Analogia z włamywaczem do domu
Wyobraźcie sobie wasz dom. Ocena podatności to człowiek, którego wynajmujecie, żeby spacerował wokół domu i notował: tu okno dachowe jest zawsze otwarte, tu zamek w drzwiach jest stary, przez piwnicę można wejść bez większego wysiłku. Wraca z listą, którą wręcza wam razem z planem naprawczym - “zacznijcie od okna dachowego, potem zamek, piwnica może poczekać.”
Pentest to ten sam człowiek, ale teraz próbuje wejść do środka. Z waszą pisemną zgodą. Nie tylko notuje “okno dachowe było otwarte” - faktycznie się przez nie przeczołguje, idzie do salonu, otwiera szufladę i kładzie tam wizytówkę. Potem wraca i mówi: “wszedłem oknem dachowym, w 12 minut byłem w waszym sejfie. Naprawcie najpierw to.”
Pierwszy daje wam mapę. Drugi daje wam dowód. Oba są wartościowe, ale w innym momencie waszej drogi.
Kiedy wybrać ocenę podatności (VA)
VA jest właściwym wyborem, gdy:
- Macie zerowy lub minimalny budżet cyber i potrzebujecie wiedzieć, co jest najgorsze
- Wdrażacie pierwszą politykę bezpieczeństwa i potrzebujecie punktu odniesienia
- Pojawia się obowiązek z art. 32 RODO (regularne testowanie skuteczności) i potrzebujecie taniego, powtarzalnego dowodu
- Ubezpieczyciel cyber wymaga audytu przed wystawieniem polisy (najczęstszy wymóg w branży)
- Klient korporacyjny prosi o “wyniki ostatniego audytu cyber” w przetargu
W praktyce: VA powinno być pierwszym audytem w cyklu życia waszej firmy. Wszystko inne jest pochodną tej informacji.
Kiedy wybrać test penetracyjny (Pentest)
Pentest ma sens dopiero, gdy:
- VA jest za wami, krytyczne i wysokie ustalenia są naprawione
- Klient korporacyjny wprost wymaga “pentestu,” nie zwykłego “audytu” (banki, telekomy, instytucje publiczne tak robią)
- Podlegacie NIS2 i potrzebujecie dowodu skuteczności art. 21(2)(d) - ten artykuł explicite mówi o “ocenie skuteczności środków”
- Ubezpieczyciel cyber wymaga pentestu przy odnowieniu polisy z wyższym limitem
- Wdrożyliście nową architekturę (migracja do chmury, nowa aplikacja webowa) i chcecie sprawdzić odporność
Pentest na nieprzygotowanej infrastrukturze to marnotrawstwo - dostaniecie długą listę słabości, których i tak nie zdążycie naprawić przed kolejnym audytem.
Decyzja w 3 pytaniach
-
Czy macie za sobą jakikolwiek zewnętrzny audyt cyber w ostatnich 12 miesiącach? Nie → VA. Tak → przejdźcie do pytania 2.
-
Czy naprawiliście wszystkie krytyczne i wysokie ustalenia z poprzedniego audytu? Nie → VA powtórna. Tak → przejdźcie do pytania 3.
-
Czy regulator (NIS2), klient korporacyjny lub ubezpieczyciel wprost wymagają pentestu? Nie → kolejne VA wystarczy. Tak → pentest.
Przykład: 5-osobowe biuro rachunkowe
Biuro w Warszawie z 25 klientami z sektora MŚP. Wcześniej nigdy nie miało audytu zewnętrznego. Wybrało CyberAudyt CyberCerber w czerwcu 2025 r. (poza sezonem podatkowym). Raport pokazał: brak DMARC, nieaktualną wersję Comarch Optima z 2 znanymi CVE, otwarty RDP do biura z domyślnym hasłem do “TestAdmin.” Naprawa zajęła 14 dni roboczych.
W styczniu 2026 r. klient korporacyjny (sieć szpitali prywatnych, podmiot kluczowy NIS2) zażądał “dowodu pentestu” w odnowieniu umowy. Biuro zamówiło Pentest CyberCerber w marcu 2026 r. Pentester wszedł przez wcześniej nieznaną podatność w pluginie WordPress strony biura, doszedł do skrzynki pocztowej księgowej. Raport wskazał trzy ścieżki ataku. Po remediacji biuro przeszło audyt szpitala bez uwag.
Kolejność: VA → remediacja → klient zażądał dowodu → pentest. Standardowa ścieżka dla biura, które rośnie do klienta regulowanego.