Kosten van een penetratietest voor start-ups

Wat de aankoop daadwerkelijk aandrijft

Voordat het over budget gaat, loont het om precies te zijn over waarom u koopt, want dat bepaalt de scope en daarmee de prijs. In de praktijk zijn er vier aanleidingen.

• De beveiligingsbeoordeling van een enterpriseklant. Een inkoop- of leveranciersrisicovragenlijst vraagt om een recente onafhankelijke penetratietest. Dit is de meest voorkomende aanleiding en de meest tijdkritische, want er zit een contract achter.
• Een financieringsronde. Technische due diligence vanaf Serie A vraagt vaak welk onafhankelijk testwerk is gedaan en wat daaruit is gekomen.
• Een raamwerk. SOC 2, PCI DSS of een regionaal regime stelt een eis met een datum. De compliancepagina's behandelen wat elk ervan verwacht.
• Een incident. Er is iets gebeurd en u moet weten wat er nog meer blootstaat.

Alleen de vierde is open. De andere drie komen met een concrete externe partij wiens eis te lezen valt, en die eis is meestal smaller dan de paniek suggereert. Vraag hem eerst schriftelijk op.

Realistische budgetten per fase

Dit zijn de scopes die meestal zinvol zijn, geen uitspraak over wat u moet uitgeven.

Pre-seed en seed

Scope op het ene product dat u verkoopt, geauthenticeerd, met de API als die er is. Dat is een webapplicatieopdracht vanaf $500, doorgaans drie tot vijf werkdagen. In deze fase hebt u vrijwel nooit netwerk- of Active Directory-testen nodig, omdat u vrijwel zeker geen bedrijfsdomein hebt dat de moeite van een aanval waard is. Besteed het verschil aan het oplossen van wat de test vindt.

Serie A

Het product is groter, er zijn meestal meerdere gebruikersrollen, en tenantisolatie is een echte vraag geworden omdat u nu klanten hebt die erom geven. Nog steeds een applicatiescope, maar gescoped op het aantal rollen en het API-oppervlak in plaats van op de kleinst mogelijke voetafdruk. Bent u naar een cloudomgeving met noemenswaardige infrastructuur verhuisd, voeg dan cloudtesten vanaf $1.500 toe.

Serie B en verder

Op dit punt hebt u doorgaans een bedrijfsnetwerk, een identityprovider en medewerkers met laptops, wat betekent dat het aanvalsoppervlak niet langer alleen het product is. Netwerk- en Active Directory-testen vanaf $1.500 worden dan echt relevant, en een jaarprogramma over product en infrastructuur is zinvoller dan één losse opdracht. Dit is ook de fase waarin phishing en social engineering gaan meetellen, omdat u genoeg mensen hebt om een doelwit te zijn.

Een eerste test zo scopen dat hij de deal losmaakt

Een eerste test die onder dealdruk wordt gekocht heeft één taak: bewijs opleveren dat de klant accepteert. Drie dingen bepalen of dat lukt.

De scope moet overeenkomen met wat is gevraagd. Koopt de klant uw SaaS-product, test dan het SaaS-product, geauthenticeerd, inclusief de grens tussen twee klantaccounts. Een test van uw marketingsite stelt niemand tevreden en de attestatiebrief zal dat zeggen.

Het bewijs moet compleet zijn. De meeste beoordelingen willen een rapport met scope, bevindingen met ernstclassificatie, gedocumenteerde remediatie, bewijs van hertest, en een brief die vastlegt wat wanneer is getest. Is een daarvan een aparte aankoop, dan ontdekt u dat op het slechtst denkbare moment. Alle vier zijn standaard inbegrepen in mijn opdrachten.

De planning moet terugrekenen vanaf de deadline. Testen duurt drie tot vijf werkdagen voor een kleine applicatie, daarna hebben uw engineers tijd nodig om te herstellen, en dan volgt de hertest. Twee weken van begin tot eind is een realistisch minimum. Een maand van tevoren beginnen kost hetzelfde als een week van tevoren en levert een veel beter resultaat op.

Wat u vóór de test kunt doen om er meer uit te halen

Elk uur dat de tester besteedt aan iets wat u in tien minuten had kunnen oplossen, is een uur dat niet naar de interessante delen van uw applicatie gaat. Vóór een eerste test loont het om multifactorauthenticatie op beheertoegang aan te zetten, accounts van vertrokken mensen te verwijderen, dependencies met bekende kritieke kwetsbaarheden bij te werken, en te zorgen dat test- en stagingdata geen productiedata zijn. Niets daarvan is glamoureus en alles verhoogt de waarde van wat u koopt. Er staat een langere lijst in hoe u zich voorbereidt op uw eerste penetratietest.

Beslis ook vooraf wie de bevindingen gaat oplossen. De meest voorkomende mislukking bij de eerste test van een start-up is geen slecht rapport, maar een goed rapport waar niemand tijd voor heeft, waardoor u bewijs van problemen hebt en geen bewijs van remediatie. Dat leest voor een klant slechter dan helemaal niet getest hebben.

Wat het bij mij kost

Applicatietesten vanaf $500, netwerk en Active Directory of cloud vanaf $1.500, tegen een vaste prijs met een schriftelijke scope en zonder urenfacturering. Ondersteuning bij remediatie, de hertest en de attestatiebrief zijn inbegrepen. U hebt de hele tijd te maken met één OSCP+-tester, wat op deze schaal meestal een voordeel is: degene die het werk scopete kent uw product tegen de tijd dat het rapport wordt geschreven.

Het algemene prijsmodel staat op de pagina over kosten van een penetratietest, het voorbeeldrapport laat de oplevering zien, en als de prijsrange die u elders ziet verwarrend is, legt wat een goedkope penetratietest koopt de spreiding uit.