Пентест в Казахстане: что это, законно ли и сколько стоит
KEMEL.TECH · Обновлено
Пентест (тест на проникновение) — это проверка защиты, при которой специалисты по договору с владельцем систем пытаются их взломать так, как это сделал бы настоящий злоумышленник. В Казахстане пентест законен при письменном разрешении владельца ресурса; без него это неправомерный доступ к информации (ст. 205 УК РК). В KEMEL.TECH клиент платит только за подтверждённые уязвимости: от 15 000 ₸ за низкую до 600 000 ₸ за критическую, а если уязвимостей нет, отчёт бесплатный.
Что такое пентест простыми словами
Пентест отвечает на вопрос «можно ли нас взломать и через что». Специалисты ищут слабые места в сайте, личном кабинете, API, мобильном приложении и внешнем периметре, подтверждают их без вреда для данных и работы сервиса и объясняют, как исправить.
По итогам заказчик получает отчёт: описание каждой уязвимости, её опасность по шкале CVSS и рекомендации для разработчиков. После исправлений проводится повторная проверка (ретест).
Законен ли пентест в Казахстане
Да, при наличии письменного разрешения владельца ресурса (Authorization Letter). Работа без разрешения квалифицируется как неправомерный доступ к информации по ст. 205 УК РК.
- NDA между заказчиком и исполнителем.
- Договор на тестирование с чёткими границами: домены, IP-адреса, API, сроки.
- Письменное разрешение владельца ресурса. Если систему арендуете у хостинга или облака, нужно и его согласие.
- Порядок обращения с персональными данными, если тест их затрагивает (Закон РК № 94-V «О персональных данных и их защите»).
- Акт выполненных работ.
Из чего складывается цена
Обычно цена пентеста считается от объёма: сколько приложений, страниц, ролей и API. Заказчик платит вперёд и не знает, найдут ли что-то. Альтернатива — оплата за результат.
В KEMEL.TECH работает модель «платите за найденное»: предоплаты нет, за каждую подтверждённую уязвимость действует фиксированный тариф по уровню CVSS, дубликаты одной уязвимости не тарифицируются повторно.
- CRITICAL (CVSS 9.0–10.0): 300 000 – 600 000 ₸. Например, удалённое выполнение кода, SQL-инъекция, обход авторизации.
- HIGH (CVSS 7.0–8.9): 120 000 – 200 000 ₸. Например, хранимый XSS, IDOR, ошибки JWT.
- MEDIUM (CVSS 4.0–6.9): 50 000 – 100 000 ₸. Например, CSRF, отражённый XSS, ошибки OAuth и CORS.
- LOW (CVSS 0.1–3.9): 15 000 – 40 000 ₸. Например, заголовки безопасности, настройки SSL.
- Если уязвимостей не найдено, вы получаете отчёт «периметр чист» бесплатно.
Сроки и что входит
Базовая проверка занимает от 48 часов до 10 рабочих дней, в зависимости от объёма. О критических находках исполнитель сообщает сразу, не дожидаясь отчёта.
- Внешний периметр: домены, поддомены, открытые сервисы.
- Веб-приложения и личные кабинеты (OWASP Top-10).
- API и мобильные приложения.
- Логика работы: доступ к чужим данным, обход оплаты, повышение прав.
- Утечки паролей сотрудников в открытых базах.
- Бесплатный ретест после исправлений.
Как выбрать исполнителя
- Спросите про письменное разрешение и NDA до начала работ.
- Узнайте, подтверждаются ли находки вручную, а не только сканером.
- Попросите образец отчёта: там должны быть CVSS, шаги воспроизведения и рекомендации.
- Уточните, входит ли повторная проверка в цену.
- Сравните модели оплаты: фиксированная цена за объём или оплата за найденное.
Частые вопросы
- Сколько стоит пентест в Казахстане?
- Цена зависит от объёма и модели оплаты. В KEMEL.TECH предоплаты нет: платите только за подтверждённые уязвимости по тарифу CVSS, от 15 000 ₸ за LOW до 600 000 ₸ за CRITICAL. Если уязвимостей нет, отчёт бесплатный.
- Сколько длится пентест?
- От 48 часов до 10 рабочих дней в зависимости от объёма. Red Team занимает 2–4 недели.
- Нужно ли разрешение на пентест?
- Да. Нужно письменное разрешение владельца ресурса. Без него работа считается неправомерным доступом к информации (ст. 205 УК РК).