Laskelmat, esimerkit ja valintamenetelmä
Penetraatiotestauksen hinta: mistä testauspäivät muodostuvat ja miten rajaus vaikuttaa
Mitä penetraatiotestaus maksaa pk-yritykselle, miten testauspäivät arvioidaan web-sovellukselle, sisäverkolle ja pilviympäristölle, mitä raporttiin kuuluu ja miten tarjouksia verrataan.
Penetraatiotestauksen hinta määräytyy lähes aina testauspäivien määrästä kertaa päivähinta, ja päivien määrä riippuu siitä, mitä testataan ja kuinka syvällisesti. Havainnollisesti päivähinta on usein noin 1 000–1 600 euroa ilman arvonlisäveroa. Pienen web-sovelluksen testaus voi viedä 3–6 päivää, yrityksen sisäverkon ja palvelinten testaus 5–10 päivää ja laajempi kokonaisuus pilviympäristöineen 10–20 päivää. Lisäksi tulevat raportointi, mahdollinen uusintatesti ja projektinhallinta. Ennen hintaa ratkaistaan rajaus: mitä testataan, millä tiedoilla ja millä luvalla – ilman kirjallista lupaa testaus voi olla rikos, katso penetraatiotestauksen lupa ja rikoslaki. Opas kuuluu kokonaisuuteen sopivimman tietoturvakumppanin valinta.
Testaustyypit ja tyypillinen laajuus (havainnollinen)
| Kohde | Mitä testataan | Tyypilliset päivät | Havainnollinen hinta (alv 0 %) |
|---|---|---|---|
| Ulkoinen verkko | Internetiin näkyvät palvelut, etäyhteydet | 2–4 | 2 000–6 400 € |
| Web-sovellus | Kirjautuminen, käyttöoikeudet, syötteet, rajapinnat | 3–8 | 3 000–12 800 € |
| Sisäverkko | Mitä hyökkääjä voi tehdä päästyään yhdelle koneelle | 4–10 | 4 000–16 000 € |
| Pilviympäristö ja pilvisähköposti | Konfiguraatiot, oikeudet, tunnistautuminen | 3–8 | 3 000–12 800 € |
| Mobiilisovellus | Sovellus ja sen taustarajapinta | 4–8 | 4 000–12 800 € |
| Sosiaalinen manipulointi | Kalasteluharjoitus sovitulle kohderyhmälle | 2–5 | 2 000–8 000 € |
Hinnat on laskettu kertomalla päivät havainnollisella 1 000–1 600 €:n päivähinnalla. Ne eivät ole kenenkään palveluntarjoajan hintoja.
Mikä kasvattaa päivien määrää
- Laajuus: sovelluksen roolien, toimintojen ja rajapintojen määrä
- Testaustapa: "musta laatikko" (ei tietoja) vie usein enemmän aikaa kuin "harmaa laatikko" (testitunnukset ja dokumentaatio) ja tuottaa vähemmän löydöksiä samalla budjetilla
- Ympäristö: testaus tuotannossa vaatii varovaisuutta ja aikataulurajoja
- Raportoinnin vaatimukset: johdon tiivistelmä, tekninen raportti, englanninkielinen versio asiakkaalle
- Uusintatesti: korjausten varmistaminen, yleensä 1–2 päivää
Laskuesimerkki: verkkokauppa ja toimisto (havainnollinen)
25 hengen verkkokauppayritys tilaa testauksen ennen uuden kassajärjestelmän julkaisua.
- Web-sovellus ja maksun rajapinta: 5 päivää
- Ulkoinen verkko: 2 päivää
- Pilvisähköpostin ja hallintaliittymien konfiguraatio: 2 päivää
- Raportointi ja loppupalaveri: 1 päivä
- Uusintatesti korjausten jälkeen: 1 päivä
Yhteensä 11 päivää. Päivähinnalla 1 200 € hinta on 11 × 1 200 = 13 200 € (alv 0 %), arvonlisäveron kanssa 13 200 × 1,255 = 16 566 €. Jos testaus tehdään joka toinen vuosi, vuosikustannukseksi voi budjetoida 6 600 €.
Jos budjetti on 8 000 €, rajaa ensin suurimman riskin kohde: tässä tapauksessa maksun käsittely ja kirjautuminen (5 päivää = 6 000 €) sekä uusintatesti (1 päivä), yhteensä 7 200 €.
Mitä hyvä raportti sisältää
- johdon tiivistelmä ilman teknistä kieltä
- jokainen löydös vakavuusluokiteltuna, todisteet ja toistettavat vaiheet
- korjausehdotukset ja niiden kiireellisyys
- testattu ja testaamatta jätetty laajuus (mitä ei testattu)
- testausaika, menetelmät ja testaajien käyttämät lähdeosoitteet, jotta ne voidaan erottaa oikeista hyökkäyksistä lokeissa
Pelkkä automaattisen haavoittuvuusskannerin tuloste ei ole penetraatiotestaus. Haavoittuvuusskannaus on hyödyllinen jatkuva palvelu ja usein osa MSSP-pakettia, mutta se ei kerro, voiko löydöksiä ketjuttaa oikeaksi murroksi.
Tarjousten vertailu
Pyydä tarjous samalla rajauksella ja tarkista:
| Kysymys | Miksi |
|---|---|
| Montako päivää ja kuka testaa? | Päivien määrä on hinnan perusta |
| Sisältyykö uusintatesti? | Muuten korjausten varmistaminen on lisätyö |
| Miten tuotantohäiriöt estetään? | Testaus voi kuormittaa järjestelmiä |
| Miten löydökset luovutetaan ja säilytetään? | Raportti on luottamuksellinen tieto |
| Kenen luvalla testataan kolmannen osapuolen palveluja? | Pilvi- ja ylläpitopalveluilla on omat ehdot |
Jos sama yritys myy myös valvontaa, harkitse testaajaa, joka ei ylläpidä testattavaa ympäristöä. Riippumaton näkemys on testauksen tarkoitus.
Kuinka usein testata
Kiinteää lakisääteistä väliä ei pk-yrityksille yleisesti ole. Tavallisia syitä ovat uuden järjestelmän julkaisu, suuri muutos, asiakkaan tai sertifioinnin vaatimus ja aiempi tietoturvapoikkeama. Kyberturvallisuuslain piiriin kuuluvalla toimijalla hallintatoimenpiteiden vaikuttavuuden arviointi on yksi riskienhallinnan osa-alueista, ja testaus on yksi tapa näyttää se. Sisällytä testaus vuosibudjettiin, esimerkiksi oppaan kustannusesimerkit yrityskoon mukaan tapaan.
Tilaajan valmistelu, joka säästää testauspäiviä
Osa testauspäivistä kuluu usein odottamiseen: testitunnukset puuttuvat, ympäristö ei ole valmis tai palomuuri estää testaajan. Nämä maksavat samaa päivähintaa kuin varsinainen testaus. Valmistele siksi:
- Testitunnukset jokaiselle testattavalle roolille (tavallinen käyttäjä, pääkäyttäjä) ennen aloitusta.
- Ympäristö: testataanko tuotantoa vai testiympäristöä, ja vastaako testiympäristö tuotantoa?
- Dokumentaatio: rajapintakuvaukset ja arkkitehtuurikaavio nopeuttavat harmaan laatikon testausta.
- Valvonnan ja ylläpitäjän tieto: MDR-palvelu ja ylläpitäjä tietävät testauksen ajan ja lähdeosoitteet.
- Yhteyshenkilö: joku vastaa testaajan kysymyksiin testauspäivinä.
- Lupa: kirjallinen ja rajattu, katso penetraatiotestauksen lupa ja rikoslaki.
Havainnollinen vaikutus: jos 11 päivän testauksesta menee 1,5 päivää odottamiseen 1 200 €:n päivähinnalla, hukka on 1 800 €. Valmistelu vie omalta väeltä ehkä puoli päivää.
Korjausten aikataulu kannattaa sopia jo ennen testausta. Uusintatesti on hyödyllinen vain, jos korjaukset ehditään tehdä; muuten se siirtyy ja voi maksaa uuden aloituksen.
Lue myös: tarjouspyyntö tietoturvapalvelusta.
Usein kysyttyä
Voiko testauksen tehdä kiinteällä hinnalla?
Voi, jos rajaus on tarkka. Kiinteä hinta siirtää ylitysriskin testaajalle, joten hinta voi olla hieman korkeampi kuin päiväarvio.
Pitääkö MDR-palvelulle kertoa testauksesta?
Kyllä, ellei tarkoituksena ole testata nimenomaan valvonnan havaintokykyä. Silloinkin jonkun pitää tietää, jotta testaus voidaan keskeyttää tarvittaessa.
Mitä on bug bounty?
Ohjelma, jossa ulkopuoliset tutkijat palkitaan löydöksistä. Se täydentää testausta mutta vaatii selkeät säännöt ja kyvyn käsitellä ilmoituksia.
Kannattaako testaus ostaa samalta yritykseltä kuin valvonta?
Se on mahdollista, mutta riippumattomuus on testauksen arvo. Jos sama yritys sekä ylläpitää ympäristöä että testaa sitä, pyydä, että testaus tehdään erillisellä tiimillä, ja harkitse ajoittain ulkopuolista testaajaa.
Lähteet ja lisätietoa
- Finlex – rikoslaki 39/1889, 38 luku 8 § (tietomurto)
- Kyberturvallisuuskeskus – haavoittuvuuksien koordinoitu julkistaminen ja ohjeet
- Verohallinto – arvonlisävero palvelujen hinnoissa
