Prisen på en penetrationstest hænger sammen med, hvor meget arbejde opgaven kræver. Arbejdet afhænger af, hvad der skal undersøges, hvor grundigt, under hvilke betingelser og med hvilken dokumentation til sidst. Et svar på prisen kræver derfor først et svar på omfanget.
Det betyder også, at to tilbud med samme overskrift kan dække vidt forskellige opgaver. Den, der kender de forhold, som gør en opgave større eller mindre, kan både beskrive behovet mere præcist og forstå, hvorfor tilbud er forskellige. Konkrete beløb afhænger af opgaven og af den, der udfører den. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Prisen følger arbejdet, ikke betegnelsen
En betegnelse som ekstern test eller webtest siger noget om udgangspunktet, men ikke om størrelsen. En ekstern test af en enkelt adresse og en ekstern test af en hel række tjenester hos flere leverandører er begge eksterne test. Forskellen ligger i, hvor mange ting der skal undersøges, og hvor dybt.
Derfor er det sjældent meningsfuldt at spørge om prisen på en penetrationstest uden at beskrive, hvad den skal dække. Et tilbud bliver mere præcist, jo bedre virksomheden kan beskrive sit eget behov. → Typer af penetrationstest
Det, der gør opgaven større
En række forhold påvirker, hvor meget arbejde en test kræver. Ikke alle er relevante for alle opgaver, men de er værd at kende, før tilbud indhentes:
- Antal systemer · flere adresser, servere eller applikationer betyder mere at undersøge.
- Roller og funktioner · en kundeportal med kunder, medarbejdere og administratorer kræver, at hver rolle afprøves.
- Integrationer · forbindelser til ERP-systemet, betalingsløsninger eller partneres systemer tilføjer områder.
- Flere steder · et kontornet fordelt på flere adresser kan kræve mere end ét udgangspunkt.
- Særlige aktiviteter · fysisk adgang og social engineering er selvstændige opgaver med egen planlægning.
- Krav til dokumentation · et resumé til en kunde eller en standard kan kræve mere end en teknisk rapport.
Hvert punkt kan gøre opgaven større, men også mere relevant. Spørgsmålet er ikke, hvordan omfanget gøres mindst muligt, men hvordan det passer til det, testen skal besvare. → Scope i en penetrationstest
Betingelserne tæller også
Ud over det, der skal testes, påvirker rammerne arbejdet. Hvis testen kun må foregå om natten eller i weekenden, kan det ændre planlægningen. Hvis testen skal foregå i produktionen med særlige hensyn til driften, kan det kræve mere forsigtighed og flere aftaler undervejs. → Test i arbejdstiden eller uden for?
Testerens forhåndsviden spiller ind. En test uden oplysninger om systemet bruger tid på at finde frem til det, som virksomheden kunne have oplyst. En test med dokumentation og testkonti kan bruge tiden på selve undersøgelsen. Valget handler om, hvad testen skal svare på, men det har også betydning for indsatsen. Det samme gælder miljøet. En test på en kopi af kundeportalen kan give andre hensyn end en test i driften, og en kopi skal først være sat op, så den svarer til virkeligheden. → Black box, grey box og white box
Leverancen er en del af prisen
En penetrationstest består ikke kun af selve testen. Der er opstart, løbende kontakt, rapportskrivning og eventuelt en gennemgang af resultatet. Hvis rettelser skal efterprøves, kommer en retest til. Hvert led kræver tid og bør fremgå af tilbuddet.
Spørg derfor, hvad der er med. Er et opstartsmøde inkluderet? Er der en gennemgang af rapporten? Er retest en del af prisen, eller bestilles den særskilt? Et tilbud, der virker billigt, kan have udeladt led, som virksomheden har brug for.
Også rapportens form kan påvirke arbejdet. Skal der både være et resumé til ledelsen og en teknisk del til dem, der retter? Skal en særskilt erklæring kunne sendes til en kunde? Hver ekstra udgave af resultatet tager tid at udarbejde, og behovet bør derfor stå i beskrivelsen fra starten. → Retest efter penetrationstest
Det, I selv kan påvirke
Virksomheden har indflydelse på en del af omfanget og dermed på prisen. En præcis beskrivelse af systemer, roller og miljøer gør det lettere at give et præcist tilbud. God forberedelse betyder, at testeren ikke venter på adgang, og at tiden går til det, der skal undersøges.
Prioritering er også et redskab. Hvis budgettet er begrænset, kan testen afgrænses til det system, der betyder mest, i stedet for at blive spredt ud. Fravalgte områder kan komme med i en senere test. → Budgettet rækker til én test
Grundlæggende forhold, som virksomheden selv kan rette, behøver ikke at koste testtid. Opdateringer, lukning af gamle konti og en opdateret liste over systemer kan klares før testen.
En præcis beskrivelse mindsker også risikoen for overraskelser undervejs. Hvis der dukker systemer op, som ingen havde nævnt, eller hvis omfanget ændres midt i testen, skal opgaven aftales på ny. Det kan påvirke både tidsplan og pris, og det er lettere at undgå end at håndtere bagefter.
Når tilbud skal sammenlignes
Tilbud kan kun sammenlignes, når de dækker den samme opgave. Send derfor den samme beskrivelse til alle, og læs, hvad hvert tilbud faktisk indeholder. En forskel i prisen kan skyldes en forskel i omfang, metode, leverance eller erfaring. Hvordan tilbud sammenlignes i praksis, er beskrevet i → Sammenlign tilbud på penetrationstest.
Tiden er en væsentlig del af en opgave, og den hænger tæt sammen med omfanget. → Hvor lang tid tager en penetrationstest?
Det skal I lade være med
- At spørge om prisen uden at beskrive opgaven · et tilbud kræver, at omfanget er kendt.
- At vælge alene efter den laveste pris · undersøg, hvad tilbuddet dækker, og hvad der er udeladt.
- At skære i omfanget uden at tænke på formålet · en for smal test kan overse det, der skulle besvares.
- At glemme leverancen · rapport, gennemgang og retest bør fremgå af tilbuddet.
- At bruge testtid på det, I selv kan rette · grundlæggende forhold bør være i orden før start.
Hvad kan og ikke kan konkluderes
Kendskab til de forhold, der påvirker omfanget, kan hjælpe virksomheden med at beskrive behovet og forstå forskelle mellem tilbud. Det kan ikke give et bestemt beløb, fordi prisen afhænger af den konkrete opgave og af leverandøren. En højere pris er heller ikke i sig selv et tegn på en bedre test, og en lavere pris er ikke nødvendigvis et tegn på en dårligere.
Et tilbud gælder den opgave, der er beskrevet. Ændres systemerne, rollerne eller kravene til dokumentationen, ændres grundlaget for prisen også.
Tjekliste før I beder om tilbud
- ☐ Er systemer, roller og miljøer beskrevet?
- ☐ Er integrationer og særlige aktiviteter nævnt eller fravalgt?
- ☐ Er testvindue og hensyn til driften afklaret?
- ☐ Er det besluttet, hvilken forhåndsviden testeren får?
- ☐ Er det klart, hvilken dokumentation der skal afleveres?
- ☐ Er det afklaret, om retest skal indgå?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Opgavebeskrivelsen · Fysisk adgang som tillæg
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
