Před penetračním testem potřebujete na papíře čtyři věci: podepsaná pravidla testu, souhlas poskytovatele hostingu nebo cloudu, jména lidí, kteří zvednou telefon, a seznam podkladů pro testera. Zbytek se dořeší za pochodu. Trestní zákoník v § 230 odst. 1 trestá odnětím svobody až na 2 roky toho, kdo překoná bezpečnostní opatření a neoprávněně získá přístup k počítačovému systému. U penetračních testů, které provádí sám NÚKIB, zákon č. 264/2025 Sb. v § 42 odst. 5 písm. c) výslovně chce „souhlas toho, kdo je testováním dotčen“. Test tedy začíná podpisem, ne skenerem.
- Test začíná písemnými pravidly, která podepíšou všechny strany (NIST SP 800-115).
- Když smlouva s hostingem žádá souhlas, musíte ho mít před testem.
- Jeden technický kontakt zvedne telefon po celou dobu testu.
- Co už víte, opravte obvyklým postupem a seznam známých problémů dejte testerovi.
Tenhle článek řeší jen přípravu. Co tester dělá po startu, popisuje článek o průběhu penetračního testu, jaký typ testu zvolit, článek o black, grey a white boxu.
Napište pravidla testu a nechte je podepsat
Americký průvodce NIST SP 800-115 chce písemný plán u každého testu, ať je malý, nebo velký, ať ho dělá kdokoli. Plán odpovídá na pět otázek: co se testuje, kdo smí test provést, jak to prakticky vypadá, jak se zachází s citlivými daty a co se stane při incidentu. Plán podle NIST chrání obě strany: firmu před nehodou a testera před tím, že vedení nevědělo, co schválilo. Podepisují ho všechny strany.
| Otázka | Co do pravidel napsat |
|---|---|
| Co se testuje | IP adresy nebo jejich rozsahy, domény, weby. Zvlášť seznam toho, co testovat nesmí (NIST uvádí příklad mzdové databáze). |
| Kdo testuje | Jména lidí a kontakty na obou stranách včetně toho, kdo řeší incidenty. |
| Kdy | Časové okno. NIST uvádí, že provozní systém se někdy vyplatí testovat večer, ne v pracovní špičce. |
| Co je zakázané | Napsat to tak, aby nezůstal prostor pro výklad (NIST). Typicky útoky na dostupnost. |
| Data, která tester uvidí | Smí je tester uložit? Musí vypsat hesla, ke kterým se dostal? (příklady z průvodce PCI SSC) |
| Kdy test zastavit | Kdy tester přestane, a co dělat, když narazí na stopy skutečného průniku. Průvodce PCI SSC radí spustit incident response a test pozastavit. |
| Kdy je hotovo | Cíl testu. Bez dohody, kde test končí, tester podle PCI SSC může překročit meze, které jste čekali. |
NIST doporučuje u penetračního testu vždy přizvat právníka. Právník projde plán, případně smlouvu o mlčenlivosti a o tom, kdo za co ručí. Tester totiž může při testu zachytit data, která nepatří vám, třeba osobní údaje zaměstnanců.
Zjistěte, kdo další musí souhlasit
Pokud část systémů běží u cizího poskytovatele, váš podpis nestačí. NIST píše, že vlastník té sítě obvykle musí plán písemně potvrdit. Průvodce PCI SSC to upřesňuje: když smlouva s poskytovatelem žádá jeho souhlas, musíte ho mít, než test začne. Do rozsahu navíc nepatří infrastruktura poskytovatele, jen systémy, které spravujete nebo používáte vy.
Pravidla se u každého poskytovatele liší. Amazon Web Services například na své stránce uvádí, že u vyjmenovaných služeb (EC2, RDS, Lambda a další) test nepotřebuje předchozí souhlas. Zakázané jsou ale útoky typu DoS a DDoS a testy s command and control vyžadují souhlas předem. Simulovaný phishing a zkoušky s malwarem se hlásí formulářem. Platí to jen pro AWS. U jiného poskytovatele si pravidla vyhledejte, nebo se zeptejte.
Co dát testerovi do ruky
Britský úřad pro kybernetickou bezpečnost NCSC chce, aby z přípravy vznikl dokument s požadavky testerů, třeba s vytvořenými účty pro testery, nebo jen s místem u stolu. Při grey nebo white boxu připravte účty s právy, která má běžný uživatel a správce. Průvodce PCI SSC navíc jmenuje podklady, které testerovi ušetří čas: schéma sítě, tok citlivých dat, seznam služeb, které mají být z internetu vidět, a popis, jak se uživatelé přihlašují. Hodí se i zprávy z dřívějších testů a čerstvé výsledky skenů.
Tady se dva zdroje mírně míjejí a oba mají pravdu. Často se radí „před testem nic neopravujte“. NCSC naopak píše, že v ideálním případě víte, co tester najde, dřív než to najde, protože penetrační test má prověřit vaši práci se zranitelnostmi v systému, ne ji nahradit. Rozumný postup tedy je: co už víte, opravte obvyklým postupem pro změny a seznam známých problémů předejte testerovi. Neopravujte nic narychlo těsně před startem a nic netajte.
Produkce, nebo kopie
NIST otevřeně říká, že systém se při penetračním testu může poškodit a zkušený tester to riziko jen sníží. Úplně ho nevyloučí. Průvodce PCI SSC k tomu dodává, že test na produkci v pracovní době může narušit provoz a snaha o to může test prodloužit a zesložitit. Řešením je oddělené prostředí shodné s produkcí. Nalezené zranitelnosti se pak musí opravit na produkci a ověřit znovu.
Je to naše doporučení, ne citát: před testem zkontrolujte, že zálohu umíte obnovit, a ne jen že existuje. Pak je i nejhorší případ zvládnutelný.
Kdo ve firmě co ví
NIST rozlišuje dva způsoby. Při otevřeném testu o něm IT ví a pomůže zmírnit dopady. Při skrytém ví jen vedení a někdy prostředník, který ověří, že se nespouští reakce na test. Otevřený test je podle NIST levnější, méně riskantní a častější. Skrytý hlavně zkouší, jak IT reaguje.
Určete jednoho technického kontaktu, který zvedne telefon po celou dobu testu. NCSC k tomu píše, že nemusí s testery trávit všechen čas, ale musí být dosažitelný rychle. Rozhodněte i o ochranných systémech: průvodce PCI SSC radí, aby IPS a WAF test neblokovaly, protože zkoušíte služby samotné, ne to, jestli firewall útok zastaví. Když zkoušíte i fyzický přístup, dostane ostraha kontakt, přes který ověří, že tester je tester.
- Část systémů běží u cizího poskytovatele?smlouva žádá jeho souhlasMějte ho před testem
- Chcete zkoušet i reakci IT?skrytý testO testu ví jen vedení
- Test poběží na produkci?riziko škody nelze vyloučitOvěřte obnovu ze zálohy
- Ostatní případyIT a vedení o testu ví předem
Co udělat ve firmě o dvaceti lidech
Správce IT je tu jeden a bezpečnostní tým nikdo. Postup podle toho, kdy co přijde na řadu:
- Po objednávce: sepište s testerem rozsah a pravidla, prověřte smlouvy s hostingem a zeptejte se na souhlas.
- Před startem: vytvořte účty pro testera, dejte mu schémata a seznam známých problémů, ověřte obnovu ze zálohy.
- Těsně před startem: určete kontakt na obou stranách a řekněte lidem v IT, že test poběží a kdy.
- Během testu: kontakt zvedá telefon. Když tester narazí na stopy skutečného útoku, test se zastaví a řešíte incident.
- Po testu: smažte účty a nástroje, které tester nainstaloval (PCI SSC chce, aby je tester nahlásil). Co se děje s nálezy dál, popisuje článek o retestu.
Chyby, které se opakují
- Test bez písemného rozsahu. Tester pak buď testuje, co nemá, nebo nic, co čekáte.
- Hosting se nezeptá. Poskytovatel může v podmínkách žádat souhlas a zakázat některé útoky.
- Nikdo nezvedá telefon. Tester narazí na něco vážného a čeká.
- Test na produkci a záloha, kterou nikdo nezkusil obnovit. Riziko je malé, ale NIST ho nevylučuje.
- Nikdo nevede seznam známých problémů. NCSC chce, aby firma už před testem věděla, co tester najde.
Kolik práce rozsah přidá, rozebírá článek o ceně penetračního testu.
Časté otázky
Musím o testu informovat zaměstnance?
Aspoň IT a vedení by to vědět mělo. NIST rozlišuje otevřený test, o kterém IT ví, a skrytý, který zná jen vedení. Skrytý má smysl, když chcete zkoušet reakci IT, a je podle NIST dražší.
Potřebuju souhlas hostingu nebo cloudu?
Pokud ho žádá smlouva s poskytovatelem, ano, a musíte ho mít před testem. Podle NIST musí vlastník cizí sítě plán obvykle písemně potvrdit. AWS u vyjmenovaných služeb předchozí souhlas nechce, jiní poskytovatelé mají vlastní pravidla.
Má se testovat produkce, nebo oddělená kopie?
Obojí jde. Produkce je věrnější, ale riziko škody NIST nevylučuje. Oddělené prostředí musí být shodné s produkcí a opravy se stejně musí udělat na produkci a znovu ověřit (PCI SSC).
Co když se při testu najde skutečný průnik?
To patří do pravidel předem. Průvodce PCI SSC radí napsat, že tester v takovém případě test zastaví a spustí se incident response. Jak dál, rozhodnete vy.
Potřebuju smlouvu o mlčenlivosti?
NIST ji zmiňuje jako běžnou součást: právník může po externích testerech chtít NDA a limit odpovědnosti. Sjednejte ji, než dostanou přístup k vašim datům.
Zdroje
- NIST Special Publication 800-115, Technical Guide to Information Security Testing and Assessment, září 2008, oddíly 2.4.2, 5.2, 6.5, 6.6 a příloha B: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-115.pdf
- PCI SSC, Information Supplement: Penetration Testing Guidance, verze 1.1, září 2017, oddíly 2.3.4 a 4.1 až 4.3: https://listings.pcisecuritystandards.org/documents/Penetration-Testing-Guidance-v1_1.pdf
- NCSC, Penetration testing, zveřejněno 8. 8. 2017, přezkoumáno 10. 1. 2022: https://www.ncsc.gov.uk/guidance/penetration-testing
- Zákon č. 40/2009 Sb., trestní zákoník, § 230: https://www.zakonyprolidi.cz/cs/2009-40
- Zákon č. 264/2025 Sb., § 42 odst. 5 písm. c), znění účinné od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-264
- Amazon Web Services, Penetration Testing, zobrazeno 25. 10. 2026: https://aws.amazon.com/security/penetration-testing/
Retest po penetračním testu: kdy je povinný a co ověří
Black box, grey box, white box: jak vybrat typ penetračního testu
Penetrační test webu vs. interní sítě: jaký je rozdíl a který potřebujete
