คำถามแรกที่ลูกค้าเกือบทุกรายถามเราคือ “pentest ราคาเท่าไหร่” คำตอบตรง ๆ คือขึ้นอยู่กับขอบเขตงาน ระบบสองระบบที่ดูคล้ายกันอาจใช้เวลาทดสอบต่างกันหลายเท่า บทความนี้อธิบายว่าราคาการทดสอบเจาะระบบ (Penetration Testing) ถูกกำหนดจากอะไร เทียบใบเสนอราคาจากหลายเจ้าอย่างไรให้ยุติธรรม และควรเตรียมข้อมูลอะไรเพื่อให้ได้ใบเสนอราคาที่แม่นยำและเร็ว
ทำไมราคา pentest แต่ละเจ้าถึงต่างกันมาก
pentest เป็นงานของผู้เชี่ยวชาญ ผู้ให้บริการส่วนใหญ่จึงประเมินราคาจากจำนวนวันทำงานของผู้ทดสอบ (man-day) ที่ต้องใช้เพื่อทดสอบขอบเขตนั้นให้ครอบคลุม ใบเสนอราคาที่ต่างกันมากมักไม่ได้มาจากกำไรที่ต่างกัน แต่มาจากความลึกและขอบเขตที่แต่ละเจ้าตีความต่างกัน เจ้าหนึ่งอาจเสนอรันสแกนเนอร์แล้วส่งรายงาน อีกเจ้าเสนอให้ผู้เชี่ยวชาญทดสอบทุกฟังก์ชันด้วยมือ ทั้งสองแบบเรียกว่า “pentest” เหมือนกัน แต่ได้ผลลัพธ์คนละระดับ
9 ปัจจัยที่กำหนดราคา pentest
1. ประเภทของระบบที่ทดสอบ
เว็บแอปพลิเคชัน แอปมือถือ API โครงสร้างพื้นฐานเครือข่าย (ทั้งภายนอกและภายใน) cloud และอุปกรณ์ IoT ใช้ทักษะและเครื่องมือต่างกัน เช่น แอปมือถือที่มีทั้ง iOS และ Android ต้องทดสอบทั้งสองแพลตฟอร์ม รวมถึง API ฝั่ง backend ที่แอปเรียกใช้ ดูรายละเอียดแต่ละประเภทได้ที่หน้าบริการทดสอบเจาะระบบ
2. ขนาดและความซับซ้อนของระบบ
จำนวนหน้าและฟังก์ชัน จำนวนบทบาทผู้ใช้ (เช่น ลูกค้า พนักงาน ผู้อนุมัติ และผู้ดูแลระบบ) จำนวน API endpoint และจำนวน IP หรือเครื่องที่อยู่ในขอบเขต ล้วนมีผลกับเวลาทดสอบ ระบบที่มี business logic ซับซ้อน เช่น การชำระเงิน การโอนเงิน หรือขั้นตอนอนุมัติหลายชั้น ต้องใช้เวลามากกว่า เพราะช่องโหว่เชิงตรรกะแบบนี้สแกนเนอร์หาไม่เจอ ต้องใช้คนคิด
3. รูปแบบการทดสอบ: Black Box, Gray Box หรือ White Box
- Black Box: ผู้ทดสอบไม่ได้ข้อมูลอะไรเลย เหมือนผู้โจมตีภายนอก สมจริง แต่ใช้เวลาส่วนหนึ่งไปกับการค้นหาสิ่งที่องค์กรรู้อยู่แล้ว
- Gray Box: ได้บัญชีทดสอบและข้อมูลพื้นฐาน มักเป็นรูปแบบที่คุ้มที่สุด เพราะผู้ทดสอบเข้าถึงฟังก์ชันได้ครบในเวลาที่จำกัด
- White Box: ได้ซอร์สโค้ดหรือเอกสารออกแบบด้วย ใช้เวลามากขึ้น แต่พบช่องโหว่ได้ลึกและครบกว่า มักทำคู่กับการตรวจสอบซอร์สโค้ด
4. ความลึกของงาน: VA, Pentest หรือ Red Team
Vulnerability Assessment (VA) คือการสแกนหาช่องโหว่ที่รู้จักด้วยเครื่องมืออัตโนมัติ ใช้เวลาน้อยและราคาถูกกว่า Pentest คือการให้ผู้เชี่ยวชาญพิสูจน์ว่าช่องโหว่ใช้โจมตีได้จริง และเชื่อมต่อกันเป็นเส้นทางการโจมตีได้ ส่วน Red Teaming คือการจำลองผู้โจมตีจริงแบบมีเป้าหมาย ทดสอบทั้งคน กระบวนการ และเทคโนโลยี ใช้เวลานานที่สุด ก่อนเทียบราคา ให้ดูก่อนว่าใบเสนอราคาแต่ละใบเป็นงานระดับไหน
5. สภาพแวดล้อมและช่วงเวลาทดสอบ
การทดสอบบนระบบจริง (production) ต้องระวังมากกว่าและอาจต้องทำนอกเวลาทำการ การทดสอบเครือข่ายภายในอาจต้องเข้าไปทำที่สำนักงานของลูกค้า และงานที่ต้องเสร็จเร่งด่วนต้องจัดคนเพิ่ม ปัจจัยเหล่านี้มีผลกับการวางแผนและราคา
6. ข้อกำหนดด้าน compliance
ถ้าต้องใช้รายงานยื่นหน่วยงานกำกับหรือผู้ตรวจสอบ เช่น ธปท. ก.ล.ต. PCI DSS หรือ ISO 27001 รายงานอาจต้องมีรูปแบบหรือเนื้อหาตามที่ข้อกำหนดนั้นระบุ ควรแจ้งตั้งแต่ตอนขอใบเสนอราคา เพื่อให้วางขอบเขตได้ถูกตั้งแต่แรก
7. การทดสอบซ้ำ (Retest)
หลังทีมของคุณแก้ช่องโหว่แล้ว ควรมีการทดสอบซ้ำเพื่อยืนยันว่าแก้ได้จริง บางใบเสนอราคารวม retest ไว้แล้ว บางใบคิดแยก เวลาเทียบราคาต้องดูข้อนี้ด้วย งาน pentest ของ MAYASEVEN รวมการทดสอบซ้ำไว้แล้ว
8. ความถี่และจำนวนระบบต่อปี
องค์กรที่ต้องทดสอบหลายระบบ หรือทดสอบเป็นประจำทุกปี สามารถวางแผนงานล่วงหน้าเป็นสัญญารายปีได้ ช่วยให้จัดตารางทีมได้ต่อเนื่อง และทีมที่ทดสอบซ้ำจะเข้าใจระบบของคุณดีขึ้นทุกรอบ
9. รูปแบบรายงานและการนำเสนอ
รายงานภาษาไทย ภาษาอังกฤษ หรือทั้งสองภาษา บทสรุปสำหรับผู้บริหาร และการนำเสนอผลต่อคณะกรรมการ เป็นงานที่ต้องใช้เวลาเพิ่ม ควรระบุให้ชัดว่าต้องการอะไรบ้าง
เทียบใบเสนอราคาอย่างไรให้ยุติธรรม
ก่อนเลือกจากราคาที่ต่ำที่สุด ให้ถามคำถามเหล่านี้กับทุกเจ้า
- ขอบเขตตรงกันไหม (ระบบ ฟังก์ชัน บทบาทผู้ใช้ และ IP เท่ากัน)
- ใช้ผู้ทดสอบกี่คน กี่วันทำงาน
- ทดสอบด้วยมือหรือแค่รันสแกนเนอร์ ขอดูตัวอย่างรายงานที่ปิดข้อมูลลูกค้าแล้ว
- ใครเป็นผู้ทดสอบจริง และมีใบรับรองอะไร
- รวมการทดสอบซ้ำไหม
- เก็บและส่งข้อมูลของคุณอย่างไร ถ้าใช้ AI ช่วย ข้อมูลถูกส่งไปยังผู้ให้บริการโมเดลภายนอกหรือไม่
ดูรายการคำถามแบบละเอียดได้ในบทความ วิธีเลือกบริษัท Pentest: 10 คำถามที่ต้องถามก่อนจ้าง
สัญญาณเตือนของ pentest ราคาถูกผิดปกติ
- รายงานคือผลลัพธ์จากเครื่องมือสแกน ไม่มีขั้นตอนพิสูจน์ (proof of concept)
- ทดสอบเสร็จภายในไม่กี่ชั่วโมง ทั้งที่ระบบมีหลายฟังก์ชันและหลายบทบาทผู้ใช้
- ไม่ระบุชื่อหรือคุณสมบัติของผู้ทดสอบ
- ไม่มีการทดสอบซ้ำ หรือไม่พูดถึงการยืนยันผลการแก้ไขเลย
- รายงานไม่มีคะแนนความรุนแรง (เช่น CVSS) หรือคำแนะนำการแก้ไขที่ทำได้จริง
รายงานที่ไม่พบอะไรเพราะทดสอบไม่ลึกพอ อันตรายกว่าการไม่ทดสอบเลย เพราะทำให้องค์กรเชื่อว่าระบบปลอดภัยแล้ว
เตรียมข้อมูลอะไรเพื่อขอใบเสนอราคา
ยิ่งข้อมูลครบ ใบเสนอราคายิ่งแม่นยำและได้เร็ว
- รายการระบบที่ต้องการทดสอบ เช่น URL ของเว็บ ชื่อแอปมือถือ (iOS/Android) หรือช่วง IP
- จำนวนบทบาทผู้ใช้ และฟังก์ชันสำคัญ เช่น การชำระเงินหรือการอนุมัติ
- จำนวน API endpoint โดยประมาณ หรือเอกสาร API ที่มีอยู่
- รูปแบบที่ต้องการ (black box, gray box หรือ white box) และสภาพแวดล้อมที่จะทดสอบ (UAT หรือ production)
- กำหนดเวลาที่ต้องได้รายงาน
- เหตุผลที่ต้องทดสอบ เช่น ข้อกำหนดของหน่วยงานกำกับ การตรวจ ISO 27001 หรือการเปิดตัวระบบใหม่
ถ้ายังมีข้อมูลไม่ครบก็ไม่เป็นไร ทีมของเราช่วยกำหนดขอบเขตร่วมกับคุณได้
ปี 2569: ได้ Netwalker ช่วยหาช่องโหว่เพิ่ม โดยไม่คิดเงินเพิ่ม
ลูกค้าที่จ้าง MAYASEVEN ทำ pentest ในปี 2569 ทีมของเราจะใช้ Netwalker AI pentest agent ที่รันบน GPU ของเราเอง ช่วยค้นหาช่องโหว่เพิ่มให้ โดยไม่คิดค่าใช้จ่ายเพิ่ม ทุกช่องโหว่ยังผ่านการตรวจซ้ำโดยผู้เชี่ยวชาญก่อนส่งรายงาน
คำถามที่พบบ่อย
ทำไม MAYASEVEN ไม่แสดงราคาบนเว็บไซต์
เพราะขอบเขตของแต่ละองค์กรต่างกันมาก ราคาเดียวสำหรับทุกระบบจะทำให้ระบบเล็กจ่ายแพงเกินไป หรือระบบใหญ่ถูกทดสอบไม่ครบ เราจึงคุยขอบเขตกับคุณก่อน แล้วส่งใบเสนอราคาที่ตรงกับระบบจริง ผู้เชี่ยวชาญตอบกลับภายใน 1 วันทำการ
pentest ใช้เวลานานแค่ไหน
ขึ้นกับขอบเขตเช่นเดียวกับราคา ระบบเล็กที่มีฟังก์ชันไม่มากใช้เวลาไม่กี่วันทำงาน ส่วนระบบขนาดใหญ่หรือหลายระบบพร้อมกันอาจใช้หลายสัปดาห์ ระยะเวลาที่แน่นอนจะระบุไว้ในใบเสนอราคา
ควรทำ pentest บ่อยแค่ไหน
โดยทั่วไปควรทำอย่างน้อยปีละครั้ง และทุกครั้งที่มีการเปลี่ยนแปลงสำคัญ เช่น เปิดตัวระบบใหม่ หรือเพิ่มฟังก์ชันที่เกี่ยวกับเงินหรือข้อมูลส่วนบุคคล องค์กรที่อยู่ภายใต้การกำกับอาจมีข้อกำหนดเรื่องความถี่ของตัวเอง เช่น สถาบันการเงินต้องทดสอบระบบ Internet facing อย่างน้อยปีละ 1 ครั้ง ดูรายละเอียดในเกณฑ์ pentest ของ ธปท.
