Black box, grey box, white box: jak vybrat typ penetračního testu

Black, grey a white box říkají jen jedno: kolik toho tester ví, než začne. Průvodce PCI SSC uvádí, že penetrační testy se obvykle dělají jako white nebo grey box, protože dávají přesnější výsledky než čistý black box. Zákon č. 264/2025 Sb. ani vyhlášky 409 a 410 žádný z těch tří pojmů nepoužívají, typ testu si tedy vybíráte vy. Než typ vyberete, ujasněte si, na co se ptáte. A pozor na jednu past: každý dokument ta slova používá trochu jinak.

Co tester dostane a co z toho vyplyne

Definice vychází z průvodce PCI SSC. Doplňují ji britský NCSC a americký NIST.

NCSC přidává kvalitu: výsledek testu podle něj úzce souvisí s tím, jak dobří jsou lidé, kteří ho dělají. Pojem „black box“ sám o tom nic neříká.

Past: stejná slova, dva významy

NIST SP 800-115 v příloze C označuje white box jako rozbor zdrojového kódu aplikace. Black box je tam test hotové aplikace bez znalosti kódu. Grey box je směs obou. NIST dodává, že u vlastního softwaru bývá white box efektivnější a levnější na hledání chyb, ale nenajde chyby mezi součástmi aplikace ani ty, které vzniknou při instalaci nebo nastavení. Navíc u mnoha webů nemá black box podle NIST z hlediska kódu smysl, protože tam žádná přeložená aplikace není.

Průvodce PCI SSC a NCSC používají slova jinak: podle toho, kolik údajů o cíli tester dostane. Obojí je v praxi běžné. Zeptejte se proto dodavatele, co slovem myslí, a nechte to napsat do rozsahu. Jedna věta stačí: „Tester dostane účet zákazníka a účet správce, zdrojový kód ne.“

Tři otázky, ne jedna

Box říká, kolik toho tester ví. K celému obrazu patří ještě dvě rozhodnutí, a ta jsou nezávislá.

• Odkud tester útočí. Zvenku, nebo zevnitř sítě. Vyhláška č. 409/2025 Sb. v § 24 odst. 5 chce penetrační testování z vnitřní i vnější sítě. Rozdíl rozebírá článek o testu webu a interní sítě.
• Kdo o testu ví. NIST rozlišuje otevřený test, o kterém IT ví, a skrytý, o kterém ví jen vedení. Skrytý je podle NIST časově náročný a drahý, protože se tester musí skrývat, a ukazuje hlavně to, jak daleko útočník dojde a jak reaguje IT. Otevřený je levnější, méně riskantní a častější. Jak ho přichystat, popisuje článek o přípravě.

Jak vybrat

• Chcete vědět, co o vás zjistí cizí útočník? Black box. NCSC uvádí, že přesně takový útočník, který není s firmou spojený, je jeho model.
• Chcete najít co nejvíc chyb ve vlastním softwaru? Grey nebo white box. NIST píše, že rozbor kódu je na vlastním softwaru efektivní, ale nenahradí test hotové aplikace. Proto NIST mluví o směsi obou.
• Děláte test kvůli PCI DSS? PCI SSC píše, že se obvykle volí white nebo grey box. Zkontrolujte si, co vyžaduje vaše banka nebo platební partner.
• Chcete obojí, zvenku i zevnitř? NIST radí začít zvenku. Když oba testy dělají stejní lidé, nezískají tak předem vnitřní údaje, které by cizí útočník neměl.

Vyhláška 409/2025 Sb. po poskytovateli v režimu vyšších povinností chce evidovat termín testu a jména lidí, kteří ho dělali. O typu testu mlčí.

Co to dělá s cenou

Cenu určuje práce. NCSC píše, že rozsah testu se obvykle udává v člověkodnech. Víc údajů na startu nemusí znamenat dražší test: PCI SSC naopak říká, že black box může vyžadovat víc času, peněz i práce, aby splnil požadavky PCI DSS. Dodavatel Lumenax na své stránce uvádí, že menší web obvykle zabere 3 až 5 dní testování a rozsáhlejší systémy déle. Co dalšího cenu zvedá, rozebírá článek o ceně penetračního testu.

Co udělat ve firmě o dvaceti lidech

Máte e-shop, interní systém a jednoho správce IT. Postupujte takhle:

1. Napište jednou větou, na co se ptáte. „Dostane se cizí člověk k objednávkám?“ je jiná otázka než „Co zvládne zákazník s jedním účtem?“
2. Rozhodněte, co testerovi dáte. Účet zákazníka a účet správce znamenají grey box. Nic znamená black box.
3. Nechte dodavatele napsat, jak slova používá, a co přesně dostane. Zdrojový kód a schémata sítě jsou samostatná položka.
4. Kdybyste objednávali test zvenku i zevnitř, domluvte pořadí. Zvenku jako první.
5. Postup celého testu najdete v článku o průběhu penetračního testu.

Chyby, které se opakují

• Black box jako nejlepší volba. Je nejblíž útočníkovi, ale NCSC upozorňuje, že v daném čase může něco zůstat neobjeveno.
• Pojem se neupřesní. Dodavatel myslí rozbor kódu, vy účet uživatele. Test pak vyjde jinak, než jste čekali.
• Grey box bez připravených účtů. NCSC chce, aby se účty pro testery vytvořily před dnem testu.
• Cena se odvodí od typu, ne od rozsahu. NCSC počítá v člověkodnech.

Zdroje

• PCI SSC, Information Supplement: Penetration Testing Guidance, verze 1.1, září 2017, oddíly 1.3, 2.1 a 2.2: https://listings.pcisecuritystandards.org/documents/Penetration-Testing-Guidance-v1_1.pdf
• NCSC, Penetration testing, zveřejněno 8. 8. 2017, přezkoumáno 10. 1. 2022: https://www.ncsc.gov.uk/guidance/penetration-testing
• NIST Special Publication 800-115, září 2008, oddíly 2.4, 5.2.2 a příloha C: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-115.pdf
• Zákon č. 264/2025 Sb., vyhláška č. 409/2025 Sb. a vyhláška č. 410/2025 Sb., znění účinná od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-264, https://www.zakonyprolidi.cz/cs/2025-409, https://www.zakonyprolidi.cz/cs/2025-410
• Lumenax, Penetrační testy, zobrazeno 25. 10. 2026: https://www.lumenax.cz/penetracni-testy