Пентест (тестирование на проникновение) — санкционированная проверка защищённости компании: специалисты по договору ищут уязвимости в периметре, приложениях и сети так, как это сделал бы злоумышленник, и дают план устранения. Пентест внешнего периметра стоит от 250 000 ₽ и занимает 2–3 недели, комплексный проект с внутренней сетью и веб-приложениями — 1–3 млн ₽ и до 8 недель.
Кому подходит
Тестирование на проникновение заказывают, когда нужно понять реальную, а не бумажную защищённость: перед запуском нового сервиса, после крупных изменений инфраструктуры, для выполнения требований регулятора или крупного заказчика, а также после инцидента. В отличие от автоматического сканирования, пентест показывает, какие цепочки уязвимостей действительно приводят к доступу к данным или управлению системами, и ранжирует их по критичности для бизнеса.
Сильный подрядчик начинает с согласования рамок: какие системы входят в объём, какие методы разрешены, в какое время можно проводить работы и кто на стороне заказчика знает о проверке. Работы идут строго по договору и соглашению о конфиденциальности, результаты передаются в виде отчёта для руководства и технического отчёта для ИТ-команды с воспроизводимыми описаниями и рекомендациями. Стоимость пентеста зависит от объёма, модели (чёрный, серый или белый ящик) и требований к повторной проверке после исправлений.
Стоимость
Первая проверка публичных сервисов и сайта
от 250 000 ₽
до 600 000 ₽ за проект · 2–3 недели
Средний бизнес, финтех, поставщики крупных заказчиков
от 700 000 ₽
до 1,5 млн ₽ за проект · 4–6 недель
Банки, КИИ, крупные компании с SOC
от 1,6 млн ₽
до 3 млн ₽ за проект · 6–8 недель
| Фактор | Влияние на бюджет |
|---|---|
| Объём: число внешних адресов, приложений и сегментов сети | основная статья расходов |
| Модель тестирования (чёрный, серый или белый ящик) | белый ящик с доступом к коду — +30–60% |
| Социальная инженерия и проверка SOC | +20–40% к бюджету |
| Отчёт по требованиям регулятора (ЦБ, ФСТЭК) | +10–25% |
| Работы в нерабочее время и на продуктивных системах | +10–20% |
Для сравнения — рыночные диапазоны по разделу «Информационная безопасность». Рядом часто лежит услуга, которая решает ту же задачу дешевле или быстрее.
| Услуга | Стоимость | Срок |
|---|---|---|
| Защита персональных данных по 152-ФЗ | 80 000 ₽ — 5 млн ₽ | от 2 недель до 6 месяцев |
| WAF — защита веб-приложений | 100 000 ₽ — 12 млн ₽ | от 1 до 12 недель |
| SOC — мониторинг ИБ на аутсорсе | 150 000 ₽ — 3 млн ₽ в месяц | подключение за 1–3 месяца |
| Категорирование и защита КИИ (187-ФЗ) | 200 000 ₽ — 15 млн ₽ | от 1 до 12 месяцев |
| Пентест (тестирование на проникновение) эта страница | 250 000 ₽ — 3 млн ₽ | от 2 до 8 недель |
| Внедрение DLP-системы | 250 000 ₽ — 15 млн ₽ | от 1 до 6 месяцев |
| Bug Bounty программа | 350 000 ₽ — 6 млн ₽ | 1–3 месяца на запуск |
| Соответствие PCI DSS | 400 000 ₽ — 10 млн ₽ | от 3 до 12 месяцев |
| Соответствие ГОСТ 57580 | 400 000 ₽ — 8 млн ₽ | от 1 до 9 месяцев |
| Внедрение SIEM | 600 000 ₽ — 25 млн ₽ | от 2 до 9 месяцев |
Результат
Перечень систем в объёме, разрешённые методы, окна проведения, контакты и порядок остановки работ при риске для сервисов.
Проверка публичных сервисов, почты, VPN и облачных ресурсов компании, доступных из интернета.
Проверка сайтов и личных кабинетов на уязвимости по методологиям OWASP с подтверждением находок.
Оценка того, что сможет сделать нарушитель, оказавшийся внутри сети: доступ к серверам, учётным записям и данным.
По согласованию — учебные фишинговые рассылки и сценарии социальной инженерии с обезличенной статистикой.
Краткое резюме рисков для бизнеса и технический отчёт с критичностью, доказательствами и рекомендациями по каждой уязвимости.
Ретест после устранения уязвимостей с подтверждением, что критичные находки закрыты.
Как проходит работа
Фиксируем, какие системы проверяем, какие риски важны бизнесу и какая модель тестирования нужна.
Подписываем договор с письменным разрешением на работы, согласуем окна, контакты и порядок остановки.
Команда собирает сведения об объектах в объёме и составляет план проверки.
Специалисты проверяют системы в согласованных рамках и подтверждают находки без ущерба для сервисов.
Передаём отчёт для руководства и технический отчёт, разбираем результаты с ИТ-командой.
Проверяем, что критичные уязвимости закрыты, и выпускаем итоговое заключение.
Выбор исполнителя
Юрлицо и репутация
Проверяем компанию по ЕГРЮЛ, судебным делам и отзывам на независимых площадках.
Кейсы с цифрами
Смотрим реальные проекты в вашей нише: задачи, сроки, метрики, контакты заказчиков.
Прозрачная смета
Просим разбивку по этапам и часам — без «пакетов на всё» и скрытых доплат.
Договор напрямую
Вы работаете с исполнителем по его договору. Подбор для вас бесплатный.
Инструмент
Готовый текст
Бриф: Пентест (тестирование на проникновение) Задача: (опишите в двух-трёх предложениях, какой результат нужен) Что нужно сделать: — Согласованные рамки и правила работ — Тестирование внешнего периметра — Анализ защищённости веб-приложений — Тестирование внутренней сети — Проверка осведомлённости сотрудников — Отчёт для руководства и ИТ-команды — Повторная проверка Исходные данные: — Объём: число внешних адресов, приложений и сегментов сети: (уточнить) — Модель тестирования (чёрный, серый или белый ящик): (уточнить) — Социальная инженерия и проверка SOC: (уточнить) — Отчёт по требованиям регулятора (ЦБ, ФСТЭК): (уточнить) — Работы в нерабочее время и на продуктивных системах: (уточнить) Прошу прислать: смету с разбивкой по этапам, сроки каждого этапа и примеры похожих проектов.
Исполнители
Бесплатный подбор
Ответьте на 3 вопроса — пришлём 2–3 предложения проверенных подрядчиков с ценами, сроками и кейсами в вашей нише.
Отзывы
Вопросы и ответы
Короткие ответы на вопросы, которые чаще всего задают перед заказом.
Пентест внешнего периметра у профессиональной команды стоит от 250 до 600 тыс. ₽. Комплексная проверка периметра, внутренней сети и веб-приложений — 0,7–1,5 млн ₽, сценарные проекты Red Team с проверкой SOC — от 1,6 млн ₽. Цена зависит от объёма систем, модели тестирования и требований к отчёту.
Проверка внешнего периметра занимает 2–3 недели, комплексный проект — 4–6 недель, сценарный Red Team — до 8 недель. К этому добавляется время на согласование договора и ретест после устранения уязвимостей.
Сканер находит известные ошибки конфигурации и версии ПО, но не проверяет, можно ли ими воспользоваться. Пентестеры вручную подтверждают уязвимости и показывают цепочки, которые реально ведут к доступу к данным, поэтому отчёт отражает бизнес-риски, а не список предупреждений.
Да, если рамки и методы согласованы заранее. Опасные проверки проводят в окна низкой нагрузки или на тестовых стендах, у заказчика есть контакт для немедленной остановки работ, а подрядчик несёт ответственность по договору.
Обычно — раз в год и после значимых изменений: запуска новых сервисов, миграции в облако, смены архитектуры. Для финансовых организаций и владельцев КИИ периодичность может задаваться требованиями регулятора.
Многие заказчики и регуляторы требуют, чтобы исполнитель имел лицензию ФСТЭК на техническую защиту конфиденциальной информации. Для работ в финансовом секторе и на объектах КИИ наличие лицензий стоит проверить до подписания договора.
Резюме для руководства с оценкой рисков, перечень уязвимостей с критичностью и доказательствами, описание воспроизведения для ИТ-команды и рекомендации по устранению. Хороший отчёт позволяет сразу завести задачи на исправление.
Оставьте заявку с описанием систем и целей проверки — мы бесплатно подберём 2–3 лицензированные команды с опытом в вашей отрасли, поможем сравнить объём и стоимость предложений. Комиссию платит подрядчик, для заказчика подбор бесплатный.
Материал подготовлен редакцией «Рекламного коктейля». Цены — рыночные диапазоны агентств и студий России на 2026 год по данным брифов и коммерческих предложений; точную стоимость называет исполнитель после брифа. Обновлено 2 октября 2026 г.. Как мы считаем цены.
Смотрите также
Выполнение требований 187-ФЗ: перечень и категорирование объектов КИИ, документы для ФСТЭК, построение системы безопасности.
Круглосуточный мониторинг событий ИБ внешним центром: сбор логов в SIEM, выявление атак, реагирование и отчётность.
Межсетевой экран уровня веб-приложений: фильтрация атак на сайты и API, защита от ботов и DDoS, настройка правил без ложных блокировок.
Подготовка и запуск программы поиска уязвимостей с внешними исследователями: скоуп, правила, выплаты, триаж и работа с платформой.
IT-разработка, AI и блокчейн
Финтех-разработка