Потребовали пентест для тендера: что это вообще такое и когда оно того стоит?

İbrahim Y***в прошлом году·45 сообщений·20,1 тыс. просмотр#пентест #тест на проникновение #тендер #безопасность софта #уязвимость

İbrahim Y***Участник

Должность: Руководитель административного отдела
Отрасль: Химия
Тип организации: региональный дилер
Дата регистрации: дек. 2022 г.
Сообщение: 239

в прошлом году#1

Мы команда из 7 человек в Барселоне, делаем софт для записи и документооборота для местных муниципалитетов и госструктур. На прошлой неделе начали готовить заявку на тендер по цифровой инфраструктуре от одной из мэрий Каталонии с бюджетом 55.000 EUR. Но в ТЗ обнаружить обязательное условие: свежий «отчет о пентесте» от независимой ИБ-компании.

Мы никогда раньше не проходили такие аудиты. Обычные тесты софта делаем своими силами и думали, что у нас все защищено. Первые два коммерческих предложения от подрядчиков пришли на 4.500 EUR и 7.000 EUR — для нашей небольшой IT-компании это весьма ощутимые деньги.

Что конкретно входит в пентест и для чего он нужен? Это просто автоматический сканер или там работают вручную? Имеет ли смысл тратиться на этапе, когда победа в тендере еще не гарантирована, или в госторгах это стандартная процедура?

Okan I***Участник

Должность: Первичная бухгалтерия
Отрасль: Косметика
Тип организации: индивидуальный предприниматель
Дата регистрации: нояб. 2023 г.
Сообщение: 260

в прошлом годуСамый полезный#2

Короткий ответ: пентест (тест на проникновение) — это контролируемая симуляция, где белые хакеры атакую вашу систему так же, как настоящие злоумышленники, проверяя, куда они смогут пробраться. Он выявляет ошибки бизнес-логики, проблемы с разграничением прав и сложные уязвимости БД, которые автосканеры просто не видят.

Сканирование уязвимостей и пентест часто путают. Автоматический сканер просто сверяет систему со списком известных дыр за пару часов. Настоящий пентест — это когда специалисты днями вручную ковыряют исходники, API, сессии и настройки сервера. Если в ТЗ требуют «отчет о независимом пентесте», муниципалитет ждет не просто автоматический зеленый PDF, а полноценный отчет с методологией, градацией рисков и повторной проверкой (re-test).

Что касается тендера: в Испании госструктуры по закону обязаны требовать такие тесты для стороннего софта. Это не просто разовая трата под конкретный конкурс, а подтверждение зрелости вашего продукта. При выборе КП за 4.500 EUR уточните, входит ли туда бесплатный повторный тест (re-test) после исправления дыр. Получив такой отчет, вы сможете целый год прикладывать его к аналогичным госторгам.

Hilal B***Ветеран

Должность: Графический дизайнер
Отрасль: Электротехника и электроника
Тип организации: региональный дилер
Дата регистрации: дек. 2023 г.
Сообщение: 17

в прошлом году#3

Посмотрите в ТЗ тип теста. Black-box — когда проверяют «вслепую» без доступов. Grey-box — когда дают тестовую учетку и смотрят права внутри интерфейса. Муниципалитеты обычно хотят grey-box.

Orhan D***Эксперт

Должность: Продавец-консультант
Отрасль: ИТ-услуги
Тип организации: стартап на ранней стадии
Дата регистрации: нояб. 2024 г.
Сообщение: 228

в прошлом году#4

Мы в прошлом году под проект в Мадриде отдали 5.200 EUR за пентест. В итоге у себя в коде нашли две критические дыры с правами — любой мог смотреть чужие документы. Тендер взяли, но главное — спаслись от дикого скандала с утечкой.

Yasemin K***УчастникУчастник сообщества

Дата регистрации: янв. 2024 г.
Сообщение: 82

в прошлом году#5

На рынке полно контор, которые за 1.500 EUR просто прогонят бесплатный сканер и красиво оформят отчет через нейросеть. Госорганы такие поверхностные бумажки раскусывают сразу — просто выбросите деньги.

SinemЭксперт

Должность: Руководитель проектов
Дата регистрации: окт. 2023 г.
Сообщение: 176

в прошлом году#6

Когда запрашиваете КП, четко оговаривайте рамки (scope). Заказывайте тест только того модуля и сервера, которые идут на тендер. Если отдадите на аудит всю сеть компании, ценник улетит в космос.

Doruk Y***Участник

Должность: Главный бухгалтер
Отрасль: Морепродукты
Тип организации: компания с двумя филиалами
Дата регистрации: окт. 2025 г.
Сообщение: 86

в прошлом году#7

Процесс обычно состоит из 3 шагов: 1) Согласование скоупа и договор. 2) Симуляция атаки и отчет с уязвимостями. 3) Исправление дыр с вашей стороны и повторный тест (re-test). Заказчикам важен финальный отчет, где все риски закрыты.

Jale D***Участник

Должность: Первичная бухгалтерия
Отрасль: Логистика
Тип организации: бутиковое агентство
Дата регистрации: авг. 2025 г.
Сообщение: 8

в прошлом году#8

если планируете работать с госсектором, это, увы уже стандартная процедура. советую относиться к этому не как к разовой трате а как к расходы на контроль качества продукта.

Uğur K***ЭкспертУчастник сообщества

Дата регистрации: март 2023 г.
Сообщение: 44

в прошлом году#9

При проведении этого теста они работают в тестовой среде или атакуют боевой сервер? кстати есть ли риск падения системы или повреждения клиентских данных во время теста?

Özge C***Эксперт

Должность: Руководитель отдела закупок
Отрасль: Косметика
Тип организации: Компания на 300 человек
Дата регистрации: март 2023 г.
Сообщение: 141

в прошлом году#10

Прекрасно понимаю что поначалу бюджет кажется высоким... Но при продаже софта госсектору такие независимые сертификаты безопасности усиливают ваши позиции на переговорах не меньше, чем отзывы клиентов так что не бойтесь.