# Testy penetracyjne (pentest) — jak przebiegają, co dają i ile kosztują

> Testy penetracyjne (pentest) to kontrolowany atak, który znajduje luki, zanim zrobi to przestępca. Tłumaczymy — bez żargonu — czym pentest różni się od skanu, jakie są rodzaje (black/grey/white-box), jak przebiega, ile kosztuje i kiedy jest wymagany przez NIS2, DORA i ISO 27001.

**Źródło:** https://algorsec.pl/baza-wiedzy/testy-penetracyjne-pentest-jak-przebiegaja-koszt  
**Aktualizacja:** 2026-07-19  
**Język:** pl-PL  
**Wydawca:** AlgorSec (ALGORCOMP sp. z o.o.)

---

- Kategoria: Audyty i testy
- Format: Poradnik
- Poziom: Podstawowy
- Czas czytania: 11 min
- Opublikowano: 2026-07-19

## Odpowiedź w skrócie

Test penetracyjny (pentest) to kontrolowany, symulowany atak na systemy firmy, którego celem jest znalezienie i bezpieczne wykorzystanie podatności, zanim zrobi to prawdziwy przestępca. W odróżnieniu od automatycznego skanu, pentest prowadzi człowiek, który myśli jak atakujący i łączy pojedyncze luki w realne scenariusze włamania. Efektem jest raport z podatnościami uszeregowanymi według ryzyka biznesowego oraz konkretnymi rekomendacjami. Pentest bywa też wymogiem zgodności (NIS2, DORA, ISO 27001) i standardem należytej staranności.

## Kluczowe fakty

- Pentest to symulowany, kontrolowany atak prowadzony przez człowieka — inaczej niż automatyczny skan podatności.
- Trzy podstawowe modele: black-box (bez wiedzy o systemie), grey-box (częściowa wiedza lub konto), white-box (pełny dostęp i kod).
- Zakres może obejmować aplikacje webowe, API, sieć i infrastrukturę, chmurę, urządzenia oraz socjotechnikę (phishing).
- Koszt zależy głównie od zakresu i głębokości — od kilku dni pracy dla jednej aplikacji po wielotygodniowe testy typu red team.
- Regularne testy są elementem zgodności z NIS2, DORA i ISO 27001 oraz warunkiem wiarygodnego raportu dla zarządu i klientów.

## Czym jest pentest i po co go robić

Test penetracyjny to kontrolowana próba włamania do systemów firmy, prowadzona za jej zgodą i na jej rzecz. Zamiast czekać, aż lukę znajdzie przestępca, firma zatrudnia specjalistę, który celowo próbuje ją wykorzystać w bezpiecznych warunkach. To najbliższy prawdy sposób sprawdzenia, czy zabezpieczenia realnie działają.

Dla biznesu pentest odpowiada na proste pytanie: czy ktoś z zewnątrz jest w stanie włamać się do naszych systemów, wykraść dane lub zatrzymać działalność, i jak trudne by to było. Odpowiedź w postaci konkretnych scenariuszy jest znacznie bardziej przekonująca dla zarządu niż abstrakcyjna lista ryzyk.

- Kontrolowany atak za zgodą firmy — bezpieczna symulacja realnego włamania.
- Sprawdza, czy zabezpieczenia działają w praktyce, nie tylko na papierze.
- Daje konkretne scenariusze zamiast abstrakcyjnych ryzyk.

Zobacz też: [Audyty i testy podatności — zakres usługi](https://algorsec.pl/uslugi/audyty-testy-podatnosci)

## Pentest a skan podatności — nie mylić

To najczęstsze nieporozumienie. Skan podatności to automatyczne narzędzie, które szybko i tanio wykrywa znane słabości — jak lista kontrolna uruchamiana regularnie. Pentest to praca człowieka, który weryfikuje te słabości, odrzuca fałszywe alarmy i, co najważniejsze, łączy je w łańcuch prowadzący do realnego włamania.

W praktyce oba podejścia się uzupełniają: skan robi się często i tanio dla bieżącej higieny, pentest rzadziej i głębiej, żeby zobaczyć obraz, którego automat nie dostrzeże. Kupując pentest, warto upewnić się, że dostajemy realny test manualny, a nie sam raport ze skanera.

- Skan podatności — automatyczny, częsty, tani; wykrywa znane słabości.
- Pentest — manualny, głębszy; weryfikuje i łączy luki w scenariusze ataku.
- Najlepszy efekt daje połączenie: regularny skan plus okresowy pentest.

## Rodzaje pentestów: black-box, grey-box, white-box

Modele testów różnią się tym, ile wiedzy o systemie ma tester na starcie. Wybór zależy od celu: czy chcemy zasymulować atak z ulicy, czy dokładnie prześwietlić aplikację od środka. Każdy model odpowiada na inne pytanie i ma inny koszt oraz głębokość.

- Black-box — tester nie wie nic poza adresem celu; symuluje atak z zewnątrz, realistyczny, ale płytszy.
- Grey-box — tester ma częściową wiedzę lub konto użytkownika; najlepszy stosunek realizmu do głębokości, najczęściej wybierany.
- White-box — tester ma pełny dostęp, dokumentację i kod; najgłębszy, wykrywa najwięcej, ale mniej symuluje realnego napastnika.

## Co można testować — zakresy pentestu

Pentest to nie jedna usługa, lecz rodzina testów dopasowanych do tego, co chronimy. Zakres ustala się na starcie, bo od niego zależą i głębokość, i koszt. Warto zacząć od tego, co najbardziej krytyczne dla biznesu i najbardziej narażone na atak.

- Aplikacje webowe i API — najczęstszy cel ataków i najczęstszy zakres testu.
- Sieć i infrastruktura — serwery, usługi, konfiguracje, dostęp zdalny.
- Chmura — konfiguracja środowisk chmurowych i uprawnień.
- Socjotechnika (phishing) — test odporności ludzi, nie tylko systemów.
- Red team — realistyczna, wielowektorowa symulacja zaawansowanego napastnika.

## Jak przebiega pentest — etap po etapie

Dobry pentest to uporządkowany proces, nie chaotyczne szukanie dziur. Zaczyna się od ustaleń, kończy raportem i sprawdzeniem poprawek. Przejrzystość etapów jest ważna także dla zarządu — pokazuje, że test jest kontrolowany i bezpieczny dla działającego biznesu.

- Zakres i zasady zaangażowania (rules of engagement) — co, kiedy i jak testujemy.
- Rozpoznanie — zebranie informacji o celu, tak jak zrobiłby to napastnik.
- Wykrycie podatności — identyfikacja słabości w systemach objętych testem.
- Kontrolowana eksploatacja — bezpieczne wykorzystanie luk, by potwierdzić realny wpływ.
- Raport — podatności, ryzyko biznesowe i rekomendacje naprawy.
- Retest — sprawdzenie, że poprawki faktycznie usunęły ryzyko.

## Co dostajesz — raport i jak go czytać

Wartość pentestu tkwi w raporcie. Dobry raport nie jest listą technicznych błędów — porządkuje ryzyko, pokazuje wpływ na biznes i daje rekomendacje możliwe do wdrożenia przez zespół. Powinien być czytelny na dwóch poziomach: streszczenie dla zarządu i szczegóły dla techników.

Przy odbiorze raportu warto patrzeć nie na liczbę znalezisk, lecz na ich krytyczność i realny wpływ. Kilka poważnych podatności znaczy więcej niż długa lista drobiazgów. Kluczowe jest też przypisanie właścicieli i terminów naprawy oraz zaplanowanie retestu.

- Streszczenie dla zarządu plus szczegóły techniczne dla zespołu.
- Podatności uszeregowane według ryzyka i wpływu biznesowego.
- Konkretne, wykonalne rekomendacje — nie same nazwy błędów.
- Właściciele, terminy naprawy i zaplanowany retest.

## Ile kosztuje pentest i od czego zależy cena

Ceny pentestów różnią się mocno, bo różni się to, co się zamawia. Podstawą wyceny jest zakres i głębokość — inny nakład to test jednej aplikacji, a inny wielotygodniowa symulacja red team obejmująca całą organizację. Dlatego zamiast pytać o cenę, warto najpierw dobrze zdefiniować zakres.

- Zakres — liczba i typ celów (aplikacje, sieci, API, chmura, ludzie).
- Głębokość i model — black/grey/white-box oraz stopień eksploatacji.
- Czas — od kilku dni dla jednej aplikacji po wiele tygodni dla red team.
- Retest i wsparcie po teście — czy poprawki będą ponownie zweryfikowane.

## Pentest a zgodność — NIS2, DORA, ISO 27001

Regularne testy bezpieczeństwa to nie tylko dobra praktyka — coraz częściej wprost wymóg. NIS2 oczekuje testowania skuteczności zabezpieczeń, DORA nakłada obowiązek testów odporności (dla największych podmiotów także zaawansowanych testów TLPT), a ISO 27001 traktuje testy jako element zarządzania podatnościami.

Dla firmy oznacza to, że pentest warto planować w kontekście całego programu zgodności, a nie w oderwaniu. Jeden dobrze zaplanowany cykl testów dostarcza dowodów potrzebnych w kilku obowiązkach jednocześnie.

- NIS2 — testowanie skuteczności środków zarządzania ryzykiem.
- DORA — obowiązkowe testy odporności; dla dużych podmiotów także TLPT.
- ISO 27001 — testy jako część zarządzania podatnościami.

Zobacz też: [NIS2 i UKSC — co oznaczają dla firmy](https://algorsec.pl/baza-wiedzy/nis2-uksc-co-oznacza-dla-firmy-jak-sie-przygotowac) · [ISO 27001 — wdrożenie i certyfikacja](https://algorsec.pl/baza-wiedzy/iso-27001-wdrozenie-certyfikacja-przewodnik-dla-zarzadu)

## Jak często robić pentest

Pentest to nie jednorazowe wydarzenie, bo systemy i zagrożenia się zmieniają. Utarty standard to co najmniej raz w roku oraz dodatkowo po istotnych zmianach — nowej aplikacji, dużej modyfikacji infrastruktury czy migracji do chmury. Test sprzed roku na zmienionym środowisku daje złudne poczucie bezpieczeństwa.

- Co najmniej raz w roku dla kluczowych systemów.
- Dodatkowo po istotnych zmianach (nowa aplikacja, migracja, przebudowa).
- Skan podatności pomiędzy pentestami dla bieżącej higieny.

## Najczęstsze błędy przy zamawianiu pentestu

Wartość testu łatwo obniżyć złym przygotowaniem lub złym doborem zakresu. Kilka typowych pułapek powtarza się na tyle często, że warto je znać przed wysłaniem zapytania.

- Mylenie skanu ze pentestem — płacenie za raport ze skanera jak za test manualny.
- Zbyt wąski zakres, który pomija najbardziej krytyczne systemy.
- Brak retestu — nikt nie sprawdza, czy poprawki faktycznie zadziałały.
- Testowanie raz i traktowanie wyniku jako aktualnego przez lata.
- Brak jasnych zasad i osób kontaktowych, co spowalnia i utrudnia test.

## Jak możemy pomóc

W AlgorSec prowadzimy testy penetracyjne dopasowane do tego, co jest dla firmy najbardziej krytyczne — od aplikacji i API, przez sieć i chmurę, po socjotechnikę i scenariusze red team. Raport piszemy tak, aby był użyteczny dla zarządu i dla techników, z jasnym ryzykiem biznesowym i wykonalnymi rekomendacjami, a po naprawie wykonujemy retest.

Jeśli testy mają wspierać zgodność z NIS2, DORA lub ISO 27001, zaplanujemy je tak, by jeden cykl dostarczał dowodów w wielu obowiązkach. Dobry następny krok to krótka rozmowa o zakresie i celu testu.

Zobacz też: [Umów bezpłatną konsultację](https://algorsec.pl/kontakt) · [Audyty i testy podatności — zakres usługi](https://algorsec.pl/uslugi/audyty-testy-podatnosci)

## Najczęstsze pytania

**Czym różni się pentest od skanu podatności?**

Skan podatności to automatyczne narzędzie wykrywające znane słabości — szybko i tanio. Pentest to praca człowieka, który weryfikuje te słabości, odrzuca fałszywe alarmy i łączy luki w realny scenariusz włamania. Oba podejścia się uzupełniają: skan robi się często, pentest rzadziej i głębiej.

**Ile kosztuje test penetracyjny?**

Cena zależy przede wszystkim od zakresu i głębokości — inny nakład to test jednej aplikacji, a inny wielotygodniowa symulacja red team. Dlatego najpierw warto zdefiniować zakres, a dopiero potem wyceniać. Koszt najlepiej urealnić po wstępnej rozmowie o celach i systemach objętych testem.

**Jakie są rodzaje pentestów?**

Trzy podstawowe modele różnią się wiedzą testera o systemie: black-box (bez wiedzy, symulacja ataku z zewnątrz), grey-box (częściowa wiedza lub konto użytkownika, najlepszy balans) i white-box (pełny dostęp i kod, najgłębszy). Wybór zależy od celu testu.

**Jak często należy robić pentest?**

Standardem jest co najmniej raz w roku dla kluczowych systemów oraz dodatkowo po istotnych zmianach — nowej aplikacji, dużej modyfikacji infrastruktury czy migracji do chmury. Pomiędzy pentestami warto prowadzić regularny skan podatności dla bieżącej higieny.

**Czy pentest jest bezpieczny dla działających systemów?**

Tak, o ile jest prowadzony profesjonalnie. Zakres i zasady zaangażowania ustala się na starcie, testy prowadzi się w uzgodnionych oknach czasowych, a ryzykowne działania konsultuje. Dlatego kluczowe są jasne ustalenia i osoby kontaktowe po stronie firmy.

**Czy pentest jest wymagany przez przepisy?**

Coraz częściej tak. NIS2 oczekuje testowania skuteczności zabezpieczeń, DORA nakłada obowiązek testów odporności (dla największych podmiotów także zaawansowanych TLPT), a ISO 27001 traktuje testy jako element zarządzania podatnościami. Jeden dobrze zaplanowany cykl testów wspiera kilka obowiązków naraz.

**Co dostaję po teście penetracyjnym?**

Raport z listą podatności uszeregowanych według ryzyka i wpływu biznesowego, streszczeniem dla zarządu, szczegółami dla techników oraz konkretnymi rekomendacjami. Dobry proces obejmuje też retest, czyli ponowne sprawdzenie, że wdrożone poprawki faktycznie usunęły ryzyko.

## Tagi

testy penetracyjne, pentest, audyt bezpieczeństwa, test podatności, pentest cena