Quanto costa un penetration test nel 2026?
Risposta breve: Un penetration test serio e con un perimetro ben definito, condotto da professionisti esperti, costa solitamente da circa $5.000 a $50.000, a seconda del perimetro. Le guide pubblicate stimano i test su applicazioni web tra $5.000 e $50.000 e i test su reti esterne tra $5.000 e $20.000, con tariffe giornaliere dei tester tra $1.000 e $3.000. Le scansioni automatizzate sono economiche ma non sono un pentest.
Ogni società di pentest risponde a questa domanda con "dipende", e la maggior parte si ferma lì, perché prezzi vaghi fanno comodo a chi vende. Dipende davvero, ma le fasce di prezzo sono conoscibili, e se stai acquistando il tuo primo test meriti di vederle prima che qualcuno ti fissi una chiamata. Eccole.
Le fasce di mercato, da fonti pubbliche
Non abbiamo inventato noi questi numeri, e non dovresti fidarti sulla parola di un singolo fornitore, compresi noi. Ecco due guide ai prezzi pubblicate da società di questo settore:
La guida ai costi dei pentest di Astra Security stima il costo medio di un penetration test tra $2.500 e $50.000, con test su applicazioni web compresi tra $5.000 e $50.000 a seconda della complessità. La guida ai prezzi di Bright Defense si attesta sulla stessa fascia: da $5.000 a $30.000 per un test su applicazione web, da $5.000 a $20.000 per un test su rete esterna, e tariffe giornaliere da $1.000 a $3.000 per i professionisti che eseguono il lavoro.
Leggendo un numero sufficiente di queste guide emerge un quadro coerente: un penetration test serio, con un perimetro definito per una singola applicazione o una rete esterna, condotto da persone esperte, parte da circa $5.000 e sale in base al perimetro. La maggior parte dei preventivi sul mercato è un multiplo di una tariffa giornaliera, e la tariffa giornaliera è elevata perché si tratta di competenze rare.
Cosa incide davvero sul prezzo
Quattro elementi influenzano un preventivo più di ogni altra cosa:
- Perimetro. Un'applicazione web con due ruoli utente richiede giorni di lavoro. Cinque app, un'API e un ambiente cloud richiedono settimane. Stai acquistando ore uomo, e il perimetro determina il monte ore.
- Profondità. "Trovare ciò che è esposto" è più economico rispetto a "concatenare le vulnerabilità per dimostrare l'impatto reale e provare cosa un attaccante potrebbe sottrarre". La seconda opzione è ciò che definisce un vero pentest.
- Requisiti di reportistica. Un report che deve soddisfare un auditor, un'assicurazione o il team di sicurezza di un cliente enterprise richiede il tempo di figure senior per essere scritto e difeso.
- Chi esegue il lavoro. Un tester junior che segue una checklist e un operatore senior che si è intromesso in ambienti protetti fatturano in modo molto diverso, e i risultati variano ancora di più delle fatture.
Come vengono preventivati i progetti completi
I progetti completi vengono preventivati in base al perimetro, perché fingere che un unico prezzo vada bene per qualsiasi ambiente porta i clienti a pagare troppo o a ricevere test insufficienti. Quando elaboriamo un preventivo, lo basiamo sullo stesso principio di qualsiasi società onesta: quanti giorni di lavoro senior occorrono realmente per il tuo perimetro.
Cosa non copre nemmeno un pentest completo
Anche la fascia più costosa ha limiti oggettivi, e le aziende che saltano questo paragrafo stanno cercando di venderti qualcosa. Un penetration test è un esercizio puntuale: fornisce informazioni sui sistemi nel perimetro, durante la finestra temporale del test, rispetto alle tecniche concordate nelle regole di ingaggio. Non è una garanzia, non copre l'applicazione che rilascerai il prossimo trimestre e non dice nulla sulle risorse che nessuno ha inserito nel perimetro. Quest'ultimo punto conta più di quanto la maggior parte degli acquirenti realizzi, ed è per questo che riteniamo che la spesa di sicurezza più utile ed economica sia innanzitutto conoscere la propria superficie esposta.
Come i clienti finiscono per pagare troppo
Si verificano continuamente due modalità di errore. La prima è pagare la cifra di un pentest per una semplice scansione di vulnerabilità rietichettata: uno strumento automatizzato eseguito, esportato e riformattato con un logo. Se il documento finale arriva in tempi sospettosamente rapidi e sembra un dump di un database, è proprio quello che è successo. La seconda è accettare l'offerta più bassa senza chiedere chi ci sia effettivamente alla tastiera. Il prezzo minimo di mercato per un vero lavoro senior è stabilito dalle tariffe giornaliere, quindi un preventivo molto al di sotto vi dice già qualcosa sul livello di esperienza che otterrete.
La difesa contro entrambi i problemi è la stessa: chiedere cosa sia manuale rispetto a cosa sia automatizzato, chiedere chi esegue e chi revisiona il lavoro, e chiedere di vedere un esempio di report anonimizzato prima di firmare.
In sintesi
I veri penetration test partono da circa $5.000 e crescono con il perimetro; le guide pubbliche sopra citate concordano su questo punto. Al di sotto di quella soglia si trovano scansioni e controlli, che sono strumenti legittimi con utilizzi validi, a patto che nessuno li spacci per quello che non sono.
Costo di un penetration test: risposte rapide
Quanto costa un penetration test?
La maggior parte dei test mirati eseguiti da tester esperti varia da circa $5.000 a $50.000 a seconda del perimetro. Le guide pubblicate stimano i test su applicazioni web tra $5.000 e $50.000 e i test su reti esterne tra $5.000 e $20.000, con tariffe giornaliere dei tester tra $1.000 e $3.000.
Perché il penetration testing è così costoso?
Il prezzo è legato principalmente al tempo di risorse umane qualificate. Le tariffe giornaliere sono elevate perché le competenze sono rare, e il totale sale in base al perimetro, quindi un obiettivo più ampio o complesso costa di più.
Qual è il modo più economico per testare la mia sicurezza?
Le scansioni automatizzate di vulnerabilità sono economiche o gratuite e vale la pena eseguirle regolarmente, ma una scansione non è un pentest. Usa una scansione per la copertura continua, un controllo per una prima analisi rapida e un penetration test completo quando hai bisogno di profondità.