วางงบ Pentest ในไทย — ปัจจัยกำหนดราคาและวิธีเทียบใบเสนอราคา

คำถามที่พบบ่อยที่สุดจากองค์กรที่ต้องการทดสอบเจาะระบบ (Penetration Testing) คือ “ราคาเท่าไร?” — คำตอบคือ “ขึ้นอยู่กับหลายปัจจัย” แต่บทความนี้จะช่วยให้คุณจัดโครงสร้างงบและคำถามสำหรับขอใบเสนอราคา เพื่อเตรียมงบประมาณได้อย่างเหมาะสม

ตั้งงบจากขอบเขต ไม่ใช่ตัวเลขตลาดที่ยืนยันไม่ได้

บทความนี้ ไม่ใช่ผลสำรวจตลาดไทย และไม่ใช่ใบเสนอราคาของ ITSL ยังไม่มีชุดข้อมูลที่ระบุจำนวนผู้ให้บริการ วันที่เก็บราคา และ scope เทียบเคียงกันเพียงพอที่จะสรุปอัตรารายวันตามขนาดบริษัท

ให้ขอรายละเอียดจำนวน man-days บทบาทผู้ทดสอบ เวลาจัดทำรายงาน และสิ่งที่รวมในราคาแต่ละรายการ ราคาของผู้ให้บริการต่างประเทศไม่สามารถยืนยันอัตราตลาดไทยได้โดยตรง การเปรียบเทียบต้องคำนึงถึงขอบเขต ภาษี อัตราแลกเปลี่ยน และรูปแบบบริการด้วย

7 ปัจจัยที่กำหนดราคา Pentest

1. ขอบเขตงาน (Scope)

จำนวน Endpoints, จำนวน User Roles, จำนวน Web Applications หรือ API Endpoints ที่ต้องทดสอบ — ยิ่งมากราคายิ่งสูง เช่น Web App ที่มี 5 User Roles จะใช้เวลามากกว่า App ที่มี Role เดียว

2. ประเภทการทดสอบ (Test Type)

ประเภทการทดสอบที่ต่างกันมีระดับความซับซ้อนไม่เท่ากัน ตั้งแต่ Vulnerability Assessment (VA) ที่ใช้เวลาน้อย ไปจนถึง Red Team ที่อาจใช้เวลาหลายสัปดาห์

3. แนวทางการทดสอบ (Approach)

Black Box — ผู้ทดสอบไม่มีข้อมูลระบบล่วงหน้า ใช้เวลา Reconnaissance มาก
Grey Box — ได้รับ Credentials และข้อมูลบางส่วน เป็นแนวทางที่นิยมที่สุด
White Box — ได้รับ Source Code และเอกสาร ทดสอบเชิงลึกที่สุด

4. ระยะเวลาโปรเจกต์

โปรเจกต์เร่งด่วนอาจมีค่าใช้จ่ายเพิ่มจากการจัดทีมและช่วงเวลาทำงาน ขอให้ผู้ให้บริการแยกรายการ ไม่ใช้อัตราบวกเพิ่มตายตัวโดยไม่มีใบเสนอราคา

5. การทดสอบซ้ำ (Retest)

Retest ใช้ยืนยันการแก้ช่องโหว่ตามรายการและ scope ที่ตกลง ต้องถามจำนวนรอบ ช่วงเวลาที่ใช้สิทธิ และค่าบริการแยก ไม่สมมติว่ารวมหรือไม่มีค่าใช้จ่าย

6. ข้อกำหนดด้าน Compliance

การทดสอบที่ต้องสอดคล้องกับมาตรฐาน เช่น PCI DSS, ธปท. หรือ ก.ล.ต. จะต้องใช้ Methodology เฉพาะ มีรายงานที่ละเอียดกว่าปกติ และอาจต้องมี Attestation Letter

7. ความเชี่ยวชาญเฉพาะทาง

การทดสอบที่ต้องใช้ความเชี่ยวชาญพิเศษ เช่น ICS/SCADA, SAP, IoT หรือ Blockchain จะมีราคาสูงกว่าการทดสอบ Web Application ทั่วไป

ข้อมูล scope และรายการที่ต้องถามก่อนขอราคา

ITSL ยังไม่แสดงราคาหรือช่วงราคาอัตโนมัติบนเว็บไซต์ ให้ใช้ข้อมูล scope เพื่อหารือกับทีม แล้วรับใบเสนอราคาที่ระบุสิ่งส่งมอบและเงื่อนไขงานอย่างชัดเจน ไม่ต้องกรอกอีเมลเพื่อใช้เครื่องมือเตรียม scope

สำหรับ Web app ต้องตกลง features และ user roles ก่อนเริ่ม ขอให้ระบุในใบเสนอราคาว่าส่วนใดครอบคลุมการทดสอบและรายงาน รวม retest ค่าเดินทาง งานนอกเวลา หรือบริการต่อเนื่องหรือไม่ พร้อมแยก VAT และยอดรวมสุทธิ

ประเภทงาน	ข้อมูลที่ควรส่งให้ผู้ประเมินราคา
VA	จำนวน assets ช่วงสแกน การยืนยันผล และรูปแบบรายงาน
Web Application	Features, roles, business workflows, integrations
Mobile	iOS/Android, build ที่ทดสอบ และ backend/API ที่รวมอยู่
API	Endpoint inventory, authentication, roles และ API documentation
Internal / External Network	IP ranges, services, AD scope, VPN/on-site access
Red Team	วัตถุประสงค์ attack paths ที่อนุญาต ระยะเวลา และข้อจำกัดด้านความปลอดภัย
Wi-Fi	สถานที่ SSIDs อุปกรณ์ และเวลาที่อนุญาตให้ทดสอบ

ตารางนี้เป็น checklist จัด scope ไม่ใช่จำนวนวันขั้นต่ำที่กฎหมายกำหนดหรือคำรับรองว่าทุกงานใช้เวลาเท่ากัน

ทำไมราคาถูกมากอาจไม่ใช่สิ่งที่ดี

เมื่อเห็นใบเสนอราคาที่ต่างกันมาก ควรตั้งคำถามว่า:

ใช้แค่ Automated Scanner หรือมีการทดสอบเชิงลึก? — เปรียบเทียบ manual validation, exploitation ที่อนุญาต และ business logic testing อย่าตัดสินคุณภาพจากราคาอย่างเดียว
ผู้ทดสอบมีประสบการณ์เพียงพอหรือไม่? — Junior Tester กับ Senior Tester ให้ผลลัพธ์ที่แตกต่างกันมาก
รายงานมีคุณภาพหรือไม่? — รายงานที่ดีต้องมี Proof of Concept (PoC) ขั้นตอนการ Reproduce และคำแนะนำการแก้ไขที่ชัดเจน
มี Retest รวมหรือไม่? — การไม่มี Retest เท่ากับไม่รู้ว่าช่องโหว่ที่แก้ไขแล้วหายจริงหรือเปล่า

การลงทุนควรพิจารณาความเสี่ยงและผลทดสอบที่นำไปแก้ไขได้ ไม่ใช้ค่า breach เฉลี่ยหารด้วยราคาทดสอบแล้วอ้างเป็น ROI ที่รับประกัน ต้องมีข้อมูลโอกาสเกิดเหตุ ผลกระทบ และต้นทุนรวมขององค์กรก่อนวิเคราะห์ผลตอบแทน

วิธีเปรียบเทียบราคาอย่างแฟร์

เมื่อได้รับใบเสนอราคาจากหลายผู้ให้บริการ ให้เปรียบเทียบด้วยเกณฑ์ต่อไปนี้:

✅ Scope เดียวกัน

ตรวจสอบว่าทุกใบเสนอราคาครอบคลุม Scope เดียวกัน — จำนวน Application, Endpoint, User Roles, และ IP Range

✅ Methodology เดียวกัน

ถามว่าใช้ Methodology อะไร — OWASP Testing Guide, PTES, NIST SP 800-115 หรือ Custom Methodology และใช้ Manual Testing กี่เปอร์เซ็นต์

✅ Deliverables เทียบเท่ากัน

รายงานมีอะไรบ้าง? มี Executive Summary สำหรับผู้บริหาร, Technical Details สำหรับทีม IT, CVSS Scoring, CWE Mapping หรือไม่?

✅ ทีมงานที่มอบหมาย

ถามว่าจะมอบหมายใครมาทำ — มี Certification อะไร (OSCP, CREST, CEH) ประสบการณ์กี่ปี

✅ รวม Retest หรือไม่

ระบุให้ชัดว่า retest รวมในราคาหรือคิดเพิ่ม ครอบคลุมกี่รอบ/รายการ และทำได้ภายในกี่วัน ไม่ถือว่าทุกงานมี retest ฟรี

✅ เปรียบเทียบ Man-Day Rate

หารราคาทั้งหมดด้วยจำนวน Man-Days เพื่อเปรียบเทียบ Unit Rate ที่แท้จริง

สรุป — วางแผนงบ Pentest อย่างไร

กำหนด Scope ให้ชัดเจน ก่อนขอใบเสนอราคา
ขอใบเสนอราคาอย่างน้อย 3 ราย เพื่อเปรียบเทียบ
อย่าเลือกราคาถูกที่สุดเสมอ — คุณภาพของผู้ทดสอบและรายงานสำคัญกว่า
รวมงบ Retest ไว้ในแผนตั้งแต่แรก
เปรียบเทียบงานรายครั้งกับโปรแกรมต่อเนื่อง — ขอ scope ความถี่ และค่าใช้จ่ายรวมทั้งปี ไม่สมมติว่าโปรแกรมรายปีคุ้มกว่าสำหรับทุกองค์กร

หากต้องการใบเสนอราคา Pentest พร้อม Scope ที่ชัดเจน ดู ข้อมูลเตรียมขอใบเสนอราคา หรือใช้ เครื่องมือเตรียม scope ตามองค์กร โดยไม่ต้องกรอกอีเมล และอ่าน คู่มือเตรียมตัวก่อน Pentest เพื่อเตรียมองค์กรให้พร้อม

ขอบเขตของแนวทางนี้

แนวทางกำหนด scope และเปรียบเทียบใบเสนอราคาเป็นคำแนะนำของบรรณาธิการ ITSL ไม่ได้ยืนยันอัตราตลาดไทยจากแหล่ง vendor ต่างประเทศ และไม่ใช่ผล ROI จากลูกค้า ขอใบเสนอราคาจริงที่ระบุ scope รายงาน retest และ VAT ก่อนตัดสินใจ