Testy penetracyjne dla projektów unijnych
MKM Labs wykonuje testy penetracyjne (pentesty) aplikacji webowych, API, aplikacji mobilnych i infrastruktury w projektach finansowanych z Funduszy Europejskich i KPO. Prowadzimy cały proces od A do Z: od analizy umowy o dofinansowanie i regulaminu naboru, przez testy i raport z oceną CVSS, po retest i dokumenty do odbioru systemu. Testy realizujemy zgodnie z wymaganiami ISO/IEC 27001, a firma działa w certyfikowanym systemie zarządzania jakością ISO 9001:2015.
Projekty unijne
Kiedy projekt z dofinansowaniem potrzebuje pentestu
Projekty cyfrowe z Funduszy Europejskich na Rozwój Cyfrowy (FERC), Funduszy Europejskich dla Nowoczesnej Gospodarki (FENG), Krajowego Planu Odbudowy (KPO) i regionalnych programów Funduszy Europejskich kończą się systemem, który trzeba odebrać, utrzymać i obronić podczas kontroli. Raport z testów penetracyjnych dokumentuje, jak system wypadł w testach bezpieczeństwa w uzgodnionym zakresie, i trafia do dokumentacji projektu.
Wymóg z umowy lub regulaminu naboru. Zanim zaproponujemy zakres, czytamy Waszą umowę o dofinansowanie, wniosek i regulamin. Testujemy to, czego wymaga projekt.
Odbiór systemu od wykonawcy. Pentest przed podpisaniem protokołu odbioru pokazuje, jakie podatności ma dostarczony system, zanim zapłacicie ostatnią transzę.
Kontrola i trwałość projektu. Raport i retest dokumentują należytą staranność na wypadek kontroli instytucji pośredniczącej i w okresie trwałości projektu.
Dane osobowe i RODO. E-usługi przetwarzają dane klientów lub mieszkańców, a art. 32 RODO wymaga regularnego testowania skuteczności zabezpieczeń. Pentest to praktyczny sposób, żeby to wykazać.
Zakres testów
Co testujemy
Zakres dopasowujemy do systemu, który powstał w projekcie: od pojedynczego portalu e-usług po platformę z aplikacją mobilną, API i integracjami. Łączymy testy automatyczne z ręczną analizą, bo najgroźniejsze błędy w logice biznesowej i uprawnieniach znajduje człowiek, nie skaner.
Aplikacje webowe i portale e-usług
Uwierzytelnianie, autoryzacja i sesje, logika biznesowa, formularze i przesyłanie plików. Pokrycie OWASP Top 10 i metodyki OWASP WSTG.
API i integracje
REST i GraphQL, tokeny, dostęp do cudzych danych między kontami, integracje z systemami zewnętrznymi. Według OWASP API Security Top 10.
Aplikacje mobilne
Android i iOS według OWASP MASTG i MASVS: przechowywanie danych na urządzeniu, komunikacja z serwerem i backend aplikacji.
Infrastruktura
Usługi wystawione do internetu, konfiguracja serwerów i TLS, panele administracyjne, a przy testach wewnętrznych także segmentacja sieci.
Retest po poprawkach
Po naprawach sprawdzamy ponownie każdą zgłoszoną podatność i wydajemy raport z retestu, który pokazuje stan systemu po poprawkach.
Usunięcie podatności
Jesteśmy software housem. Jeśli wykonawca systemu nie może poprawić błędów, poprawki może przygotować nasz zespół deweloperski.
Proces od A do Z
Jak prowadzimy pentest krok po kroku
Bierzemy na siebie cały proces, łącznie z dokumentami. Po Waszej stronie zostaje dostęp do systemu, kontakt techniczny i decyzja o poprawkach.
- Analiza dokumentów projektuPrzeglądamy umowę o dofinansowanie, wniosek, regulamin naboru i specyfikację systemu. Ustalamy, czego oczekuje instytucja i co trzeba przetestować.
- Zakres, harmonogram i upoważnienieSpisujemy zakres testów, zasady, okno czasowe i kontakty awaryjne. Podpisujemy umowę o poufności i pisemne upoważnienie do testów.
- Testy penetracyjneTesty w modelu black box, grey box lub white box, zależnie od wymagań. Preferujemy środowisko testowe odpowiadające produkcji.
- Raport z oceną CVSSKażda podatność z dowodem, oceną krytyczności CVSS, opisem ryzyka i rekomendacją naprawy. Wyniki omawiamy z Wami i z wykonawcą.
- Poprawki i retestWykonawca lub nasz zespół usuwa podatności, a my sprawdzamy każdą z nich ponownie i wydajemy raport z retestu.
- Dokumenty do projektuRaport końcowy, raport z retestu i oświadczenie o przeprowadzeniu testów, gotowe do dołączenia do protokołu odbioru i dokumentacji projektu.
Metodyka
Zgodnie z ISO/IEC 27001 i uznanymi metodykami
ISO/IEC 27001 to norma systemu zarządzania bezpieczeństwem informacji, a nie instrukcja wykonania pentestu. Dlatego testy planujemy i dokumentujemy pod zabezpieczenia z załącznika A normy ISO/IEC 27001:2022, a technicznie wykonujemy je według otwartych, uznanych metodyk. Raport możecie wykorzystać jako dowód w swoim systemie zarządzania bezpieczeństwem informacji.
Zarządzanie podatnościami technicznymi: wykrycie podatności, ocena ryzyka i plan ich usunięcia.
Testy bezpieczeństwa w procesie wytwarzania i odbioru systemu, czyli dokładnie moment, w którym kończy się projekt.
Metodyki testów aplikacji webowych i mobilnych. OWASP ASVS służy jako lista wymagań, które weryfikujemy.
Fazy testu od rozpoznania po raport oraz jednolita skala krytyczności podatności.
Rezultat
Co dostajecie po pentescie
Dokumenty piszemy tak, żeby zrozumiał je zarząd, zespół techniczny i opiekun projektu w instytucji. Nie oddajemy surowego wyniku ze skanera.
Poziom ryzyka, najważniejsze wnioski i rekomendacje w prostym języku.
Każda podatność: opis, dowód, ocena CVSS, wpływ na system i konkretna rekomendacja naprawy.
Raport z retestu i oświadczenie o przeprowadzeniu testów do protokołu odbioru.
Wycena
Wycena i zapytanie ofertowe
Testy penetracyjne kosztują od 10 000 zł netto. Ostateczna cena zależy od liczby aplikacji, ról użytkowników, punktów końcowych API i adresów IP. Dokładną wycenę przygotowujemy po krótkiej rozmowie i przeglądzie zakresu. Jeśli zamówienie w projekcie podlega zasadzie konkurencyjności, odpowiadamy na zapytanie ofertowe opublikowane w Bazie Konkurencyjności i przygotowujemy ofertę zgodną z jego wymaganiami. O tym, czy koszt pentestu jest kwalifikowalny, decydują umowa o dofinansowanie i regulamin naboru. Pomożemy to sprawdzić, ale nie składamy obietnic w imieniu instytucji.
Dlaczego MKM Labs
Jeden partner od dokumentów po retest
ISO 9001:2015 nr 17489
Pracujemy w certyfikowanym systemie zarządzania jakością (QS Zürich AG), według udokumentowanych procedur. Audyt recertyfikacyjny z 15.07.2026 zakończył się wynikiem zero niezgodności. Zobacz certyfikat.
Budujemy to, co testujemy
Sami projektujemy i wdrażamy aplikacje webowe, systemy CRM/ERP i aplikacje mobilne. Wiemy, gdzie powstają błędy, i umiemy je naprawić.
Bez przerzucania między firmami
Analiza dokumentów, testy, raport, poprawki i retest u jednego partnera. Jeden kontakt przez cały projekt.
Testy penetracyjne
FAQ
Osiem pytań o obowiązek pentestu, koszty kwalifikowalne, ISO 27001, cenę, czas, bezpieczeństwo testów i zapytania ofertowe.
Obowiązek testów penetracyjnych w projekcie z dofinansowaniem UE nie wynika z jednego przepisu, tylko z dokumentów konkretnego projektu: umowy o dofinansowanie, regulaminu naboru, wniosku albo specyfikacji systemu. W projektach e-usług i systemów, które przetwarzają dane osobowe, pentest jest też praktycznym sposobem spełnienia art. 32 RODO, który wymaga regularnego testowania skuteczności zabezpieczeń. Przed wyceną sprawdzamy, czego wymagają Wasze dokumenty.
O tym, czy koszt pentestu jest kwalifikowalny, decydują umowa o dofinansowanie, regulamin naboru i budżet zatwierdzony we wniosku. W wielu projektach cyfrowych usługi bezpieczeństwa można ująć w budżecie, ale nie jest to regułą. Pomagamy to sprawdzić w dokumentach, nie składamy jednak obietnic w imieniu instytucji pośredniczącej.
MKM Labs posiada certyfikat ISO 9001:2015 nr 17489 wydany przez QS Zürich AG, czyli certyfikowany system zarządzania jakością. Normę ISO/IEC 27001:2022 stosujemy jako ramę testów: planujemy i dokumentujemy je pod zabezpieczenia z załącznika A, przede wszystkim A.8.8 (zarządzanie podatnościami technicznymi) i A.8.29 (testy bezpieczeństwa w wytwarzaniu i odbiorze). Raport możecie wykorzystać jako dowód w swoim systemie zarządzania bezpieczeństwem informacji.
Testy penetracyjne w MKM Labs kosztują od 10 000 zł netto. Ostateczna cena zależy od zakresu: liczby aplikacji i ról użytkowników, liczby punktów końcowych API, aplikacji mobilnych i adresów IP infrastruktury. Dokładną wycenę przygotowujemy po krótkiej rozmowie i przeglądzie zakresu, a przy zasadzie konkurencyjności w formie oferty na zapytanie ofertowe.
Czas testów penetracyjnych zależy od wielkości systemu i ustalamy go razem z zakresem. Harmonogram dopasowujemy do terminu odbioru lub rozliczenia projektu. Najlepiej zgłosić się z wyprzedzeniem, żeby przed odbiorem zostało miejsce na poprawki i retest.
Ryzyko ograniczamy ustaleniami przed startem: testy prowadzimy w uzgodnionym oknie czasowym, z kontaktem awaryjnym po obu stronach, a testów przeciążeniowych nie wykonujemy bez Waszej wyraźnej zgody. Jeśli to możliwe, testujemy na środowisku testowym, które odpowiada produkcji.
Tak. Jeśli zamówienie pentestu w Waszym projekcie podlega zasadzie konkurencyjności, odpowiadamy na zapytanie ofertowe opublikowane w Bazie Konkurencyjności i przygotowujemy ofertę zgodną z jego wymaganiami. Możemy też wcześniej omówić zakres, żeby opis przedmiotu zamówienia był kompletny.
Każdą podatność opisujemy z dowodem, oceną CVSS i rekomendacją naprawy, a wyniki omawiamy z Wami i z wykonawcą systemu. Podatności usuwa wykonawca albo nasz zespół deweloperski. Po poprawkach wykonujemy retest i wydajemy raport, który pokazuje stan systemu po naprawach.