Penetrační test má šest kroků: dohoda o rozsahu, pravidla, průzkum, útok, zpráva a oprava s ověřením. Nejvíc práce je na začátku a na konci, ne uprostřed. Jádro testu je v tom, že tester zranitelnosti skutečně zneužije, aby ukázal, kam až vedou. NIST SP 800-115 to popisuje tak, že skener jen zjistí, že chyba možná existuje, kdežto útok ji potvrdí. Co přesně kdy děláte vy a co tester, ukazuje tabulka.
- Test má 6 kroků: rozsah, pravidla, průzkum, útok, zpráva, oprava s retestem.
- Tester zranitelnosti skutečně zneužije, skener jen zjistí, že chyba možná existuje (NIST).
- Pouhý seznam zranitelností nesplňuje smysl testu (PCI SSC).
- Hodnocení rizik a rozhodnutí o opravách zůstává na vás (NCSC).
| Krok | Co dělá tester | Co děláte vy | Co vznikne |
|---|---|---|---|
| 1. Dohoda o rozsahu | Navrhne hranice testu, druhy testů a odhad práce ve dnech. | Přivedete majitele rizik, technika, který systém zná, a svolíte k rozsahu. | Dokument s hranicemi testu (NCSC) |
| 2. Pravidla | Sepíše s vámi, co smí a nesmí. | Schválíte je a podepíšete. | Podepsaná pravidla, test se zatím nezačal (NIST) |
| 3. Průzkum | Sbírá veřejné údaje a skenuje. | Máte po ruce technického kontaktu. | Mapa toho, kudy se dá zkusit dovnitř |
| 4. Útok | Zkouší zranitelnosti zneužít a jde dál. | Kontakt zvedá telefon. | Ověřené nálezy s důkazy |
| 5. Zpráva | Popíše nálezy, jejich riziko a opravu. | Přečtete ji a zajdete na prezentaci výsledků. | Zpráva se shrnutím a nálezy |
| 6. Oprava a retest | Zopakuje útoky na opravené nálezy. | Posoudíte rizika a opravíte. | Doplněná zpráva |
Jednotlivé dokumenty kroky dělí jinak. NIST mluví o čtyřech fázích (příprava, průzkum, útok, zpráva), NCSC o pěti krocích (start, rozsah, test, zpráva, navazující práce) a průvodce PCI SSC o přípravě, testu a práci po testu. Obsah je ve všech stejný.
Kroky 1 a 2: rozsah a pravidla
NCSC doporučuje, aby se rozsahu účastnili všichni majitelé rizik, technici, kteří systém znají, a zástupce testerů. Výsledkem je plán s hranicemi testu, druhy testů, časem a prací v člověkodnech a požadavky testerů. Podle NIST se v tomto kroku nic netestuje: stanoví se pravidla, vedení plán schválí a určí se cíle. Jak tyto dva kroky připravit, popisuje článek o přípravě. Jaký typ testu zvolit, článek o black, grey a white boxu. Z čeho se skládá cena, článek o ceně.
Krok 3: průzkum
Tester začíná tím, co se o vás dá zjistit zvenku. NIST jmenuje jména počítačů a IP adresy z veřejných registrů a z DNS, jména a kontakty zaměstnanců z veřejných webů a verze aplikací, které služby samy vyzradí. Potom porovná, co našel, s databázemi známých zranitelností. Ruční hledání najde nové nebo nenápadné zranitelnosti, které skener přehlédne, ale je mnohem pomalejší.
Krok 4: útok
NIST nazývá útok srdcem testu: tester se pokouší dosud jen podezřelé zranitelnosti skutečně zneužít. Často přitom nedosáhne rovnou nejvyššího přístupu, ale zjistí o síti víc a vrátí se do průzkumu. Některé útoky mu dají vyšší práva. Pak musí zjistit, kam s nimi dojde. Většina testů podle NIST hledá kombinaci zranitelností, která dá víc přístupu než kterákoli z nich sama.
Test se může dotknout i lidí a budov: NIST uvádí telefonát, v němž se tester vydává za pracovníka podpory a žádá o heslo. Platí to jen tehdy, když je to v pravidlech.
Riziko tu je a NIST ho nezastírá. Systémy se při testu mohou poškodit a zkušený tester to jen sníží. Proto existují pravidla, časové okno a kontakt, který test zastaví. Test se podle NIST dá navrhnout tak, aby tester přestal v bodě, kde by další krok způsobil škodu.
Krok 5: zpráva
Průvodce PCI SSC je přísný: pouhý seznam zranitelností není užitečný a nesplňuje smysl testu. Zpráva má říct, co se testovalo, jak a s jakým výsledkem. Navrhovaná osnova má shrnutí pro vedení, rozsah, postup, limity testu, popis průběhu, nálezy (jak se dá zranitelnost zneužít, jak je vážná, které cíle se týká), použité nástroje a úklid po testu. U každého nálezu má být jasné, jak se došlo k hodnocení závažnosti. NCSC k tomu přidává názor testerů na to, jak přesně firma sama o svých zranitelnostech ví, a rady, jak to zlepšit.
NCSC chce u každého nálezu určit závažnost, třeba podle CVSS, a odchylku od běžného hodnocení musí tester zdůvodnit. Lumenax na své stránce slibuje zprávu v češtině s manažerským shrnutím, nálezy seřazenými podle vážnosti a důkazem, že jde zranitelnost zneužít, u každého nálezu.
Krok 6: po zprávě začíná vaše práce
NCSC je v tomto jednoznačné: posoudit riziko a rozhodnout o opravách musíte vy. Tester mohl vidět menší část souvislostí a nález ohodnotit níž nebo výš než vy. Vaše hodnocení se nemá používat k tomu, aby se nálezy podceňovaly. Nálezy, o kterých jste nevěděli, řešte přednostně a zeptejte se, jak je příště zachytit sami. Navržená oprava není jediná možná: místo aktualizace se někdy dá aplikace odinstalovat nebo omezit přístup k němu. Hodnocení rizik a oprava jsou podle NCSC obchodní proces, ne věc, kterou lze zcela předat testerům.
Když oprava hotová je, tester ji ověří retestem. Jak vypadá a kdy je povinný, popisuje článek o retestu. Tester by také měl oznámit, jaké účty vytvořil a jaké nástroje nainstaloval, a vy je smažete (PCI SSC).
Kdy test potřebujete
V režimu vyšších povinností podle zákona č. 264/2025 Sb. chce vyhláška č. 409/2025 Sb. penetrační test technických aktiv před jejich uvedením do provozu a při významné změně, přičemž o testu pro změnu rozhoduje firma podle výsledků řízení rizik (§ 11 odst. 3). Pravidelně pak alespoň jednou za 2 roky. Výsledky se mají vzít v úvahu při řízení rizik. PCI DSS pro platební karty chce test alespoň jednou za 12 měsíců a po významné změně. Lumenax uvádí, že řada zákazníků a norem, mimo jiné ISO 27001, pravidelné testování očekává. Tabulku povinností obou vyhlášek najdete v článku o retestu.
- Před spuštěnímPrvní testPenetrační test technických aktiv před uvedením do provozu.
- Při významné změněTest podle rizikO testu pro změnu rozhoduje firma podle výsledků řízení rizik (§ 11 odst. 3).
- Alespoň jednou za 2 rokyPravidelný testVyhláška 409/2025 Sb., § 24 odst. 5.
- Alespoň jednou za 12 měsícůPlatební kartyPCI DSS: test a po významné změně znovu.
Co udělat ve firmě o dvaceti lidech
- Požádejte dodavatele, aby vám popsal těchto 6 kroků pro váš případ a ke každému napsal počet dní.
- Určete jednoho technika jako kontakt a jednoho člověka z vedení, který podepíše pravidla.
- Zajděte na prezentaci výsledků. NCSC ji označuje za užitečnou: můžete se ptát na nejasné nálezy.
- U každého nálezu určete majitele a termín. Zkontrolujte si, zda se oprava dostala na ostrý provoz.
- Objednejte retest pro celou dávku oprav.
Chyby, které se opakují
- Skončí se u zprávy. NCSC upozorňuje, že hodnocení rizik i rozhodnutí o opravách zůstává na vás.
- Zpráva je jen strojový seznam. PCI SSC píše, že seznam zranitelností nesplňuje smysl testu.
- Nálezy se podceňují. NCSC výslovně radí, aby hodnocení závažnosti nesloužilo k tomu, že se nálezy zlehčí.
- Nikdo nedrží kontakt. Tester narazí na problém a nemá komu zavolat.
Časté otázky
Neshodí penetrační test provoz?
Riziko nelze vyloučit. NIST píše, že se systémy mohou při testu poškodit a zkušený tester riziko jen sníží. Pomáhá dohodnuté okno, kontakt a podmínky, kdy tester přestane, napsané v pravidlech.
Jak dlouho test trvá?
Podle PCI SSC dny až týdny, podle rozsahu a velikosti prostředí. Lumenax uvádí, že menší web obvykle zabere 3 až 5 dní testování. Cenu a rozsah rozebírá článek o ceně.
Dostaneme něco, čemu budeme rozumět?
Měli byste. Průvodce PCI SSC chce shrnutí pro vedení i technické nálezy a NCSC doporučuje prezentaci výsledků. Pokud dostanete jen seznam, není to podle PCI SSC splněný smysl testu.
Testuje se i to, jak lidé reagují na telefonát nebo e-mail?
Jen pokud je to v pravidlech. NIST zmiňuje sociální inženýrství a fyzický přístup jako možné součásti penetračního testu, ale sám je v průvodci nepopisuje.
Jak často test opakovat?
V režimu vyšších povinností alespoň jednou za 2 roky podle vyhlášky 409/2025 Sb., u platebních karet alespoň jednou za 12 měsíců podle PCI DSS. NCSC upozorňuje, že test platí jen ke dni, kdy proběhl.
Zdroje
- NIST Special Publication 800-115, Technical Guide to Information Security Testing and Assessment, září 2008, oddíl 5.2: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-115.pdf
- NCSC, Penetration testing, zveřejněno 8. 8. 2017, přezkoumáno 10. 1. 2022: https://www.ncsc.gov.uk/guidance/penetration-testing
- PCI SSC, Information Supplement: Penetration Testing Guidance, verze 1.1, září 2017, oddíly 2.1, 4 a 5: https://listings.pcisecuritystandards.org/documents/Penetration-Testing-Guidance-v1_1.pdf
- Vyhláška č. 409/2025 Sb., § 11 odst. 3 a § 24 odst. 5, účinná od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-409
- PCI DSS v4.0, SAQ D for Merchants, duben 2022, požadavky 11.4.2 a 11.4.3: https://listings.pcisecuritystandards.org/documents/PCI-DSS-v4-0-SAQ-D-Merchant.pdf
- Lumenax, Penetrační testy, zobrazeno 25. 10. 2026: https://www.lumenax.cz/penetracni-testy
Jak se připravit na penetrační test: pravidla, souhlasy a podklady
Retest po penetračním testu: kdy je povinný a co ověří
Black box, grey box, white box: jak vybrat typ penetračního testu
