Penetrationstest (Pentest) för företag: Hur går det till och vad kostar det?
Penetrationstest har blivit ett standardkrav i upphandlingar, kundavtal och NIS2-revision. Men vad är det egentligen som händer, vad kostar ett pentest och hur säkrar man att resultatet faktiskt leder till förbättring? Här går vi igenom hela kedjan från scope till retest.
Vill ni inte lösa det här själva? Vi levererar det som en opererad tjänst — med drift, övervakning och ansvar hos oss.
SårbarhetsanalysVad är ett penetrationstest?
Ett pentest är ett auktoriserat säkerhetstest där en eller flera säkerhetsexperter försöker bryta sig in i ett system med samma metoder som en angripare. Målet är att hitta verkliga sårbarheter — inte teoretiska — och visa hur de skulle kunna utnyttjas.
Pentest skiljer sig från automatiserad sårbarhetsskanning genom djupet. En skanner hittar kända CVE:er. En pentestare hittar logiska brister, kedjor av små fel och konfigurationsmisstag som inget verktyg ser.
Typer av pentest
Beroende på mål och hotbild används olika typer:
- Extern infrastruktur – det som syns från internet (brandvägg, VPN, publika servrar)
- Intern infrastruktur – simulerar en angripare som redan är innanför perimetern
- Webbapplikation – testar specifik webbtjänst, ofta enligt OWASP-metodik
- Mobilapplikation – iOS/Android-app inklusive backend-API:er
- Active Directory – fokus på domänkompromiss och privilegieeskalering
- Red team – scenariobaserad attack över lång tid mot hela organisationen
Processen steg för steg
Ett professionellt pentest följer en strukturerad process:
- Scoping – vad ingår, vad ingår inte, tidsram och regler
- Skriftligt avtal med ROE (rules of engagement)
- Rekognosering – information om målet samlas
- Sårbarhetsidentifiering – aktiva tester
- Exploatering – verifiering av att sårbarheter går att utnyttja
- Post-exploitation – hur långt kan en angripare komma efter första intrånget
- Rapportering – detaljerad rapport med fynd, allvarlighetsgrad och åtgärdsförslag
- Retest – verifiering efter åtgärd
Vad kostar det?
Priset styrs framför allt av omfattning. De viktigaste kostnadsdrivarna:
Externt pentest av infrastruktur – antal IP-adresser och system
Webbapplikationer – komplexitet, antal roller och API:er
Intern infrastruktur med AD – miljöns storlek
Red team-uppdrag – längd och scope, ofta 4–6 veckor
Ett professionellt pentest prissätts efter testade dagar och konsulter. Misstänk leverantörer som ligger mycket lägre än andra — de gör då sannolikt en automatiserad scan med pentest-stämpel. Kontakta oss för offert.
Frågor och svar
Vill ni ha det här hanterat åt er?
Vi går igenom er nuvarande miljö, visar vad som saknas och vad det skulle kosta att driva det som en opererad tjänst. Genomgången är kostnadsfri och utan åtaganden.