English  ·  Ελληνικά

Ασφάλεια  ·  Οδηγός Αγοραστή  ·  Σεπτέμβριος 2026

Τι Είναι — και Τι Δεν Είναι
ένα Penetration Test

Ένας οδηγός αγοραστή για επιχειρηματίες: τι περιλαμβάνει ένα πραγματικό pentest, γιατί μια αναφορά αυτόματης σάρωσης δεν είναι pentest, τι θα έπρεπε πραγματικά να παραλάβετε, και τι να ρωτήσετε πριν πληρώσετε.

---

Όλο και περισσότερες επιχειρήσεις στην Κρήτη ακούν ότι «χρειάζονται pentest» — από συνεργάτες, από ασφαλιστές, από απαιτήσεις πελατών. Λίγοι όμως έχουν δει κάποιον να εξηγεί τι πραγματικά είναι, τι παραλαμβάνετε στο τέλος, και πώς να ξεχωρίσετε ένα πραγματικό penetration test από ένα PDF τυπωμένο από ένα αυτόματο εργαλείο. Ας τα βάλουμε σε μια σειρά.

Τι είναι

Ένα penetration test είναι μια ελεγχόμενη, εξουσιοδοτημένη επίθεση στα συστήματά σας από επαγγελματία, με γραπτή σας άδεια και συμφωνημένα όρια. Ο ελεγκτής προσπαθεί να κάνει ό,τι θα έκανε ένας πραγματικός επιτιθέμενος — να μπει στο δίκτυο, να φτάσει στα δεδομένα, να παρακάμψει τους ελέγχους — και καταγράφει ακριβώς πώς τα κατάφερε, ώστε να κλείσετε τα κενά προτού τα βρει κάποιος με άλλες προθέσεις.

Τι ΔΕΝ είναι

Εδώ κάνει τη μεγαλύτερη ζημιά η αγορά:

• Δεν είναι μια αυτόματη σάρωση. Υπάρχουν εργαλεία που σαρώνουν ένα δίκτυο και βγάζουν μια αναφορά 80 σελίδων. Χρήσιμα ως πρώτο βήμα — αλλά αν ο «πάροχος» απλώς σας δώσει την έξοδο του εργαλείου με το λογότυπό του, δεν αγοράσατε pentest· αγοράσατε μια εκτύπωση.
• Δεν είναι το antivirus ή το firewall σας. Αυτά είναι άμυνες. Το pentest είναι ο έλεγχος του αν οι άμυνες δουλεύουν.
• Δεν είναι εγγύηση. Κανένας σοβαρός επαγγελματίας δεν υπογράφει «είστε 100% ασφαλείς». Ένα pentest δείχνει τι βρέθηκε μέσα σε συγκεκριμένο χρόνο και εύρος — όχι ότι δεν υπάρχει τίποτα.

Πώς λειτουργεί στην πράξη

1. Καθορισμός εύρους (scoping): τι ελέγχεται (το e-shop; το δίκτυο του ξενοδοχείου; το Wi-Fi;), πότε, και τι είναι εκτός ορίων. Υπογεγραμμένο και από τις δύο πλευρές.
2. Ο έλεγχος: συνήθως λίγες ημέρες. Ένας καλός ελεγκτής συνδυάζει εργαλεία με χειροκίνητη δουλειά — τα σοβαρά ευρήματα σπάνια τα βρίσκει το εργαλείο μόνο του.
3. Η αναφορά: το πραγματικό προϊόν. Κάθε εύρημα με βαθμό σοβαρότητας, αποδείξεις και — το πιο κρίσιμο — σαφείς οδηγίες αποκατάστασης σε γλώσσα που καταλαβαίνετε κι εσείς κι ο τεχνικός σας.
4. Επανέλεγχος (retest): αφού διορθώσετε, ο ελεγκτής επιβεβαιώνει ότι τα κενά έκλεισαν. Χωρίς αυτό, η αναφορά μένει μια λίστα ευχών.

Πότε το χρειάζεστε

Πριν τη σεζόν αν είστε στον τουρισμό· μετά από μεγάλες αλλαγές (νέο e-shop, νέο δίκτυο, τηλεργασία)· αν διαχειρίζεστε κάρτες ή ευαίσθητα δεδομένα (κλινικές, λογιστικά γραφεία)· ή όταν το απαιτούν συμβόλαια και ασφαλιστές. Για τις περισσότερες μικρομεσαίες, μία φορά τον χρόνο συν έναν επανέλεγχο είναι ένας ρεαλιστικός ρυθμός.

Τι να ρωτήσετε πριν πληρώσετε

• «Μπορώ να δω ένα δείγμα αναφοράς;» (ανωνυμοποιημένο — αν δεν έχουν, φύγετε)
• «Περιλαμβάνεται επανέλεγχος στην τιμή;»
• «Τι θα κάνετε χειροκίνητα και τι με εργαλεία;»
• «Υπογράφουμε NDA και γραπτό εύρος πριν ξεκινήσετε;»
• «Ποιο είναι το υπόβαθρό σας — πιστοποιήσεις, προφίλ, προηγούμενες αναθέσεις;»

Κόκκινες σημαίες: υποσχέσεις «απόλυτης ασφάλειας», τιμή χωρίς ούτε μία ερώτηση για το περιβάλλον σας, άρνηση να δώσουν δείγμα αναφοράς, και «έλεγχοι» που τελειώνουν μέσα σε μία ώρα.