Starea testării de penetrare în 2025: De ce validarea securității bazată pe IA este acum un imperativ strategic

Raportul 2025 State of Pentesting Survey Report de la Pentera prezintă o imagine izbitoare a unui peisaj de securitate cibernetică asediat – și care evoluează rapid. Acesta nu este doar un articol despre apărarea granițelor digitale; este o schiță a modului în care întreprinderile își transformă abordarea securității, condusă de automatizare, instrumente bazate pe IA și presiunea neîncetată a amenințărilor din lumea reală.

Încălcări persistente, în ciuda unor stive de securitate mai mari

În ciuda faptului că au implementat stive de securitate din ce în ce mai complexe, 67% dintre întreprinderile din SUA au raportat că au suferit o încălcare a securității în ultimii 24 de luni. Acestea nu au fost incidente minore – 76% au raportat un impact direct asupra confidențialității, integrității sau disponibilității datelor, iar 36% au experimentat întreruperi neplanificate, în timp ce 28% au suferit pierderi financiare.

Corelația este clară: pe măsură ce crește complexitatea stivei, cresc și alertele – și încălcările. Întreprinderile care utilizează mai mult de 100 de instrumente de securitate au înregistrat, în medie, 3.074 de alerte săptămânale, în timp ce cele care utilizează între 76-100 de instrumente au înregistrat 2.048 de alerte pe săptămână.

Cu toate acestea, această avalanșă de date adesea copleșește echipele de securitate, întârzie timpul de răspuns și permite amenințărilor reale să scape prin crăpături.

Asigurarea cibernetică modelează adoptarea tehnologiei

Asigurătorii cibernetici au devenit factori neașteptați ai inovării în domeniul securității cibernetice. Un procent izbitoare de 59% dintre întreprinderile din SUA au implementat instrumente de securitate noi, în special la solicitarea asigurătorului, iar 93% dintre CISO au raportat că asigurătorii au influențat postura de securitate. În multe cazuri, aceste recomandări au depășit conformitatea – au modelat strategia tehnologică.

Ascensiunea testării de penetrare bazate pe software

Testarea de penetrare manuală nu mai este varianta implicită. Peste 55% dintre organizații se bazează acum pe testarea de penetrare bazată pe software în cadrul programelor interne, iar alte 49% utilizează furnizori terți. În contrast, doar 17% se bazează în continuare exclusiv pe testarea manuală internă.

Această tranziție către testarea adversă automată reflectă o tendință mai largă: nevoia de validare în timp real, repetabilă și scalabilă, într-o eră de amenințări în continuă evoluție. Aceste platforme automate simulează atacuri care variază de la malware fără fișiere la escaladarea privilegiilor, permițând întreprinderilor să-și evalueze reziliența în mod continuu și fără întrerupere.

Bugetele de securitate cresc – rapid

Securitatea nu devine mai ieftină, dar organizațiile o prioritizează oricum. Bugetul mediu anual pentru testarea de penetrare este de 187.000 de dolari, reprezentând 10,5% din cheltuielile totale de securitate IT. Întreprinderile mai mari (10.000 de angajați sau mai mult) cheltuiesc și mai mult – în medie, 216.000 de dolari pe an.

În 2025, 50% dintre întreprinderi planifică să-și crească bugetele pentru testarea de penetrare, iar 47,5% se așteaptă să-și crească cheltuielile totale de securitate. Doar 10% anticipă o scădere a investițiilor. Aceste cifre subliniază ascensiunea securității de la o necesitate operațională la o prioritate a consiliului de administrație.

Testarea securității rămâne în urmă

Iată o decuplare izbitoare: 96% dintre întreprinderi raportează modificări ale infrastructurii cel puțin trimestrial, dar doar 30% efectuează testarea de penetrare la aceeași frecvență. Rezultatul? Noi vulnerabilități trec ne-testate prin schimbări, extinzând suprafața de atac cu fiecare actualizare de software sau configurare.

Doar 13% dintre întreprinderile mari, cu peste 10.000 de angajați, efectuează testări de penetrare trimestriale. Între timp, aproape jumătate încă testează doar o dată pe an – o întârziere periculoasă în mediul actual de amenințări dinamice.

Alinierea riscurilor este mai ascuțită ca niciodată

Încurajator, liderii securității se concentrează pe testarea acolo unde se produc încălcări. Aproape 57% prioritizează activele cu față spre web, urmate de serverele interne, API, infrastructura cloud și dispozitivele IoT. Această aliniere reflectă o conștientizare crescândă că atacatorii nu fac discriminări – exploatează orice vulnerabilitate disponibilă de-a lungul întregii suprafețe de atac.

API-urile, în special, au devenit o țintă prioritară atât pentru atacatori, cât și pentru apărători. Aceste interfețe sunt din ce în ce mai esențiale pentru operațiunile comerciale, dar adesea lipsesc vizibilitatea și monitorizarea standard, făcându-le propice pentru exploatare.

Operationalizarea rezultatelor testării de penetrare

Raportele de testare de penetrare nu mai sunt aruncate. În schimb, 62% dintre întreprinderi transferă imediat constatările către IT pentru prioritizarea remedierii, în timp ce 47% împărtășesc rezultatele cu managementul superior și 21% raportează direct consiliului de administrație sau autorităților de reglementare.

Această schimbare către acțiune reflectă o integrare mai profundă a testării de penetrare în managementul strategic al riscurilor – și nu doar bifarea casetei de conformitate. Validarea securității devine parte a conversației de afaceri.

Ce împiedică progresul și mai rapid?

În timp ce tendințele sunt pozitive, există încă inhibitori cheie. Principalele două bariere pentru testarea de penetrare mai frecventă sunt constrângerile bugetare (44%) și lipsa testerilor de penetrare disponibili (48%) – ultimul reflectând o lipsă globală de 4 milioane de profesioniști în securitate cibernetică, conform Forumului Economic Mondial.

Riscul operațional, cum ar fi teama de întreruperi în timpul testării, rămâne o preocupare pentru 30% dintre CISO.

De la obligația de conformitate la armă strategică

Testarea de penetrare a evoluat mult dincolo de originile sale ca o cerință regulamentară. Astăzi, aceasta sprijină inițiative strategice, inclusiv datorie și investigații due diligence și luarea deciziilor la nivel executiv. Aproape o treime dintre respondenți menționează acum “mandatul executiv” și “pregătirea pentru fuziuni și achiziții” ca motive cheie pentru efectuarea testărilor de penetrare.

Acesta marchează o transformare fundamentală: de la o verificare reactivă la o măsură proactivă și continuă a rezilienței cibernetice.

Gânduri finale

Raportul 2025 State of Pentesting Survey Report este mai mult decât o actualizare a stării – este un apel la trezire. Pe măsură ce suprafețele de atac cresc și actorii amenințării devin mai sofisticați, organizațiile nu-și mai pot permite abordări lente, manuale sau fragmentate ale testării securității. Testarea de penetrare bazată pe IA și pe software vine să închidă această lacună cu viteză, scară și perspicacitate.

Organizațiile care vor prospera în această nouă eră vor fi cele care tratează validarea securității nu doar ca o necesitate tehnică, ci ca un imperativ strategic.

Pentru mai multe informații, descărcați raportul complet 2025 State of Pentesting Survey Report de la Pentera.