Пентест (тестирование на проникновение): что это, виды, этапы, требования

Пентест — это когда вас взламывают по вашей же просьбе, чтобы показать, где дыра. Заказчик нанимает специалистов, разрешает им атаковать свою инфраструктуру в оговорённых границах и получает отчёт: через что удалось войти, как далеко удалось продвинуться и что чинить в первую очередь.

Отличие от сканера уязвимостей — в глаголе. Сканер находит потенциально слабые места и выдаёт список. Пентестер эксплуатирует их и проверяет, к чему это реально приводит: получит ли он доступ к базе с персональными данными, дойдёт ли до контроллера домена. Из десяти найденных сканером уязвимостей опасными на практике могут оказаться две, а могут — ни одной, потому что путь до них перекрыт другими мерами.

Формально это называется тестирование на проникновение, и с 1 сентября 2026 года оно перестало быть только рыночной практикой: приказ ФСТЭК № 60 сделал его обязательным для государственных информационных систем 1 и 2 классов защищённости с выходом в интернет. Ниже — виды, этапы, кто имеет право проводить и сколько это стоит.

Пентест (от английского penetration testing, «тестирование на проникновение») — санкционированная владельцем системы имитация действий злоумышленника, иногда называемая «этичным хакингом»: работы всегда идут по договору или техническому заданию, в согласованных временных и правовых рамках. Именно это принципиально отличает пентест от обычного взлома, даже если технические приёмы совпадают.

Главное, что отличает пентест от простого «поиска уязвимостей», — стадия эксплуатации (exploitation). Тестировщик не останавливается на фиксации потенциальной уязвимости, а пытается реально её использовать: получить доступ, повысить привилегии, продвинуться по сети. Это позволяет отделить теоретический риск от практически реализуемого — подход, который лежит в основе методологии NIST SP 800-115 и открытого стандарта PTES (раздел ниже).

Пентест и пять смежных терминов — в чём разница

↔ таблицу можно прокрутить вбок

Для российского регуляторного контекста здесь есть нюанс, который часто упускают: приказы ФСТЭК не используют «анализ уязвимостей» и «тестирование на проникновение» как взаимозаменяемые слова. Оба термина фигурируют как отдельные, самостоятельные виды работ. Так, приказ №239 для значимых объектов КИИ отдельно требует «анализ уязвимостей» при вводе объекта в эксплуатацию, а приказ №21 для ИСПДн упоминает «тестирование информационной системы на проникновения» как отдельный, дополняющий пункт наряду с проверкой на отсутствие недекларированных возможностей. Раздел 9 ГОСТ Р 57580.1 тоже прямо перечисляет «тестирование на проникновение» и «анализ уязвимостей системы защиты информации» как два разных элемента контроля защищённости, не сливая их в одно понятие. При составлении технического задания на закупку эту разницу стоит учитывать буквально — если нужен именно пентест, писать в ТЗ нужно именно «тестирование на проникновение», а не общий термин «анализ уязвимостей».

Пентесты классифицируют по трём независимым признакам — сколько тестировщик знает о системе заранее, откуда идёт имитируемая атака и что именно проверяется, — и комбинация этих трёх осей определяет формат конкретного проекта. В техническом задании обычно фигурируют все три сразу.

По объёму осведомлённости тестировщика

↔ таблицу можно прокрутить вбок

По расположению точки тестирования

По объекту тестирования

↔ таблицу можно прокрутить вбок

Пентест АСУ ТП проводят с особой осторожностью: тестирование часто идёт в резервной или тестовой среде, с ограничениями по «агрессивности» техник, чтобы случайно не вызвать реальный сбой техпроцесса. Это не перестраховка — атаки Industroyer/Industroyer2 и TRITON/TRISIS развивались именно по цепочке от IT-периметра к промышленному контроллеру.

Проектный цикл пентеста описывают три признанные методологии — они не противоречат друг другу, а с разной степенью детализации описывают одну и ту же последовательность работ.

↔ таблицу можно прокрутить вбок

Для лида и инфографики удобно свести обе методологии к одной укрупнённой пятиступенчатой модели — это не отдельный самостоятельный стандарт, а дидактическое упрощение PTES и NIST:

Детализация по PTES (7 фаз): преддоговорные взаимодействия (согласование целей, объёма работ, правил взаимодействия и юридических рамок) → сбор информации → моделирование угроз (определение вероятных векторов атаки на основе собранных данных) → анализ уязвимостей → эксплуатация → пост-эксплуатация → отчёт. В модели NIST SP 800-115 те же работы укрупнены до четырёх фаз: планирование → discovery (сканирование плюс анализ уязвимостей) → атака и эксплуатация → отчёт.

В России нет единого закона «о пентесте»: требование проводить тестирование на проникновение — или смежные процедуры анализа уязвимостей и оценки эффективности мер защиты — возникает из разных отраслевых норм, каждая для своего типа организаций и систем. Именно в 2025–2026 годах эта картина меняется быстрее, чем когда-либо раньше.

Приказ ФСТЭК № 60 (от 27.02.2026): обязательный пентест для ГИС 1 и 2 класса

Сводная таблица регуляторных драйверов

↔ таблицу можно прокрутить вбок

Текст приказа №60 не имеет грифа ДСП и опубликован официально на pravo.gov.ru — реквизиты, дата, номер регистрации в Минюсте и формулировки пунктов 16(1)–16(3), 31(1)–31(2) в этом материале сверены построчно по полному тексту приказа, а не только по карточкам реквизитов вторичных источников.

Пентест — разовый проект с фиксированной командой, сроком и бюджетом по договору. Bug bounty — открытая, непрерывная программа с оплатой по факту подтверждённой находки, без фиксированной команды. Киберучения — отдельный формат: не про поиск уязвимостей, а про отработку реагирования персонала и центров реагирования на уже смоделированный инцидент.

Требование к лицензии зависит не от пентеста «самого по себе», а от контекста заказчика — какой системы касается тестирование и в рамках какого обязательства оно проводится.

• Пентест как самостоятельная коммерческая услуга по прямому договору с владельцем системы, без привязки к обязательной аттестации ГИС, ИСПДн или КИИ — отдельная лицензия ФСТЭК формально не требуется. Прямой нормы, закрепляющей это правило дословно, нет — вывод сделан по тому, что пентест буквально не поименован отдельным пунктом в перечне лицензируемых работ ПП РФ №79. В пограничных случаях, особенно для госзаказчиков, решение стоит уточнять под конкретное ТЗ.
• Пентест как часть работ по защите ГИС, ИСПДн или значимого объекта КИИ — по требованиям приказов №117/№21/№239, включая обязательный пентест по приказу №60 для ГИС 1–2 классов с 01.09.2026 — исполнителю, как правило, нужна лицензия ФСТЭК на техническую защиту конфиденциальной информации (ТЗКИ), поскольку это подпадает под лицензируемые виды работ — контроль защищённости конфиденциальной информации, мониторинг ИБ, аттестационные испытания.
• Финансовые организации вправе проводить ежегодный контроль по ГОСТ Р 57580.1 как силами штатных специалистов, так и с привлечением стороннего исполнителя — сам стандарт прямо не требует лицензированного ТЗКИ-исполнителя именно для пентеста. Отдельно от этого не стоит путать оценку соответствия по ГОСТ Р 57580.2 — там независимый проверяющий обязан иметь лицензию ТЗКИ, но это другая процедура с другой периодичностью.

При закупках по 44-ФЗ или 223-ФЗ, где пентест закупается как часть работ по защите ГИС, ИСПДн или КИИ, заказчик вправе установить требование о наличии у исполнителя лицензии ФСТЭК на ТЗКИ — в силу прямой связи с лицензируемыми видами деятельности. Отдельной специфичной нормы именно про пентест как предмет закупки 44-ФЗ/223-ФЗ не найдено — это следствие общего правила, а не отдельное требование закона о закупках.

На рынке в качестве индикатора квалификации команды часто фигурируют международные сертификации — OSCP (Offensive Security Certified Professional), CEH (Certified Ethical Hacker), CREST. Это рыночный, не регуляторный критерий: ни в одном НПА РФ он не закреплён как обязательное требование к персоналу исполнителя, в отличие от формализованных требований к специалистам лицензиата ТЗКИ по ПП РФ №79.

Без привязки к конкретным компаниям на рынке ориентируются на четыре качественных критерия, вытекающих из разделов выше:

Что обычно входит в отчёт. Стандартный отчёт по пентесту, вслед за структурой фазы Reporting в PTES, состоит из двух частей:

• Executive summary — краткое резюме для руководства без глубокой технической детализации: цели теста, общий уровень зрелости защиты, ключевые риски бизнес-языком.
• Техническая часть — подробное описание каждой найденной и подтверждённой уязвимости: шаги воспроизведения (Proof of Concept), уровень критичности, потенциальный ущерб, конкретные рекомендации по устранению, часто с привязкой к отраслевым системам классификации вроде CVSS.

Если пентест выявляет уязвимости веб-приложения, которые нельзя закрыть немедленно на уровне кода, разумный компенсирующий шаг на переходный период — правило на WAF, пока фикс не выпущен разработчиком.

Стоимость пентеста в России сильно варьируется и зависит от масштаба и количества активов в периметре, модели тестирования (black/grey/white box), объекта (внешний, внутренний, веб, мобильный, АСУ ТП, социальная инженерия), срочности и квалификации команды. Приведённые ниже цифры — оценка по вторичным источникам, не привязанная к конкретному подрядчику и не гарантированная.

Объём российского рынка пентестинга в 2025 году по независимым оценкам отраслевых экспертов — порядка нескольких миллиардов рублей (разные источники называют диапазон 3–4 млрд руб.), рынок растёт двузначными темпами год к году оценка.