Если с точки зрения "имет ли смысл это заказывать", то при внешнем пентесте норальный пентестер обычно уже в течение одной рабочей недели получает полный контроль над ЛВС заказчика. Это как бы говоррит о том, что уровень защищенности российских компаний болтается в районе плинтуса. Причем, судя по тому, как заказчики удивляются результатам, многим даже в голову не приходит, насколько легко взломать их информационые системы.
Если смотреть по количеству заказов, то в этом году какой-то бум. Вплоть до того, что заказами на анализ защищенности своих порталов обращаются ИЧП и прочий малый бизнес, которым, как мне раньше казалось, стоимость подобных услуг не по карману.
Правда, тут есть нюанс - на рынке много фрилансеров, знающих один-два трюка и впадающих в ступор, если эти трюки не срабатывают. В результате гугл легко находит примеры отчетов типа "мы вам тут троянчика подбросили, ваши пользовтели его запустили, так что у вас с безопасностью все плохо" :) Правда, заказчик нынче пошел грамотный, и требует не просто найти уязвимости и что-то там проэксплуатировать, а провести полноценный анализ рисков с идентификацией и оценкой возможных ущербов. Это ставит достаточно высокую планку для не очень компетентных исполнителей.
