Zaktualizowano: 1 października 2026
Czym różni się skan podatności od testu penetracyjnego? Skan podatności to zautomatyzowany proces identyfikacji znanych słabości w systemach – otwartych portów, przestarzałych wersji oprogramowania z opisanymi CVE, błędnych konfiguracji. Skan mówi: „Ten serwer Apache 2.4.51 ma CVE-2021-41773 z CVSS 9.8.”
Test penetracyjny (pentest) to manualny, ekspertem prowadzony atak na system, który weryfikuje czy podatności są eksploitowalne i jaki byłby realny skutek: „Przez CVE-2021-41773 uzyskaliśmy dostęp do serwera, stamtąd przeszliśmy do bazy danych kart w 20 minut – oto dowód.” PCI DSS v4.0.1 wymaga obu: kwartalnych skanów (Wymaganie 11.3) i rocznego pentestów (11.4.2). ISO 27001 Aneks A kontrola 8.8 wymaga zarządzania podatnościami technicznymi. NIS2 art. 21 wymaga testowania bezpieczeństwa jako proporcjonalnego środka zarządzania ryzykiem.
Skany podatności i pentesty – w skrócie:
- Skan podatności: automatyczny, tani, częsty (co kwartał lub ciągły), identyfikuje ZNANE podatności na bazie baz CVE – nie weryfikuje czy podatność jest eksploitowalna w konkretnym środowisku
- Pentest: manualny, droższy, rzadszy (co roku lub po zmianach), weryfikuje czy podatności są eksploitowalne i jakie byłyby skutki udanego ataku – dostarcza informacji których skan nie może dać
- PCI DSS 11.3.1: wewnętrzne skany podatności kwartalne; od 31 marca 2025 MUSZĄ być uwierzytelnione (11.3.1.2) – skan bez poświadczeń nie spełnia wymagania i QSA wyda finding
- PCI DSS 11.3.2: zewnętrzne skany przez ASV (Approved Scanning Vendor) z listy PCI SSC kwartalne – nie wystarczy dowolny zewnętrzny skan
- PCI DSS 11.4.1 (od 31 marca 2025): metodologia pentestów musi być udokumentowana PRZED testem – raport bez udokumentowanej metodologii = finding QSA
- Patronusec jako akredytowany QSA z własnym zespołem pentesterów (OSCP, CREST) realizuje skany podatności uwierzytelnione, skany ASV i pentesty metodologią spełniającą PCI DSS 11.4.1 – raporty przygotowywane z wiedzą „od strony audytora”
Spis treści
Co wykrywa skan podatności, a czego nie wykryje nigdy?
Skan wykrywa:
- Znane CVE w oprogramowaniu na podstawie wersji i sygnatur
- Otwarte porty i serwisy, które nie powinny być dostępne
- Przestarzałe wersje oprogramowania z wymuszonym TLS 1.0/1.1/SSL
- Domyślne lub słabe hasła dla standardowych serwisów (wyłącznie skan uwierzytelniony)
- Błędne konfiguracje wykrywalne automatycznie (np. anonymous FTP)
Skan NIE wykryje:
- Business logic flaws – błędów logiki aplikacji specyficznych dla Twojego kodu
- Łańcuchowania podatności – np. niski CVE + błąd konfiguracji + domyślne hasło = pełne przejęcie
- Podatności w customowym kodzie bez sygnatur CVE (SQL injection, XSS w Twojej aplikacji)
- Social engineering i phishing jako wektory inicjalne
- Lateral movement pathways – jak atakujący po wejściu przemieszcza się między systemami
Skan uwierzytelniony vs nieuwierzytelniony – kluczowa różnica:
| Co widzi | Skan nieuwierzytelniony | Skan uwierzytelniony |
|---|---|---|
| Otwarte porty i serwisy | ✅ | ✅ |
| Wersja oprogramowania widoczna z sieci | ✅ | ✅ |
| Wersja lokalnego oprogramowania niewidoczna z sieci | ❌ | ✅ |
| Status patchowania systemu operacyjnego | ❌ | ✅ |
| Lokalne konta i polityki haseł | ❌ | ✅ |
| Podatności w wewnętrznych serwisach | ❌ | ✅ |
Wymóg uwierzytelnionych skanów (PCI DSS 11.3.1.2 od 31 marca 2025) nie jest biurokratycznym wymysłem – uwierzytelniony skan typowo identyfikuje 2-3 razy więcej podatności niż nieuwierzytelniony na tym samym hoście.
Patronusec Insight: Organizacje przychodzące do nas po nieudanym audycie PCI DSS mają regularnie ten sam problem: skany wewnętrzne były uruchamiane bez uwierzytelnienia. W wynikach: 40-50 podatności niskiego ryzyka, zero krytycznych. Podczas audytu QSA sprawdza konfigurację skanera – widzi brak uwierzytelnienia i finding jest gotowy. Od marca 2025 nieuwierzytelniony skan wewnętrzny = niezgodność z PCI DSS 11.3.1.2. Realizując skany podatności konfigurujemy poświadczenia dla każdego skanowanego systemu i dostarczamy konfigurację skanera jako dowód dla QSA.
Nie wiesz, czy Twoje skany wewnętrzne są uwierzytelnione i spełniają wymaganie 11.3.1.2 PCI DSS v4.0.1?
Patronusec przeprowadza review konfiguracji skanera i wyników – w ciągu 5 dni roboczych oceniamy czy Twój program skanowania generuje dane akceptowalne dla audytu QSA.
Zamów review konfiguracji skanowania
Jak zbudować minimalny program skanowania dla PCI DSS v4.0.1?
Program skanowania PCI DSS obejmuje cztery elementy:
1. Zewnętrzny skan ASV (Wymaganie 11.3.2):
- Kto: Approved Scanning Vendor z listy PCI SSC (pcisecuritystandards.org)
- Kiedy: co kwartał minimum, po każdej zmianie infrastruktury zewnętrznej
- Co: wszystkie zewnętrzne IP w CDE i connected-to środowisku
- Wynik akceptowalny: „Passing” – zero Critical/High po remediacji
2. Wewnętrzny skan uwierzytelniony (Wymaganie 11.3.1 + 11.3.1.2 od 31 marca 2025):
- Kto: wykwalifikowany personel wewnętrzny lub zewnętrzny partner (nie musi być ASV)
- Kiedy: co kwartał minimum, po każdej znaczącej zmianie infrastruktury CDE
- Uwierzytelnienie: skan MUSI logować się do każdego skanowanego hosta
- Dowód dla QSA: konfiguracja skanera z poświadczeniami + wyniki
3. Pentest roczny (Wymaganie 11.4.2 + 11.4.1 od 31 marca 2025):
- Metodologia: musi być udokumentowana PRZED testem – nie tylko opisana w raporcie
- Zakres: sieć i warstwa aplikacji, CDE i testowanie segmentacji
- Tester: wymagana niezależność organizacyjna i udokumentowane kompetencje
- Raport: ze zidentyfikowaną metodologią, dowodem manualnego testowania, exploitami
4. Testowanie segmentacji (Wymaganie 11.4.4):
- Co roku minimum i po każdej zmianie segmentacji CDE
- Techniczna weryfikacja że ruch między CDE i non-CDE jest faktycznie blokowany
Kiedy TLPT (Threat-Led Penetration Testing) dla DORA?
DORA art. 26 wymaga Threat-Led Penetration Testing (TLPT) dla znaczących instytucji finansowych co najmniej raz na 3 lata. TLPT jest fundamentalnie innym testem niż standardowy pentest:
Standardowy pentest vs TLPT:
| Aspekt | Standardowy pentest | TLPT |
|---|---|---|
| Scope | Zdefiniowany z góry | Oparty na threat intelligence specyficznym dla instytucji |
| Podejście | Lista podatności | Symulacja rzeczywistego ataku zaawansowanego aktora |
| Środowisko | Może być test/staging | Systemy produkcyjne |
| Koordynacja | Z zespołem IT | Z regulatorem sektorowym (EBA/ESMA/EIOPA) |
| Czas trwania | 1-4 tygodnie | 3-6 miesięcy (przygotowanie + realizacja) |
TLPT realizowany jest przez akredytowanych Red Team providers według frameworku TIBER-EU lub krajowych odpowiedników. Jest to najtrudniejszy i najbardziej wymagający test bezpieczeństwa przewidziany przez regulacje EU.
Patronusec Insight: Raport z pentestów jest jednym z najczęściej odrzucanych dokumentów podczas audytu PCI DSS z powodu braków metodologicznych. Wymaganie 11.4.1 od 31 marca 2025 wymaga udokumentowanej metodologii (co, jak i czym testowano) – nie tylko wyników. Raport z narzędzia bez opisu manualnego testowania, bez dowodu exploitów i bez mapowania do metodyki (PTES, OWASP) będzie odrzucony przez QSA. Nasz zespół pentesterów z certyfikatami OSCP i CREST przygotowuje raporty specyficznie pod audyt QSA – bo jesteśmy i pentesterami, i QSA, i wiemy czego audytor szuka.
FAQ – Skany podatności vs pentesty
Czy skan ASV muszę przeprowadzać u zewnętrznej firmy?
Tak. Zewnętrzny skan kwartalny (Wymaganie 11.3.2) musi być przeprowadzony przez Approved Scanning Vendor z listy PCI SSC – nie możesz użyć własnego skanera do spełnienia tego wymagania. Dla skanów wewnętrznych (11.3.1) możesz używać własnych narzędzi pod warunkiem poprawnej konfiguracji uwierzytelnienia.
Co zrobić gdy skan ASV nie przechodzi (failing scan)?
Nieprzerywanie przez 90 dni failing scan = brak dowodów kwartalnych, co jest findingiem. Procedura: zidentyfikuj i zaremediuj podatności powodujące failing, przeprowadź rescan. QSA akceptuje historię „fail → remediation → pass” z udokumentowanym procesem remediacji.
Jak często powinienem skanować jeśli nie jestem zobligowany przez PCI DSS?
Best practice dla ISO 27001 i NIS2: skany zewnętrzne minimum co kwartał, skany wewnętrzne co miesiąc dla systemów krytycznych. Organizacje z dojrzałym programem skanują ciągle z alertami na nowe Critical CVE.
Czym różni się pentest black box od grey box i white box?
Black box: tester bez żadnej wiedzy o środowisku – symuluje zewnętrznego atakującego. Grey box: tester z częściową wiedzą (np. dokumentacja API, schemat sieci) – bardziej efektywny przy ograniczonym czasie. White box: tester z pełną wiedzą (kod źródłowy, dokumentacja, architektura) – najgłębsza analiza. PCI DSS 11.4 nie narzuca konkretnego podejścia – wymaga udokumentowanej metodologii obejmującej zarówno sieć jak i warstwę aplikacji.
Ile kosztują skany podatności i pentesty w Patronusec?
Skany ASV (4 kwartalne zewnętrzne): od ok. 1 500 EUR/rok dla standardowego środowiska. Skany wewnętrzne uwierzytelnione: wyceniane na podstawie liczby hostów i zakresu sieci. Pentesty: od ok. 5 000 EUR (mała aplikacja webowa) do kilkudziesięciu tysięcy EUR (duże środowisko CDE). Po bezpłatnej rozmowie scope-assessment przedstawiamy stałą wycenę z gwarantowanym terminem raportu.
Czy Patronusec może jednocześnie przeprowadzić pentest i audyt PCI DSS?
Tak – Patronusec ma zarówno zespół pentesterów (OSCP, CREST), jak i akredytację QSA. W praktyce: pentest jest realizowany przez zespół techniczny, a audyt PCI DSS przez QSA – to dwie niezależne funkcje. Raport z pentestów jest przygotowywany od razu z wiedzą o wymaganiach QSA (11.4.1), co eliminuje potrzebę jego korygowania przed audytem.
Skany podatności i pentesty – bezpłatna konsultacja
Patronusec jako akredytowany QSA z własnym zespołem pentesterów (OSCP, CREST) realizuje pełny program testowania bezpieczeństwa spełniający PCI DSS v4.0.1, DORA i ISO 27001.
W bezpłatnej 30-minutowej konsultacji pomożemy Ci:
- Ocenić czy Twoje aktualne skany są uwierzytelnione i spełniają 11.3.1.2 PCI DSS v4.0.1
- Zaplanować program testowania (skany + pentest + segmentacja) na cały rok certyfikacyjny
- Określić metodologię pentestów zgodną z Wymaganiem 11.4.1 dla Twojego środowiska
- Wycenić pakiet skanów ASV + wewnętrznych + pentestów w preferencyjnej cenie
Bezpłatna konsultacja | Testy penetracyjne | Skany podatności | Certyfikacja PCI DSS | vCISO
