Trzy poziomy głębokości - jak myśleć o wyborze
PreScan, VA i pentest to trzy różne pytania o waszą infrastrukturę.
PreScan pyta: “Co świat zewnętrzny może o was zobaczyć?” Patrzy na rekordy DNS, certyfikaty, otwarte porty z perspektywy bota skanującego cały polski Internet. Pasywne, bezpłatne, bez instalacji niczego u was.
VA pyta: “Które słabości naprawdę macie i które trzeba naprawić w jakiej kolejności?” Aktywny skan łączony z ręczną weryfikacją OWASP Top 10 (w CyberAudyt i Pentest). Wynik to mapa z priorytetami.
Pentest pyta: “Czy obrona faktycznie wytrzyma realny atak?” Próby eksploatacji wybranych podatności w kontrolowanym scenariuszu. Wynik to dowód (lub jego brak), że teoretyczne słabości można praktycznie wykorzystać.
Każde pytanie ma swoją wartość. Nie potrzebujecie wszystkich trzech od razu.
Sekwencja rekomendowana dla MŚP
Miesiąc 0: PreScan. Bezpłatny, w 24 godziny. Daje obraz powierzchni ataku.
Miesiąc 1-3: Remediacja ustaleń z PreScan + wdrożenie MFA, backupów, SPF/DKIM/DMARC.
Miesiąc 3: Ocena podatności CyberAudyt (CyberCerber). Pełen raport, plan naprawczy.
Miesiąc 4-6: Remediacja krytycznych i wysokich ustaleń z VA.
Miesiąc 12: Powtórna VA (rok później). Demonstracja poprawy. Standardowy cykl audytu.
Miesiąc 24-36: Pierwszy pentest - dopiero gdy macie 2 cykle VA za sobą i klient/regulator wprost wymaga.
Ta sekwencja minimalizuje koszt na rzecz realnej redukcji ryzyka. Skoki ponad sekwencję (np. od PreScan do pentestu) marnują pieniądze, bo pentest na niezhardenowanej infrastrukturze daje listę zbyt długą do naprawy.
Przykład: gabinet stomatologiczny 4 fotele
Solo-gabinet w Łodzi, jedna lekarka + 3-osobowy zespół. Sierpień 2025 r. - zamówiła PreScan. Wynik: nieaktualna wersja Estomed, brak DMARC, RTG na tej samej sieci co recepcja, hasło “Admin1234” do panelu hostingu.
Wrzesień-październik 2025 r.: remediacja własnymi siłami + zewnętrznym informatykiem. Aktualizacja Estomed, DMARC od p=none do p=reject po 5 tygodniach, segmentacja RTG na osobny VLAN.
Listopad 2025 r.: CyberAudyt CyberCerber. Raport wykazał dwie dodatkowe podatności w panelu administracyjnym strony WWW + brak EDR na stacjach. Pełen plan naprawczy w 12 dni.
Marzec 2026 r.: pacjentka korporacyjna (członek zarządu lokalnej firmy NIS2) zażądała “dowodu audytu cyber” w deklaracji RODO. Gabinet wysłał raport z listopada - akceptowane bez uwag.
Sekwencja: bezpłatny PreScan → DIY remediacja → audyt CyberAudyt CyberCerber → klient akceptuje. Bez konieczności drogiego pentestu na tym etapie.