// SLOVNÍK
Co je penetrační test
Penetrační test je řízený pokus o průnik do informačního systému, prováděný se souhlasem majitele a v písemně vymezeném rozsahu, jehož cílem je najít a prokázat zneužitelné slabiny dřív než útočník. Od skenu zranitelností se liší tím, že nálezy ověřuje pokusem o zneužití, ne jen porovnáním verzí proti databázi. Výstupem je report s důkazy a s pořadím oprav.
// 01
Fakta v kostce
| Údaj | Hodnota |
|---|---|
| Anglicky | penetration test, zkráceně pentest |
| Co se testuje | webová aplikace, API, síť, cloud, lidé nebo fyzické prostory |
| Kdo test povoluje | vlastník systému, písemným pověřením a vymezeným rozsahem |
| Typická délka | jednotky dní až několik týdnů podle rozsahu |
| Hlavní výstup | report s nálezy, důkazy o zneužití a pořadím oprav |
| Navazující metodiky | PTES, OWASP WSTG a ASVS, NIST SP 800-115 |
| Co to není | sken zranitelností, bezpečnostní audit ani trvalá záruka bezpečnosti |
// 02
K čemu penetrační test slouží
Penetrační test slouží ke třem věcem naráz. Ověří odolnost systému proti postupu, který by zvolil skutečný útočník. Doloží stav technických opatření někomu zvenčí, typicky auditorovi, zákazníkovi nebo pojišťovně. A dá vývojářům a správcům konkrétní zadání k opravě, ne obecné doporučení zvýšit bezpečnost.
- Ověření odolnosti: tester se pokusí projít stejnou cestou jako útočník a zapíše, kam se dostal.
- Doklad o opatřeních: report s datem, rozsahem a metodikou obstojí jako důkaz při kontrole.
- Zadání pro opravu: každý nález má popis, dopad a postup, kterým si ho vývojář zopakuje.
Rozdíl proti teoretickému posouzení je v důkazu. Tvrzení, že je někde slabina, má v reportu vedle sebe požadavek, odpověď serveru nebo snímek obrazovky, kterým se dá ověřit, že slabina jde zneužít.
// 03
Co penetrační test není
Penetrační test není sken zranitelností. Sken je automatizovaná kontrola proti databázi známých chyb, kterou zvládne nástroj bez člověka, zatímco test hledá i cesty, které vzniknou až kombinací několika drobností. Podrobný rozdíl mezi testem a skenem zranitelností rozebíráme na samostatné stránce.
Není to ani bezpečnostní audit. Audit ověřuje shodu s pravidly a existenci dokladů, test ověřuje, jestli obrana vydrží. Obojí se objednává i dohromady a rozdíl mezi nimi se snadno stírá, proto má rozdíl proti bezpečnostnímu auditu vlastní heslo.
- Není to bug bounty: u testu je rozsah, termín i cena dohodnutá předem, u bug bounty se platí za nález.
- Není to certifikace: z testu nevzniká certifikát, vzniká report o stavu v konkrétní den.
- Není to trvalá záruka: výsledek platí ke dni testu a k otestované verzi systému.
// 04
Jaké druhy penetračních testů existují
Penetrační testy se podle předmětu dělí především na test aplikace a test infrastruktury. U aplikací jde o test jedné aplikace včetně jejího API, kde se prověřuje autorizace mezi rolemi a business logika. U infrastruktury o test sítě, perimetru a doménového prostředí, kde rozhodují konfigurace, oprávnění a správa identit.
K tomu přistupují dvě další osy, které se s předmětem pletou: výchozí pozice testera (zvenčí, nebo zevnitř sítě) a míra znalosti, se kterou začíná. Celou typologii včetně kategorií, které se v Česku nabízejí jen zřídka, popisuje heslo typy penetračních testů a kdy který zvolit.
// 05
Jak penetrační test probíhá
Průběh testu popisuje otevřený standard PTES, který test dělí do sedmi fází. Zjednodušeně: dohoda o rozsahu a pravidlech, sběr informací o cíli, modelování hrozeb, hledání zranitelností, pokus o zneužití, postup dál v systému a nakonec report.
Dohoda o rozsahu z toho výčtu vyčnívá: plyne z ní, co se testovat smí a co ne, i co si připravit na straně klienta, a bez písemného pověření test nezačíná. Jedna věc naopak ve výčtu fází vůbec není: opětovné ověření oprav, kterému se říká retest. Standard končí u reportu, takže retest je věc smlouvy, ne metodiky, a bez něj má report doloženou jen polovinu práce. Text standardu je veřejně dostupný.
Standard popisuje, co se má stát, ne kolik to trvá u konkrétního dodavatele. Podrobný rozpis najdete v hesle o sedmi fázích podle PTES, konkrétní podobu, tedy jak vypadá test od podepsaného rozsahu po retest, má každý tým vlastní.
// 06
Kdo penetrační test provádí
Test dělá buď interní tým, nebo externí dodavatel. Interní tým zná prostředí a je levnější na koordinaci, ale posuzuje práci vlastních kolegů a nemá odstup. Externí dodavatel odstup má a přináší srovnání z jiných firem, zato potřebuje čas na pochopení prostředí.
U dodavatele se vyplatí ptát na dvě věci, když řešíte, jak vybrat, kdo test provede. Kdo test reálně provede, protože jméno na nabídce a jméno v reportu nemusí být totéž. A jaké má ten člověk praktické certifikace, tedy takové, kde se zkouška skládá útokem na cvičné prostředí, ne testem s výběrem odpovědí.
// 07
Jak poznáte, že test stál za peníze
Slabý výstup se pozná dřív, než ho někdo začne opravovat. Nejspolehlivější znak je export ze skeneru přejmenovaný na report: desítky nálezů seřazených podle skóre, žádný důkaz o zneužití a žádná zmínka o tom, co se zkoušelo a nevyšlo.
- U nálezu chybí postup reprodukce, takže vývojář neví, jak si chybu vyvolat.
- Report neuvádí rozsah a metodiku, takže se nedá zjistit, co se netestovalo.
- Všechny nálezy mají závažnost podle nástroje a nikdo je nepřevedl do kontextu firmy.
- Není domluvený retest, takže nikdo nedoloží, že jsou opravy funkční.
Když dostaneme k posouzení cizí report, díváme se nejdřív na to, jestli u nálezu stojí postup reprodukce. Bez něj se nedá oddělit skutečná chyba od falešného poplachu a firma platí za seznam, se kterým nikdo nic neudělá.
// 08
Časté dotazy
Kam dál
Obsah revidován 2026-09-04.
// DALŠÍ KROK
Podívejte se, jak takový test probíhá
Napište nám, co chcete otestovat. Ozveme se a domluvíme si hovor, na kterém upřesníme rozsah, termín i cenu.