Реалистично оценить стоимость этичного хакинга

Когда бизнес или частное лицо ищут специалиста по безопасности, первый вопрос почти всегда звучит одинаково: сколько это стоит. В момент стресса — потерян доступ к аккаунту, замечена подозрительная активность в сети, партнер запросил подтверждение безопасности — на этот вопрос хочется получить мгновенный ответ. Именно на этой спешке зарабатывают анонимные исполнители: они называют круглую сумму, обещают результат за сутки и просят перевести предоплату в криптовалюте. Разумный подход прямо противоположный: сначала уточняются право на проверку, границы работ, доказательства и цель — и только потом обсуждается цифра. Так можно реалистично оценить стоимость этичного хакинга без криминального сценария и без потери контроля над ситуацией.

Цена зависит от объема, риска, глубины, отчета и повторной проверки; слишком дешевые предложения обычно экономят на качестве.

Мы не помогаем входить в чужие аккаунты, тайно следить за личными устройствами или обходить пароли без явного разрешения.

Из чего складывается цена этичной проверки

В легальной работе стоимость почти никогда не бывает абстрактной цифрой «за взлом». Она собирается из нескольких понятных компонентов, каждый из которых можно оценить заранее.

Объем достижения. Один веб-сайт, мобильное приложение, корпоративная сеть из двадцати серверов или вся инфраструктура с филиалами — принципиально разные объемы работ. Чем больше точек входа нужно проверить, тем больше человеко-часов специалистов и тем выше итог.

Тип задачи. Тест на проникновение, аудит конфигурации, разбор инцидента (форензика), восстановление доступа к собственному аккаунту после угона и консультация по защите — разные услуги с разной трудоемкостью.

Глубина проверки. Поверхностный скан по чеклисту и полноценный тест с ручным поиском логических уязвимостей дают совершенно разный результат. Ручная работа дороже, но именно она находит то, что автоматика пропускает.

Форма и качество отчета. Понятное резюме для руководства, технические детали с доказательствами, приоритизированный план исправлений — это часы работы аналитика, и они должны быть заложены в цену, а не вынесены в дополнение.

Повторная проверка (ретест). После того как команда исправила найденные проблемы, нужна контролируемая перепроверка. Экономия на ней — самая распространенная ошибка бюджета: без ретеста нельзя доказать, что уязвимости действительно закрыты.

Модели оплаты: ретейнер, разовый скоуп и почасовая ставка

На рынке устоялись три основные модели, и понимать их различие полезнее, чем сравнивать две случайные цифры из объявлений.

Ретейнер (ежемесячное сопровождение). Клиент платит фиксированную сумму каждый месяц и получает гарантированный пул часов специалиста: мониторинг, быстрые консультации, небольшие проверки после изменений в инфраструктуре. Модель удобна компаниям, которые регулярно дорабатывают свои системы и не хотят каждый раз согласовывать новый договор. Для исполнителя это предсказуемая загрузка, поэтому ставка за час внутри ретейнера обычно ниже, чем при разовых заказах.

Разовый тест по объему. Самая распространенная модель для тестов на проникновение. Исполнитель фиксирует границы: сколько доменов, приложений, подсетей, сколько дней работы, какой формат отчета. Итог — одна согласованная сумма. Сила модели в том, что и сроки, и результат известны заранее; слабость — любые изменения в середине работы, например добавление нового приложения в границы, требуют отдельного соглашения.

Почасовая оплата. Подходит для неоднозначных задач: разбор инцидента, восстановление собственной учетной записи, экспертиза спорной ситуации, короткие консультации. Часы учитываются по факту, поэтому итоговый счет сначала неизвестен. Чтобы эта модель не превратилась в бесконечный счетчик, дисциплинированные исполнители еженедельно присылают лог времени с описанием каждого блока работы.

Ориентиры по суммам: российский и международный рынок

Ниже — оценочные вилки, отражающие реальную практику. Это не прейскурант, а ориентир, чтобы вопрос «сколько это стоит» перестал быть слепым.

Российский рынок (в рублях). Короткий аудит одного веб-приложения силами одного специалиста обычно оценивается примерно от 50–80 тысяч рублей за базовый набор проверок до 200–300 тысяч рублей за многофазную ручную работу с демонстрацией сценариев атаки. Полноценный тест на проникновение внутренней сети средней компании чаще укладывается в 300–800 тысяч рублей в зависимости от числа узлов. Почасовые ставки профильных специалистов на российских кадровых площадках начинаются примерно от 3–5 тысяч рублей в час у специалистов среднего уровня и доходят до 10–15 тысяч рублей и выше у узких экспертов с подтвержденным портфолио. Ежемесячный ретейнер для небольшой компании обычно начинается от 100–150 тысяч рублей.

Международный рынок (в долларах). Западные сервисы продают тест на проникновение одного приложения примерно за 5–15 тысяч долларов, инфраструктурные тесты средних компаний идут от 20–50 тысяч долларов. Почасовые ставки сертифицированных специалистов (OSCP, CREST и подобные) стартуют от 100–150 долларов в час, у узких экспертов — заметно выше. Именно отсюда виден разрыв с объявлениями за пару сотен долларов: он почти всегда означает либо радикально другую глубину работы, либо мошенническую схему.

Почему слишком дешевые предложения — сигнал риска

Низкая цена в этой сфере редко означает выгоду. Чаще всего она означает одну из четырех вещей.

Автоматический скан под видом теста. Исполнитель запускает открытый сканер и присылает десятки страниц машинного вывода. Стоит дешево, результата почти не дает.
Отсутствие договора и юридической защиты. Дешевый исполнитель не подписывает соглашение, не несет ответственности за работу с чужими данными и не может дать вам документ для банка, аудитора или суда.
Риск утечки сведений. Если инфраструктура описана «за две тысячи рублей», те же руки уходят дальше по анонимным чатам — и сведения о ваших системах могут там появиться.
Возврат за новыми деньгами. Классическая схема: сначала дешево присылают «отчет», затем требуют оплатить «срочное устранение», «скрытую уязвимость» и «немедленную повторную проверку».

Здравая цена должна складываться из компетенций, а не из механизма давления. Если исполнитель не может разложить стоимость по компонентам — это сигнал к осторожности.

Как распределить бюджет разумно

Практический совет: не отдавайте весь бюджет под «финальный тест». Разумная структура расходов выглядит примерно так:

40–50% на первичную проверку ключевых точек входа
20–30% на устранение найденного
20–30% на повторную проверку (ретест) и краткое сопровождение после устранения

Экономия на третьем блоке обесценивает первые два: без ретеста никто не подтвердит, что исправления действительно работают. Если бюджет ограничен, лучше сузить границы первого теста и гарантировать ретест, чем проверять все подряд и не проверять повторно вовсе. Дешевые предложения чаще всего разрывают именно эту цепочку: обещают первую часть за символическую плату и оставляют клиента наедине с последствиями.

Ориентиры цен без лишнего риска

В смете опасны цифры «без спецификации»: одна круглая сумма названа с порога, обещание «за сутки» и последующие добавки «за срочность», «скрытую уязвимость» и немедленную повторную проверку. Настоящая оценка разложена по компонентам — часы специалистов, подготовка отчета, ретест — и зафиксирована в договоре до любой предоплаты; если разбить стоимость нельзя, эта цена защищает не вас.

Как оформить задачу правильно

Чтобы получить сравнимые цены, описывайте задачу в структуре сметы: перечень целей (домены, приложения, подсети), глубину проверки (автоматический скан или ручной поиск уязвимостей), обязательные результаты (формат отчета, ретест, сопровождение) и срок. Запрашивайте у каждого кандидата расклад по этим четырем строкам, а не по абстрактному «аудиту безопасности» — тогда сразу видно, кто считает работу, а кто подгоняет круглую цифру; непонятные границы всегда оцениваются дороже, потому что исполнитель закладывает запас на неопределенность.

Какие результаты стоит ожидать

В результате вы должны получить понятное резюме, технические детали, доказательства, приоритеты и следующие шаги. Затраты должны быть прямо увязаны с этим результатом: если в договоре не описан формат отчета, вы платите за процесс, а не за ценность. В этом ценность легальной услуги — цена привязана к проверяемому результату, а не к обещанию.

Cyberlord

Если стоит вопрос «сколько это стоит», отправьте перечень целей и желаемый результат: список доменов и приложений, глубину проверки, срок и обязательную форму отчета. Сначала мы оценим законность задачи и границы работ, а затем предложим смету, разложенную по компонентам — часы, отчет, ретест — без круглых сумм «с порога».

Может ли Cyberlord помочь быстро?
Да — с расчета бюджета: границы и глубина проверки определяют количество часов, а структура «первичный тест — устранение — ретест» показывает, что укладывается в выделенную сумму.

Нужно ли отправлять пароли?
Нет. До подписания договора и согласования границ никаких доступов не требуется: смета рассчитывается по описанию задачи, а не по входу в систему.

Почему не называется фиксированная цена сразу?
Потому что реалистичная сумма зависит от объема, риска, глубины проверки и формы отчета. Без границ работ любая цифра — либо манипуляция, либо случайное число.