarmee een salesteam, accountmanagers, een projectmanager, een kantoor, een marge en vaak een junior tester wiens werk een senior nakijkt. Ik ben één OSCP+-tester zonder overhead, en degene die de scope van uw test bepaalt is dezelfde die hem uitvoert en het rapport schrijft. De testuren op een kleine applicatie verschillen niet wezenlijk. Wat verschilt is de prijs eromheen.
Dat hangt volledig af van de vraag of de uren echt zijn. Een opdracht van $400 waarbij een automatische scanner draait en de uitvoer wordt opgemaakt, is tegen elke prijs waardeloos. Een opdracht van $500 die drie tot vijf dagen handmatig werk op een kleine applicatie is, is echte waarde. De vraag is nooit alleen de prijs, maar hoeveel testerdagen u koopt en wie ze uitvoert. Het loont om hoe u het verschil ziet te lezen voordat u aan de onderkant iets koopt.
Nee. Elke opdracht heeft een vaste prijs tegen een schriftelijke scope, afgesproken voordat er iets begint. Facturering per uur verschuift het risico van een slechte inschatting naar u en geeft de tester een stille prikkel om traag te zijn. U krijgt het bedrag, de planning en de op te leveren producten schriftelijk binnen 24 uur na het scopinggesprek, en dat bedrag verandert alleen als u de scope verandert.
Niets wat een test nodig heeft. Ondersteuning bij remediatie, de hertest na uw herstelwerk en de attestatiebrief zijn inbegrepen en worden niet als extra's gefactureerd. Wat echt buiten scope valt, is werk dat ik niet heb gescoped: bijvoorbeeld een tweede applicatie halverwege toevoegen, of een social-engineeringcomponent waar u niet om vroeg. Die worden opnieuw geoffreerd in plaats van stilzwijgend opgenomen, zodat het oorspronkelijke bedrag eerlijk blijft.
Meestal binnen één gesprek. Ik moet weten wat voor systeem het is, hoe groot het ongeveer is, of er geauthenticeerde rollen zijn, of een API in scope valt en of een raamwerk of een klant de deadline bepaalt. Daaruit volgt binnen 24 uur een schriftelijk voorstel met prijs en planning.

Wilt u het bedrag voor uw scope, niet een bandbreedte?

Het scopinggesprek is gratis en het schriftelijke voorstel met vaste prijs volgt binnen 24 uur.

Contact