Duda sobre auditoria de seguridad

Hola a todos! Tal vez este tema no es interesante o se hartaron de responderlo, lo estuve buscando pero no encontré específicamente lo que busco. Por eso lo hago corta.

Tengo que hacer una auditoria de seguridad a un sistema web, mas o menos grande, pero es para buscar las cosas mas comunes, sql injection, xploits, etc.
No estoy seguro cuanto ni como se cobra esto, es decir, si es por hora, por test que se le haga, etc. y cuanto mas o menos se estila cobrar, se que seguramente tiene que ver con factores como experiencia y otras cosas pero ni siquiera tengo un piso de costo "normal" como para manejarme con eso.

Por otro lado, ¿basta con los logs como prueba de la auditoria?

Saludos!

Depende que nivel de auditoria necesiten, ademas depende que nivel tengas. No podes ofrecer algo para lo que no estes o poseas potencial de destruccion, o en el mejor de los casos destreza para salvar las fugas. Deberias empezar por organizarte, fijar estandares, tipificar escalas, revision, eslabones de la cadena que se van a auditar, etc.

Ok, gracias por los consejos :D