Сколько стоит аудит безопасности сайта в России

Когда владелец бизнеса задумывается об аудите безопасности сайта, первый вопрос — сколько это стоит. Диапазон цен на рынке огромный: от 5 000 рублей на фриланс-площадках до нескольких миллионов у крупных ИБ-компаний. Как понять, что стоит за этими цифрами, что вы получите за свои деньги и какой уровень аудита нужен именно вашему бизнесу? Разбираемся в ценообразовании, структуре услуг и подводных камнях.

Структура рынка: кто проводит аудиты и за сколько

Фрилансеры и автоматические сканеры: 5 000–30 000 рублей

На площадках вроде Kwork и fl.ru можно найти предложения «аудит безопасности сайта» за 5 000–15 000 рублей. Как правило, за эти деньги вы получите результат работы автоматического сканера (OWASP ZAP, Nikto, Nessus) без экспертной проверки. Сканер запускается, генерирует отчёт, исполнитель пересылает его вам.

Проблема: автоматические сканеры дают до 40–60% ложных срабатываний и пропускают уязвимости, которые требуют понимания бизнес-логики. Вы получите длинный список «потенциальных проблем», из которого непонятно, что действительно опасно, а что — шум. Кроме того, фрилансер не несёт никакой ответственности за результат — нет договора, NDA, гарантий.

Небольшие ИБ-компании и веб-студии: 50 000–250 000 рублей

В этом сегменте работают компании, которые совмещают автоматическое сканирование с ручной экспертной проверкой. Типичная структура тарифов:

Экспресс-аудит (50 000–80 000 рублей, 1–3 дня). Автоматизированное сканирование, проверка топ-уязвимостей из OWASP Top-10, экспертная валидация результатов, краткий отчёт с приоритизацией. Подходит для малого бизнеса и быстрой проверки перед запуском нового сайта.

Стандартный аудит (120 000–200 000 рублей, 5–10 дней). Полный внешний аудит по OWASP Top-10, ручное тестирование критических функций, проверка конфигурации сервера, детальный отчёт с CVSS-скорингом каждой уязвимости и пошаговыми рекомендациями. Включает executive summary для руководства. Оптимальный выбор для среднего бизнеса, e-commerce, компаний, работающих с персональными данными.

Расширенный аудит (250 000–500 000 рублей, 10–20 дней). Всё из стандартного аудита плюс анализ исходного кода, тестирование бизнес-логики, проверка API, ретест после устранения уязвимостей. Для крупного бизнеса и сервисов с платёжными данными.

Крупные ИБ-компании (Positive Technologies, BI.ZONE, Group-IB): от 500 000 рублей

Лидеры рынка кибербезопасности работают преимущественно с крупным бизнесом и госструктурами. Минимальный чек — от 500 000 рублей, средний проект пентеста — 1–3 млн рублей. За эти деньги клиент получает команду из нескольких специалистов, глубокий анализ инфраструктуры, репутацию известного бренда в отчёте и формализованные процессы для compliance.

Для среднего бизнеса с одним-двумя сайтами такой уровень, как правило, избыточен. Состав работ для проверки веб-сайта у крупной ИБ-компании и у специализированной веб-студии может быть идентичным, а разница в цене — трёх-пятикратной.

Что влияет на стоимость аудита

Размер и сложность сайта. Корпоративная визитка на 10 страницах и интернет-магазин с личным кабинетом, интеграциями с платёжными системами и API — это совершенно разный объём работ. Чем больше функциональности — тем больше поверхность атаки и тем дольше аудит.

Глубина проверки. Внешний аудит (black box) — проверка со стороны внешнего атакующего, без доступа к коду и серверу. Аудит с доступом к коду (white box) — анализ исходного кода, конфигураций, архитектуры. Второй вариант дороже, но находит больше уязвимостей.

Стек технологий. Аудит сайта на популярной CMS (Битрикс, WordPress) дешевле, чем аудит кастомного приложения — для популярных платформ есть готовые методологии и базы известных уязвимостей.

Наличие ретеста. Некоторые компании включают повторную проверку после устранения уязвимостей — это увеличивает стоимость на 20–30%, но даёт уверенность, что проблемы действительно закрыты.

Формат отчёта. Базовый список уязвимостей — одна цена. Детальный отчёт с CVSS-скорингом, proof of concept для каждой уязвимости, executive summary для руководства и пошаговыми инструкциями по устранению — другая.

На что обращать внимание при выборе подрядчика

Договор и NDA. Аудит безопасности предполагает доступ к чувствительной информации. Без NDA вы передаёте данные о своих уязвимостях человеку, который не несёт ответственности за их конфиденциальность. Это базовое требование, и если подрядчик не предлагает NDA — это красный флаг.

Методология. Спросите, по какой методологии проводится аудит. Стандартный ориентир — OWASP Testing Guide и OWASP Top-10. Если подрядчик не может назвать методологию — скорее всего, аудит сводится к запуску сканера.

Ручная проверка. Автоматические сканеры — это инструмент, а не услуга. Ценность аудита — в экспертной интерпретации результатов, ручном тестировании и понимании бизнес-логики. Уточните, какая доля работ выполняется вручную.

Формат результата. Что именно вы получите? PDF на 3 страницы с общими рекомендациями — это не аудит. Хороший отчёт содержит: список уязвимостей с классификацией по критичности, описание вектора атаки и потенциального ущерба для каждой уязвимости, конкретные пошаговые инструкции по устранению и резюме для руководства на понятном языке.

Опыт с вашей платформой. Аудит сайта на Битрикс от компании, которая специализируется на этой CMS, будет эффективнее, чем от универсальной ИБ-компании. Знание внутренней архитектуры платформы позволяет находить уязвимости, которые пропустит общий подход.

Сколько стоит не проводить аудит

Аудит — это инвестиция, и её нужно сравнивать не с нулём, а со стоимостью инцидента:

• Восстановление после взлома — от 30 000 до 80 000 рублей, при сложных случаях компрометации — значительно больше
• Простой бизнеса — средний срок восстановления 5–14 дней. Для интернет-магазина с оборотом 500 000 рублей в день это 2,5–7 млн рублей упущенной выручки
• Штрафы за утечку ПД — от 3 до 15 млн рублей за первичную утечку, оборотные штрафы до 3% выручки за повторную
• Потеря позиций в поиске — восстановление SEO-позиций после пометки «опасный сайт» занимает месяцы
• Репутационный ущерб — сложно оценить в рублях, но клиенты, узнавшие об утечке своих данных, уходят

Стоимость аудита — от 50 000 рублей. Стоимость последствий одного инцидента — от нескольких миллионов. Математика однозначна.

Наши тарифы

Мы в АП-ИМ проводим аудит безопасности сайтов в трёх форматах: экспресс-аудит от 50 000 рублей (1–3 дня), стандартный аудит от 120 000 рублей (5–10 дней) и расширенный аудит от 250 000 рублей (10–20 дней) с анализом исходного кода и ретестом. Работаем по договору с NDA, каждая находка проходит ручную экспертную проверку.

Наше преимущество — мы не только находим уязвимости, но и помогаем их устранить. В отличие от чистых ИБ-компаний, мы — разработчики с 17-летним опытом работы с Битрикс, WordPress и кастомными CMS. Мы можем не только показать проблему, но и исправить её.