Пентест или сканирование уязвимостей: какая оценка безопасности действительно нужна вашему малому бизнесу

Программы-вымогатели фигурируют в 88 процентах взломов в малом бизнесе, а средний ущерб от взлома в компании с менее чем 500 сотрудниками составляет около $3,31 млн. Сорок процентов владельцев малого бизнеса говорят, что единственная атака стоимостью $100 000 или меньше разорит их. Чтобы стать жертвой, не нужно быть мишенью: автоматизированные боты ежедневно прощупывают каждый подключённый к интернету сервер, которым вы владеете, слышал ли кто-нибудь о вашей компании или нет.

Хорошая новость в том, что два стандартных вида оценки безопасности отвечают на разные вопросы, и большинству малых предприятий нужны оба — в правильном порядке и с правильной частотой. Сканирование уязвимостей даёт вам автоматизированную инвентаризацию известных слабых мест. Пентест нанимает человека, который пытается взломать систему так, как это сделал бы злоумышленник. Путать эти два понятия дорого в обе стороны: вы либо платите пятизначную сумму за имитацию атаки, которая заново находит заплатки, так и не установленные, либо размахиваете чистым отчётом сканирования перед аудитором, который прямо просил пентест.

Это руководство объясняет, что делает каждый вид оценки, сколько каждый стоит в 2026 году, как часто запускать каждый из них, какие требования соответствия вынуждают делать выбор, и какова последовательность решений, дающая малому бизнесу максимум защиты на каждый доллар.

Ответ за 60 секунд​

Если вы запомните только один абзац, пусть это будет он: запускайте автоматизированное сканирование уязвимостей непрерывно, устраняйте найденное и заказывайте пентест под руководством человека раз в год или после любого существенного изменения. Сканирование — это ваш дымовой датчик: дешёвый, всегда включённый и склонный к ложным срабатываниям. Пентест — это проверка пожарной инспекции: дорогая, разовая, и именно её требуют ваш страховщик и ваши корпоративные заказчики.

Что на самом деле делает сканирование уязвимостей​

Сканер уязвимостей — это программное обеспечение, которое инвентаризирует ваши системы и сравнивает найденное с базами известных слабых мест: опубликованными CVE, отсутствующими заплатками, ошибками конфигурации, истёкшими сертификатами, открытыми портами, которые должны быть закрыты. Направьте его на диапазон IP-адресов, домен или облачную учётную запись, и через несколько часов вы получите отчёт, группирующий находки по серьёзности с предложенными исправлениями, обычно упорядоченными по оценке CVSS.

При определении объёма и интерпретации сканирования важны два различия:

Неаутентифицированное и аутентифицированное сканирование. Неаутентифицированное сканирование видит только то, что видит посторонний: открытые порты, баннеры сервисов, конфигурацию TLS. Аутентифицированное сканирование входит в систему с учётными данными и может проверять уровни заплаток, локальную конфигурацию и установленное ПО — гораздо более глубокое покрытие. Аутентифицированное внутреннее сканирование стало прямо обязательным по PCI DSS в 2025 году, и именно этот режим находит незаплатченный сервер за вашим межсетевым экраном, которого внешнее сканирование никогда не увидит.

Внешнее и внутреннее сканирование. Внешнее сканирование прощупывает ваш интернет-периметр: веб-сайт, почтовый сервер, VPN-шлюз, порт удалённого рабочего стола, который кто-то открыл во время пандемии и забыл. Внутреннее сканирование запускается внутри сети и видит рабочие станции, принтеры, общие папки и бухгалтерский сервер. Важны оба, потому что злоумышленники проникают снаружи, а затем перемещаются внутри сети.

У сканирования есть три структурных ограничения, которые стоит понимать, прежде чем полагаться на него. Во-первых, оно знает только известные слабые места — сканер не может найти логическую уязвимость, уникальную для вашего веб-приложения, потому что такой уязвимости нет ни в одной базе. Во-вторых, оно сообщает о возможностях, а не о доказательствах: «критическая» находка может оказаться недостижимой в вашей конфигурации — поэтому отчёты сканирования имеют репутацию источника ложных срабатываний. В-третьих, сканирование никогда не выстраивает цепочки находок так, как это делает злоумышленник. Три «средние» проблемы — открытая страница входа, повторное использование паролей и резервная учётная запись с избыточными правами — могут сложиться в полный захват системы, которого не предскажет ни одна отдельная находка. Поиск таких цепочек — задача людей.

Что на самом деле делает пентест​

Пентест — это контролируемая, санкционированная атака на ваши системы, выполняемая специалистами по безопасности, которые сочетают автоматизированные инструменты с ручными техниками. Если сканирование спрашивает «какие слабые места существуют?», то пентест спрашивает «какие из них реально можно использовать, как далеко может зайти злоумышленник и каков ущерб для бизнеса?» Каждая находка в хорошем отчёте о пентесте сопровождается доказательством — скриншотами, захваченными данными или оболочкой, — плюс анализом влияния и приоритизированными шагами по устранению, написанными для тех, кому предстоит исправлять.

Большинство проектов следуют стандартному четырёхфазному процессу, смоделированному по NIST SP 800-115: планирование и разведка, сканирование для обнаружения, проведение атаки и отчётность. Методология, накладываемая сверху, зависит от цели — руководство по тестированию OWASP для веб-приложений, PTES для общих проектов, — но форма одна и та же: собрать информацию, найти слабые места, попытаться использовать их в рамках согласованных правил проведения работ, а затем задокументировать всё.

Вам также предстоит выбрать, сколько тестировщики знают заранее, что определяет и реалистичность, и цену:

• Тестирование black-box не даёт команде никакой внутренней информации, имитируя внешнего злоумышленника. Наиболее реалистично и медленнее всего, потому что тестировщики тратят оплачиваемые дни на разведку, которую вы могли бы предоставить бесплатно.
• Тестирование white-box передаёт архитектурные схемы, исходный код и учётные данные, максимизируя покрытие за день тестирования. Оно находит больше всего проблем, но напоминает скорее инсайдера, чем постороннего из интернета.
• Тестирование grey-box занимает промежуточное положение — обычно стандартная учётная запись пользователя и базовая документация. Для большинства малых предприятий это лучшее соотношение цены и качества: достаточно реалистично, чтобы иметь значение, и достаточно эффективно, чтобы быть по средствам.

Пентест заканчивается двумя вещами, которых сканирование никогда не даёт: подтверждением того, что действительно можно использовать (что позволяет вам уверенно игнорировать остальные 200 находок сканера), и описательным отчётом, который хотят видеть ваш аудитор, ваша страховая компания по киберрискам и анкета поставщика вашего крупнейшего перспективного клиента.

Лицом к лицу: метод, глубина, длительность и результат​

Эти две оценки различаются по каждому измерению, важному для бюджета и планирования:

• Метод. Сканирование полностью автоматизировано и выполняется по расписанию без участия человека. Пентест по определению частично ручной — инструменты занимаются обнаружением, люди — эксплуатацией и анализом.
• Широта против глубины. Сканирование дёшево охватывает широкий диапазон активов, но поверхностно. Пентест идёт вглубь в определённом объёме: одно приложение, один сегмент сети, одна облачная учётная запись.
• Длительность. Сканирование занимает от часов до дня. Пентест для малого бизнеса обычно длится от одной до двух недель, включая отчётность.
• Результат. Сканирование выдаёт сформированный инструментом список, упорядоченный по серьёзности. Пентест выдаёт написанный консультантом отчёт с доказательствами, оценками влияния на бизнес и резюме для руководства, которое можно передать совету директоров или страховщику.
• Какие навыки требуются от вас. Запланировать сканирование может почти любой. Пентест требует определить объём, организовать доступ, назначить ответственных за находки и запланировать повторное тестирование, подтверждающее, что исправления сработали.

Из всего этого следует одно правило порядка: сначала сканируйте, устраняйте, потом пентест. Платить тестировщикам за повторное обнаружение отсутствующих заплаток, которые сканер перечислил бы за копейки, — самый распространённый способ малого бизнеса потратить бюджет на безопасность впустую.

Сколько каждый стоит в 2026 году​

Сканирование уязвимостей — это подписка или бесплатный инструмент. Tenable Nessus Professional, самый распространённый сканер для малого бизнеса, стоит примерно $4 800 в год за неограниченное число IP-адресов с одного сканера; Nessus Essentials бесплатен для ограниченного использования. Облачное сканирование Qualys начинается выше — от нескольких тысяч в год для небольших инфраструктур. OpenVAS от Greenbone остаётся бесплатным и функциональным, но требует реального времени на поддержку Linux, что для большинства небольших фирм стоит дороже коммерческой лицензии, если посчитать часы сотрудников. Полностью управляемое сканирование — провайдер запускает сканы, разбирает ложные срабатывания и передаёт вам список действий — обычно стоит от $5 000 до $10 000 в год. Многие компании укладываются в несколько сотен долларов в месяц со всеми затратами.

Пентест оплачивается за проект. Для малого бизнеса с определённым объёмом — одно веб-приложение, небольшая офисная сеть, простой API — профессиональный тест стоит от $5 000 до $15 000. Большинство сфокусированных проектов для малого и среднего бизнеса укладываются в диапазон от $10 000 до $20 000, а средняя по всем типам в отрасли близка к $18 000. Сетевые тесты находятся в нижней части диапазона; тесты веб-приложений и API с несколькими ролями пользователей стоят дороже; всё, что требует отчётности уровня соответствия (PCI DSS, SOC 2), добавляет оплачиваемые часы на оформление документов независимо от размера инфраструктуры.

Четыре вещи повышают или понижают смету пентеста: размер объёма (хосты, приложения, конечные точки API), сложность приложения (роли пользователей, мультитенантность, сторонние интеграции), модель знания тестировщика (разведка в black-box оплачивается за дни ещё до начала тестирования) и требования к отчётности (письмо для страховщика стоит дёшево; готовый пакет доказательств для PCI — нет). Лучший способ контролировать стоимость — чёткое описание объёма: назовите цели, назовите то, что вне границ, и приложите архитектурную схему вместо того, чтобы платить незнакомцам за её реконструкцию.

Для планирования бюджета разумная отправная точка для малого бизнеса — непрерывное сканирование за несколько тысяч долларов в год плюс один ежегодный пентест grey-box вашей наиболее рискованной системы. Сравните это с альтернативой, которую отрасль продолжает измерять: полный год тестирования для компании среднего размера стоит примерно 1 процент от среднего ущерба взлома.

Как часто запускать каждый​

Сканирование: непрерывно или как минимум ежемесячно. Поскольку сканирование дёшево и автоматизировано, частота почти ничего не стоит — многие фирмы сканируют еженедельно или при каждом развёртывании. Как минимум сканируйте ежемесячно, сканируйте после любого существенного изменения (новый сервер, изменение правила межсетевого экрана, крупное обновление ПО) и убедитесь, что ваши квартальные сканы PCI действительно проводятся, если данные карт ставят вас в область действия. Устаревшие результаты сканирования едва ли лучше их отсутствия: новые CVE публикуются ежедневно, а окно между раскрытием и массовой эксплуатацией продолжает сокращаться.

Пентесты: ежегодно, плюс после существенных изменений. Ежегодное тестирование — отраслевая норма и явный минимум соответствия по PCI DSS и большинству требований страховщиков и корпоративных заказчиков. Повторяйте тестирование раньше, когда поверхность атаки существенно меняется: новое клиентское приложение, миграция в облако, слияние, объединяющее две сети, или значительный взлом где-то в вашей цепочке поставок ПО, затрагивающий ваш стек. И всегда оговаривайте повторное тестирование заранее — короткий дополнительный проект, часто включённый в стоимость или со скидкой, в ходе которого тестировщики проверяют ваши исправления, вместо того чтобы оставить вас утверждать, что они сработали.

Последовательность, тратящая меньше всего денег, выглядит так: сканирование, устранение критических и высоких находок, проверка повторным сканированием, затем пентест. Тогда тестировщики потратят свои дни на цепочки, логические и конфигурационные проблемы, которые не мог найти ни один сканер, вместо того чтобы выставлять вам счёт за подтверждение того, что у сервера печати всё ещё прошивка 2019 года.

Требования соответствия, которые вынуждают делать выбор​

Для многих малых предприятий спор «сканирование или тест» решает тот, кто обрабатывает их платежи или страхует их риски. Наиболее часто встречающиеся правила:

Требование 11 PCI DSS — главное для всех, кто работает с данными карт. Большинству малых торговцев нужно квартальное внешнее сканирование сертифицированным сканером из списка PCI (Approved Scanning Vendor), внутреннее сканирование уязвимостей как минимум ежегодно и после существенных изменений, а также — для торговцев уровня SAQ D и всех, кто использует сегментацию сети для сокращения области действия — ежегодный пентест среды данных держателей карт и любых средств сегментации. Обратите внимание на тенденцию: версия 4 PCI DSS перевела ряд пунктов тестирования из рекомендаций в обязательные требования, включая аутентифицированное внутреннее сканирование. Если вы принимаете карты и не сопоставили свой тип SAQ с его обязательствами по тестированию, сделайте это, прежде чем что-либо покупать.

SOC 2, HIPAA и киберстрахование менее предписывающи в отношении метода, но на практике всё более конкретны. Аудиторы SOC 2 ожидают доказательств непрерывного управления уязвимостями плюс периодического пентеста; требуемый HIPAA анализ рисков регулярно удовлетворяется той же парой; а заявки на киберстрахование теперь часто спрашивают, когда был ваш последний пентест, причём некоторые страховщики назначают цену или отказывают в покрытии на основе ответа. Анкета по безопасности поставщика от корпоративного заказчика спросит и о частоте сканирования, и о последнем резюме пентеста для руководства — их наличие сокращает цикл продажи.

Практический вывод: если правило или контракт называет конкретную оценку, эта оценка не является необязательной, и другая её не заменяет. Стопка чистых отчётов сканирования не удовлетворит аудитора, который просил пентест, а пентест не удовлетворяет требование квартального сканирования в остальные одиннадцать месяцев года.

Типичные ошибки, тратящие бюджет впустую​

• Пентест до установки заплаток. Заказ проекта за $12 000 против систем с 300 неустранёнными находками сканера покупает вам прекрасно написанный список заплаток. Сначала сканируйте и устраняйте.
• Отношение к чистому сканированию как к доказательству безопасности. Сканер сообщает об отсутствии известных проблем в своей базе, а не о наличии безопасности. Пользовательский код, ошибки бизнес-логики и цепочки средних уязвимостей от него скрыты.
• Определение объёма в стороне от реального риска. Исключение устаревшего портала выставления счетов «потому что в следующем году его заменят» лишь гарантирует, что замена унаследует непроверенную интеграцию. Злоумышленники не уважают ваши исключения из объёма.
• Подшивание отчёта вместо исправлений. Находки без ответственных и сроков — это мёртвый груз на полке. Назначьте ответственного за каждую высокую и критическую находку до окончания вводного совещания и поставьте даты повторного тестирования в календарь, пока тестировщики ещё на связи.
• Пропуск повторного тестирования. Исправления регулярно оказываются неполными при повторной проверке — заплатка применилась к одному серверу, но не к его близнецу. Повторное тестирование — самая дешёвая часть проекта и та часть, что доказывает, что остальное того стоило.
• Забытая документация. Страховщики и аудиторы запрашивают отчёты спустя месяцы. Храните отчёт, письмо об объёме работ и подтверждение повторного тестирования вместе с финансовыми записями.

Практическая схема принятия решений​

Ответьте на три вопроса по порядку:

1. Правило уже решает за вас? Принимаете карты, храните медицинскую информацию, имеете отчёт SOC 2 или страховку по киберрискам с гарантиями тестирования? Сначала сопоставьте каждое обязательство с требуемой оценкой и частотой. Пункты соответствия — это минимум, а не максимум.

2. Вы сканировали и устанавливали заплатки? Если нет — или не в последнем квартале — это шаг первый, независимо от того, что ещё вы покупаете. Настройте аутентифицированное сканирование внутри сети и неаутентифицированное снаружи, доведите очереди критических и высоких находок до нуля и сделайте регулярность привычкой, прежде чем тратить деньги на пентест.

3. Что изменилось с вашего последнего глубокого взгляда? Новое публичное приложение, миграция в облако, переезд офиса, слияние или просто «никогда не было» — всё это указывает на пентест grey-box наиболее рискованной системы с оговорённым повторным тестированием. Существенных изменений нет, а недавний тест чист? Продолжайте сканировать, продолжайте устанавливать заплатки и придержите следующий тест до ежегодного цикла.

Для типичного малого бизнеса, развивающего свою программу, этапы выглядят так. Этап первый: ежемесячное сканирование плюс своевременная установка заплаток — несколько тысяч долларов в год и лучшая доступная защита на каждый доллар. Этап второй: добавьте ежегодный пентест grey-box самой рискованной системы с повторным тестированием и храните отчёты там, где их найдут страховщик и анкеты поставщиков. Этап третий: непрерывное сканирование, привязанное к развёртываниям, ежегодные пентесты с ротацией по системам и целевые тесты после каждого существенного изменения. Большинство читателей этого блога должны твёрдо находиться на втором этапе; первый — это то, с чего вы начинаете в этом квартале, если начинаете с нуля.

Ещё одна связь, уместная в финансовом блоге: каждый доллар здесь — это обычные деловые расходы, и они заслуживают тех же книг, что и любые другие операционные расходы. Сборы за оценку, часы подрядчиков по устранению, подписки на сканеры и премии по киберстрахованию должны попадать на отдельные счета, чтобы вы могли видеть полную стоимость программы к моменту продления — и чтобы анкета страховщика после инцидента получала ответы из книги, а не из памяти. Для этого достаточно одной записи в plain-text:

2026-10-14 * "Security vendor" "Annual grey-box pen test plus retest"
  Expenses:Professional-Services:Security  12000.00 USD
  Assets:Checking

Храните письмо о начале работ и итоговый отчёт рядом с записью о транзакции. Когда перспективный клиент запросит ваше последнее резюме пентеста или страховщик попросит доказательство непрерывного сканирования, доказательство окажется в одном поисковом запросе от платежа, который подтверждает, что вы это купили.

Организуйте расходы на безопасность с первого дня​

По мере того как вы выстраиваете сканирование, тестирование и устранение уязвимостей, ведение чётких финансовых записей о программе — это то, что превращает расходы на безопасность в продления, отвеченные анкеты и более быструю реакцию на инциденты. Beancount.io обеспечивает учёт в plain-text, дающий вам полную прозрачность и контроль над вашими финансовыми данными — никаких чёрных ящиков, никакой привязки к поставщику. Начните бесплатно и узнайте, почему разработчики и финансовые специалисты переходят на plain-text учёт.