Як перевірити підрядника з пентесту: опитувальник на 46 питань

Щоб перевірити підрядника з пентесту, надішліть йому письмовий опитувальник і порівняйте відповіді за однією шкалою: хто саме тестуватиме, за якою методологією, що буде з вашими даними, який звіт ви отримаєте і хто відповідає, якщо щось зламається. Нижче 46 таких питань у десяти розділах; біля кожного є рядок «Хороша відповідь», тож оцінити відповіді може навіть людина без технічного досвіду.

Опитувальник нейтральний: ним можна перевірити будь-якого виконавця, зокрема й нас. Він доповнює статтю як обрати компанію для пентесту: там пояснено, на що дивитися і чому, а тут готовий робочий документ, який можна скопіювати в лист чи тендерну анкету. Як підготувати свою сторону, описано в чеклісті підготовки до пентесту, а інші безкоштовні списки зібрано на сторінці безкоштовного чекліста кібербезпеки.

Коротко

• Надсилайте ті самі питання і той самий опис систем двом-трьом виконавцям і просіть відповідати письмово.
• Оцінюйте кожну відповідь за шкалою 0, 1 або 2 бали. Сім питань позначено як стоп-питання: нуль на будь-якому з них означає, що з виконавцем далі не йдете.
• Найбільше говорять три речі: названі імена тестувальників, знеособлений зразок звіту і письмові правила роботи з вашими даними, включно з ШІ-інструментами.
• Методології варто називати конкретно. Станом на жовтень 2026 року це PTES ^[1], OWASP WSTG 4.2 ^[2], OWASP MASVS 2.1.0 і MASTG 2.0.0 ^[3], NIST SP 800-115 (2008) ^[4] і OSSTMM 3 ^[5]; критичність зазвичай оцінюють за CVSS 4.0 або 3.1. ^[6]

Як користуватися опитувальником

1. Скопіюйте питання в документ, додайте короткий опис систем, які має перевірити пентест (що тестуємо, де, скільки ролей користувачів) і дайте виконавцям 5-7 робочих днів на відповідь.
2. Просіть письмові відповіді й підтвердження: зразок звіту, шаблон договору, список сертифікатів з номерами. Усна відповідь «так, звісно» не рахується як повна.
3. Оцініть кожну відповідь:
   • 2 бали: конкретна письмова відповідь із підтвердженням або готовністю внести це в договір;
   • 1 бал: загальна відповідь, «зазвичай так», без деталей чи документа;
   • 0 балів: немає відповіді, ухильна відповідь або відповідь із червоного прапорця.
4. Перевірте стоп-питання (позначені [стоп]): нуль хоча б на одному означає відмову, хоч би якою була сума.
5. Порахуйте відсоток від максимуму (92 бали). Орієнтир: від 75% можна переходити до договору, 50-75% потребують уточнювальної розмови, нижче 50% варто шукати іншого виконавця.

Для невеликої компанії не всі питання однаково важливі. Якщо якесь не стосується вас (наприклад, мобільних застосунків немає), просто виключіть його з максимуму в усіх виконавців.

Опитувальник: 46 питань

1. Компанія і юридична особа

1. Яка юридична особа підписує договір: повна назва, країна реєстрації, реєстраційний код?
   Хороша відповідь: юрособу можна знайти в державному реєстрі, і саме вона підписує NDA, договір і виставляє рахунок.
2. Де зареєстровані власники компанії і де фізично працюють тестувальники?
   Хороша відповідь: названі країни й міста; немає власників чи команди в країні-агресорі; робота з вашими даними ведеться лише з погоджених країн.
3. Які послуги ви надаєте, крім пентесту? Чи продаєте засоби захисту або впроваджуєте системи, які самі ж тестуватимете?
   Хороша відповідь: конфлікт інтересів названо прямо, а рекомендації у звіті не прив'язані до продуктів, які продає виконавець.
4. Чи були за останні три роки інциденти з даними клієнтів, судові спори або скарги щодо ваших робіт?
   Хороша відповідь: чесне «ні» або коротко, що сталося і що змінили в процесах після цього.
5. Які сертифікації чи акредитації має сама компанія (наприклад, ISO/IEC 27001, CREST) і що входить у їхню сферу дії?
   Хороша відповідь: копія сертифіката, сфера дії охоплює послуги тестування. Для невеликої компанії відсутність сертифіката не є провалом, якщо процеси з розділів 5 і 6 описано письмово.

2. Команда і хто насправді тестує

6. [стоп] Хто конкретно тестуватиме наш проєкт? Назвіть імена, ролі й досвід кожного.
   Хороша відповідь: імена у пропозиції або договорі; заміна людини можлива лише з вашої письмової згоди.
7. Які сертифікати мають саме ці люди і як їх перевірити?
   Хороша відповідь: назва сертифіката (OSCP, GPEN, GWAPT, OSWE, CREST тощо) з номером або посиланням на публічний реєстр видавця, як-от каталог сертифікованих фахівців GIAC. ^[7] Сертифікати керівника, який не тестуватиме, не рахуються.
8. [стоп] Чи залучаєте субпідрядників або фрилансерів?
   Хороша відповідь: письмове «ні» або перелік конкретних людей чи компаній, які підписують той самий NDA і допускаються лише з вашої згоди.
9. Який у команди досвід саме з нашим типом систем (вебзастосунок, API, мобільні застосунки, хмара, Active Directory, промислові системи)?
   Хороша відповідь: знеособлені приклади схожих проєктів і перелік перевірок, специфічних для вашого стеку. NCSC радить заздалегідь назвати нетипові системи, щоб виконавець підтвердив, що має відповідні навички. ^[8]
10. Хто веде проєкт і хто перевіряє звіт перед відправкою?
    Хороша відповідь: названий менеджер або керівник проєкту і друга людина, яка вичитує знахідки й рекомендації (peer review).
11. Чи підписують тестувальники особисті зобов'язання про конфіденційність і чи перевіряє їх компанія під час найму?
    Хороша відповідь: так, індивідуальні NDA; доступ до ваших даних мають лише учасники проєкту.

3. Методологія і стандарти

12. На які методології ви спираєтеся і як адаптуєте їх під наш проєкт?
    Хороша відповідь: названо конкретні документи: PTES (сім етапів від попередніх домовленостей до звіту) ^[1], OWASP WSTG для вебзастосунків (стабільна версія 4.2, версія 5.0 у розробці) ^[2], OWASP MASVS і MASTG для мобільних застосунків ^[3], NIST SP 800-115 ^[4], OSSTMM 3 ^[5]. «Власна секретна методика» без опису етапів є слабкою відповіддю.
13. Скільки годин або днів працює людина вручну, а скільки працюють автоматичні сканери? Які інструменти використовуєте?
    Хороша відповідь: години ручної роботи розписано окремо; сканери лише допомагають, кожен їхній результат перевіряє людина.
14. Як ви перевіряєте бізнес-логіку і права доступу: чи може один користувач побачити дані іншого?
    Хороша відповідь: тестують щонайменше двома акаунтами на кожну роль, описують типові сценарії обходу ролей, підробки запитів і обходу оплати.
15. Як ви відсіюєте хибні спрацювання?
    Хороша відповідь: у звіт потрапляє лише те, що відтворено вручну; припущення позначено окремо.
16. Який тип тестування пропонуєте (black box, grey box, white box) і чому саме його?
    Хороша відповідь: вибір пояснено вашою метою: наприклад, grey box з тестовими акаунтами дає більше покриття за ту саму кількість днів.
17. Як ви враховуєте вимоги, яким ми маємо відповідати (регулятор, PCI DSS, ISO/IEC 27001, вимоги наших клієнтів)?
    Хороша відповідь: виконавець питає, кому потрібен звіт, і пропонує формат, який приймає саме цей аудитор чи клієнт.

4. Межі перевірки і правила роботи

18. Як ви визначаєте межі перевірки (scope) і що буде поза ними?
    Хороша відповідь: письмовий перелік систем, адрес, ролей і винятків. Якщо під час тесту знайдено важливу систему поза межами, рішення приймає замовник: розширити обсяг або записати це як обмеження тесту. ^[8]
19. З чого складається оцінка обсягу і строків?
    Хороша відповідь: розрахунок від кількості систем, ролей, точок API чи адрес, а не фіксований «пакет» без жодного питання про ваші системи.
20. Які дії заборонені за замовчуванням?
    Хороша відповідь: у правилах роботи прямо названо: навантажувальні атаки (DoS), видалення чи зміна реальних даних, листи реальним клієнтам, соціальна інженерія без окремої згоди.
21. З яких IP адрес і в які години ви тестуєте?
    Хороша відповідь: фіксовані адреси повідомлено заздалегідь, години погоджено, робота поза ними лише за вашим дозволом.
22. [стоп] Що ви робите, якщо посеред тесту знайшли критичну вразливість або сліди справжнього зламу?
    Хороша відповідь: повідомляють одразу погодженим каналом, не чекаючи звіту; строк повідомлення записано в правилах роботи.
23. Як зупинити тест і хто з вашого боку на зв'язку?
    Хороша відповідь: названо людину з телефоном на весь час тестування і просту процедуру зупинки.
24. Як ви переконуєтеся, що маємо право дозволити тест хмари, хостингу чи сторонніх сервісів?
    Хороша відповідь: виконавець сам питає про власника кожної системи і дотримується правил хмарного провайдера; чужі сервіси без дозволу власника не тестує.

5. Ваші дані, NDA і ШІ-інструменти

25. [стоп] Чи підписуємо NDA до передачі будь-яких даних, доступів чи опису систем?
    Хороша відповідь: так, взаємний NDA до будь-яких технічних деталей.
26. Де і як ви зберігаєте докази: знімки екрана, вивантаження, облікові дані?
    Хороша відповідь: шифроване сховище, названо країну розміщення, доступ лише в учасників проєкту, жодних особистих ноутбуків без шифрування.
27. Що ви робите з персональними даними, до яких отримали доступ під час тесту?
    Хороша відповідь: беруть мінімум, потрібний для доказу; у звіті дані маскують; масово не вивантажують.
28. [стоп] Скільки ви зберігаєте дані проєкту і як їх видаляєте?
    Хороша відповідь: строк записано в договорі; після нього видалення з письмовим підтвердженням.
29. [стоп] Чи використовуєте ви ШІ-інструменти (чат-боти, асистенти для коду, ШІ-сканери) з нашими даними?
    Хороша відповідь: перелік інструментів; дані клієнта не потрапляють у публічні сервіси, які навчаються на запитах; використання з вашими даними лише за вашою письмовою згодою.
30. Як ви передаєте звіт, паролі й доступи?
    Хороша відповідь: шифрований канал або архів, пароль окремим каналом; звичайний лист із вкладенням не використовують.
31. Що станеться з тестовими акаунтами, завантаженими файлами та іншими слідами тесту після завершення?
    Хороша відповідь: перелік усього, що створено чи змінено, прибирання після тесту і підтвердження у звіті.

6. Звіт

32. [стоп] Можна побачити знеособлений зразок реального звіту?
    Хороша відповідь: так, справжній звіт з прибраними назвами, а не маркетингова брошура.
33. Яку шкалу критичності ви використовуєте і якої версії?
    Хороша відповідь: названо версію CVSS (поточна 4.0, також поширена 3.1) з вектором для кожної знахідки, плюс оцінка ризику саме для вашого бізнесу. ^[6] Відхилення від стандартного рівня тестувальник пояснює. ^[8]
34. Чи є короткий висновок для керівництва про вплив на бізнес?
    Хороша відповідь: одна-дві сторінки простими словами: що знайшли, чим загрожує, що виправити першим.
35. Чи містить кожна знахідка кроки відтворення і докази?
    Хороша відповідь: так, ваш розробник може повторити кожну знахідку сам.
36. Наскільки конкретні рекомендації?
    Хороша відповідь: що саме змінити в коді чи налаштуваннях, а не «підвищити рівень безпеки»; є посилання на документацію.
37. Якою мовою буде звіт?
    Хороша відповідь: мовою, яка вам потрібна (українська, англійська чи обидві), з однаковим змістом; друга мова в ціні або з ціною окремим рядком.
38. Коли ми отримаємо звіт і чи можна обговорити його з тестувальником?
    Хороша відповідь: строк після завершення тесту записано в договорі, зустріч з розбором звіту входить у ціну.

7. Ретест

39. Чи входить повторна перевірка (ретест) у ціну, скільки разів і в які строки?
    Хороша відповідь: так, кількість і вікно для ретесту записано в договорі.
40. Що ми отримаємо після ретесту?
    Хороша відповідь: оновлений звіт або додаток зі статусом кожної знахідки: закрито, частково, відкрито.
41. Чи можете ви надати лист-підтвердження про проведене тестування для наших клієнтів чи аудитора?
    Хороша відповідь: так, з фактами (що, коли, в яких межах тестували), без обіцянок «система повністю захищена».

8. Страхування і відповідальність

42. Чи має компанія страхування професійної відповідальності або кіберстрахування? Яке покриття?
    Хороша відповідь: названо страховика і ліміт або пояснено, як відповідальність покрито договором.
43. Хто відповідає, якщо тест спричинить збій чи втрату даних, і де це записано?
    Хороша відповідь: окремий пункт договору з межею відповідальності і порядком дій, а не «нічого не станеться».
44. Кому належать звіт і результати і чи можете ви згадувати нас як клієнта?
    Хороша відповідь: звіт належить вам; згадка про вас лише з письмової згоди.

9. Ціна і договір

45. Що входить у ціну, а що оплачується окремо, і що буде, якщо обсяг зміниться?
    Хороша відповідь: окремими рядками дні роботи, звіт, мови, ретест, виїзд; зміна обсягу лише через письмову домовленість до початку додаткової роботи.

10. Рекомендації і репутація

46. Чи можете дати контакт клієнта для короткої розмови або підтвердити досвід публічно?
    Хороша відповідь: контакт клієнта з його згоди або знеособлений опис проєкту; плюсом будуть публічні дослідження, виступи чи знайдені вразливості, які можна перевірити. Відмова називати клієнтів через NDA нормальна.

Червоні прапорці

Будь-що з цього списку дає 0 балів за відповідне питання, навіть якщо решта відповіді гарна:

• «Перевіримо все» без переліку систем і винятків.
• Ціна одразу, без жодного питання про ваші системи.
• Імена тестувальників «назвемо після оплати» або команда змінюється без попередження.
• Звіт за добу після старту або зразок звіту, схожий на вивантаження сканера.
• «Гарантуємо, що вразливостей не залишиться».
• Немає відповіді, що буде з вашими даними після проєкту, або ваші дані йдуть у публічні ШІ-сервіси без вашої згоди.
• Тиск: «знижка лише сьогодні», «почнемо без договору, папери потім».
• Активні дії до підписання NDA і письмового дозволу.

Коротка версія на одну сторінку

Якщо на повний опитувальник немає часу, почніть із цих 12 питань. Після слова «Добре» сказано, що вважати хорошою відповіддю. Позначте пункт, лише якщо виконавець відповів так письмово. Пункти з позначкою [стоп] обов'язкові.

• [стоп] Команда. Хто саме тестуватиме? Добре: імена й сертифікати з номерами.
• [стоп] Субпідрядники. Чи залучаєте когось ще? Добре: «ні» або лише з нашої згоди.
• Метод. Яка методологія? Добре: PTES, OWASP чи NIST і дні ручної роботи окремо.
• Межі. Що тестуєте? Добре: письмовий перелік систем, ролей і винятків.
• Правила. Як не зламаєте робоче? Добре: заборони, IP адреси, години, хто зупиняє.
• [стоп] Критичне. Коли повідомите? Добре: одразу, не чекаючи звіту.
• [стоп] Дані. Що з доказами? Добре: NDA до старту, шифрування, видалення з підтвердженням.
• [стоп] ШІ. Чи йдуть наші дані в ШІ-сервіси? Добре: лише з нашої письмової згоди.
• [стоп] Звіт. Чи є зразок? Добре: знеособлений звіт, версія CVSS, висновок для керівництва.
• Ретест. Чи входить у ціну? Добре: кількість і строки записано в договорі.
• Відповідальність. Хто відповідає за збій? Добре: пункт договору, ліміт, страхування.
• Ціна. Що входить? Добре: окремі рядки, зміна обсягу лише письмово.

Завантажити чекліст підготовки (PDF)PDF · A4

FAQ

Скільки виконавців варто опитати?

Двох-трьох достатньо. Важливо надіслати всім однаковий список питань і однаковий опис систем, інакше відповіді не можна чесно порівняти.

Чи можна скоротити опитувальник?

Так. Для невеликого проєкту залиште коротку версію на одну сторінку і всі стоп-питання. Питання, які вас не стосуються, виключіть з максимуму в усіх виконавців однаково.

Що робити, якщо виконавець не хоче відповідати письмово?

Це вже відповідь. Розумно, що частину деталей розкажуть після NDA, але імена тестувальників, зразок звіту і правила роботи з даними добрий виконавець надає письмово.

Чи обов’язково виконавцю мати ISO/IEC 27001 або CREST?

Ні. Це плюс, особливо для великих замовників і регульованих галузей, але для невеликої компанії важливіші названі тестувальники, зразок звіту і письмові правила роботи з даними.

Чи нормально використовувати цей опитувальник у тендері?

Так. Питання нейтральні і підходять для тендерної анкети. Додайте до них опис систем і вимоги до формату звіту, щоб усі учасники рахували той самий обсяг.

Посилання

1. The Penetration Testing Execution Standard (PTES) pentest-standard.org
2. OWASP Web Security Testing Guide (WSTG) owasp.org
3. OWASP Mobile Application Security: MASVS і MASTG mas.owasp.org
4. NIST SP 800-115: Technical Guide to Information Security Testing and Assessment csrc.nist.gov
5. ISECOM: OSSTMM 3, Open Source Security Testing Methodology Manual isecom.org
6. FIRST: Common Vulnerability Scoring System v4.0 first.org
7. GIAC: Certified Professionals directory giac.org
8. NCSC: Penetration testing ncsc.gov.uk