Сколько стоит фишинг-симуляция и что входит в 100 000 ₽

В ФишМи полный цикл фишинг-симуляции стоит 100 000 ₽ за проект. В него входят подготовка, персональные сценарии, рассылка, обучение и итоговый отчёт. Я веду работу лично: от первого разговора о задаче до разбора результатов с заказчиком.

Но одна цена мало что объясняет. За словом «фишинг-тест» могут стоять и отправка готового шаблона, и полноценная проверка с обучением. Чтобы сравнивать предложения, сначала нужно понять, какую работу вы получаете и какое решение сможете принять после неё.

Вы покупаете весь процесс

Письмо — самая заметная часть проверки, но работа начинается раньше. Нужно определить, кого проверять, какие ситуации характерны для компании, что разрешено фиксировать и как будет организовано обучение. Иначе можно получить эффектную рассылку и отчёт, который ничего не объясняет.

Этап	Что входит	Что требуется от компании
Подготовка	Разбор задачи, рабочих процессов и доступной информации о компании	Назначить ответственного и описать контекст
Разработка	Сценарии, письма и учебные страницы под согласованную задачу	Согласовать содержание и ограничения
Проведение	Рассылка и фиксация предусмотренных сценарием действий	Обеспечить согласованное взаимодействие с ИБ и IT
Обучение	Разбор ошибок, обнаруженных во время проверки	Организовать участие сотрудников
Результат	Отчёт, рекомендации и обсуждение дальнейших действий	Определить, кто отвечает за изменения

В опубликованный тариф также входит консультационная поддержка в течение 30 дней после завершения. Актуальное описание предложения находится в разделе стоимости.

Какие параметры согласовываются до старта

Фиксированная цена должна сопровождаться понятным объёмом работ. До запуска нужно зафиксировать число участников, состав подразделений, сценарии, календарь, формат обучения и условия контрольной проверки. Формулировка «всё включено» сама по себе не описывает эти параметры.

Например, общий список адресов может включать сервисные ящики, общие почтовые группы и людей в длительном отпуске. Если считать всё это аудиторией проверки, результат будет труднее интерпретировать. Аналогично, один сценарий для всей компании и разные ситуации для бухгалтерии и разработчиков требуют разной подготовки.

На первой встрече полезно ответить на три вопроса: какую проблему вы хотите проверить, какие сотрудники входят в проект и что руководство ожидает увидеть в результате. Подробный список есть в чек-листе подготовки.

Почему цены разных предложений могут различаться

Сравнивать стоимость имеет смысл при сопоставимом составе. У одного исполнителя в цену входит только кампания, у другого — обучение, у третьего — ещё и работающая платформа для самостоятельных запусков. Внутри компании также остаются затраты времени: согласование, сопровождение и разбор результатов.

Я бы проверял четыре позиции: кто готовит сценарий, кто разбирает спорные события, кто проводит обучение и кто помогает интерпретировать результат. Если какая-то работа остаётся на вашей стороне, это нормально — но её нужно учитывать в сравнении.

Покупка лицензии особенно полезна, когда у компании есть ответственный за постоянную программу. Услуга под ключ подходит, когда нужен человек, который организует конкретный проект. Разницу подробнее разбираю в сравнении трёх форматов.

Что находится за границами этой услуги

Мой формат проверяет действия сотрудников в согласованных ситуациях. Получение реального доступа к вашей почте, CRM или VPN, эксплуатация технических уязвимостей и развитие атаки в инфраструктуре в него не входят.

Поэтому фишинг-симуляцию нельзя оценивать как замену всем проверкам безопасности. Если задача — найти уязвимость приложения или проверить возможность проникновения в сеть, нужен другой объём работ. Об этом есть отдельная статья про отличие от пентеста.

Как оценивать результат проекта

Полезный результат — это объяснение обнаруженных действий, обучение по ним и список изменений с ответственными. Один процент кликнувших не отвечает на вопросы, почему это произошло и что делать дальше.

На сайте предусмотрена гарантия снижения доли кликов при контрольной рассылке с критерием, закреплённым в договоре. Оценивать её нужно вместе с условиями сравнения: составом аудитории, сложностью сценария и правилами учёта событий. Если во второй волне было гораздо более очевидное письмо, одно снижение процента ещё не показывает эффект обучения. Эту проблему разбираю в статье о повторном тесте.

Перед выбором исполнителя попросите показать структуру отчёта. В ней должны быть методика, ограничения и рекомендации, которые можно превратить в задачи. Для ориентира подготовлен демонстрационный пример.