Wat is een pentest?

Een pentest, voluit penetratietest, is een gecontroleerde aanval op uw eigen systemen door specialisten die u daarvoor inhuurt. Doel is niet om te bewijzen dat u onveilig bent, maar om te vinden wat een echte aanvaller zou vinden, voordat die het vindt.

Het verschil met een kwetsbaarhedenscan

Deze twee worden vaak door elkaar gehaald en verschillen aanzienlijk in prijs en waarde.

Een scan hoort bij uw normale beheer. Een pentest doet u gericht, als u wilt weten of uw maatregelen in samenhang standhouden.

De drie varianten

• Black box: de tester weet niets vooraf, net als een echte aanvaller. Realistisch, maar u betaalt voor het uitzoekwerk.
• Grey box: de tester krijgt beperkte informatie en een gebruikersaccount. In de praktijk de beste verhouding tussen kosten en opbrengst.
• White box: volledige inzage, inclusief broncode en documentatie. Het meest grondig, en het duurst.

Voor de meeste organisaties is grey box de verstandige keuze. Black box voelt realistischer, maar u betaalt dan dagen voor het vinden van informatie die u zelf had kunnen geven.

Wat het kost

De prijs volgt uit het aantal testdagen, meestal 1.000 tot 1.400 euro per dag. Vraag altijd om een specificatie in dagen, niet om een totaalbedrag; dan kunt u offertes vergelijken.

Hoe u een goede opdracht formuleert

• Beschrijf wat er getest wordt en wat expliciet buiten de scope valt
• Geef aan wat u wilt weten: is het onze webapplicatie, of onze hele buitenkant?
• Spreek af wanneer er getest wordt en wie er op de hoogte is
• Vraag om een hertest na herstel; zonder hertest weet u niet of het opgelost is
• Leg vast dat u het rapport mag delen met klanten, eventueel in samengevatte vorm

Dat laatste punt vergeten organisaties vaak, en dan blijkt achteraf dat ze het rapport waar ze duizenden euro's voor betaalden niet mogen laten zien aan de klant die erom vroeg.

Wanneer u er een nodig heeft

De Cyberbeveiligingswet verplicht geen pentest. Wel vraagt maatregel 6 dat u de effectiviteit van uw maatregelen beoordeelt, en een pentest is daar een van de meest overtuigende manieren voor.

Concrete aanleidingen: u gaat live met een nieuwe applicatie, uw klanten vragen erom, u certificeert voor ISO 27001, of uw risicoanalyse wijst uit dat u het niet weet.

Wat u met het rapport doet

Een pentestrapport zonder opvolging is een dure momentopname. Zet elke bevinding in uw verbeterlijst met een eigenaar en een termijn, gekoppeld aan de ernst. En plan de hertest in voordat u het rapport wegbergt.

Hoe u een geschikte tester kiest

Prijs alleen zegt weinig over kwaliteit. Vraag naar de ervaring van de specifieke testers die worden ingezet, niet alleen naar het bedrijf, en vraag om een voorbeeldrapport zonder herleidbare klantgegevens. Vraag ook naar erkende certificeringen van de testers zelf; dat is geen garantie, maar het geeft aan dat er een onafhankelijke toetsing achter hun vakbekwaamheid zit.

Wat het u zelf aan tijd kost

Een pentest is geen kwestie van een opdracht geven en wachten. Reken op voorbereidingstijd: een actuele lijst van wat getest mag worden en het informeren van uw eigen helpdesk zodat een test niet als een echte aanval wordt behandeld. Na afloop kost het beoordelen van de bevindingen en het inplannen van herstel al snel meer tijd dan de test zelf, zeker bij meerdere systemen met meerdere eigenaren.

Wat er in de praktijk misgaat

• De helpdesk niet informeren. Een test wordt aangezien voor een echte aanval, met onnodige paniek tot gevolg.
• Te beperkte toegang geven bij een grey box test. Dan test u vooral hoeveel moeite het kost om binnen te komen, en minder wat er gebeurt als iemand al binnen is.
• Geen hertest inplannen. Zonder hertest weet u niet zeker of een herstelde kwetsbaarheid ook echt weg is.

Verschil per organisatiegrootte

Een kleine organisatie met één webapplicatie laat meestal eens per jaar een gerichte test doen op wat van buiten bereikbaar is. Een grotere organisatie met meerdere applicaties en locaties bouwt dit vaak op als een lopend programma: niet alles tegelijk, maar een rooster waarin elk belangrijk systeem periodiek aan de beurt komt.

Hoe u het aantoonbaar maakt

Bewaar niet alleen het rapport, maar ook de opvolging: welke bevinding is met welke termijn aan wie toegewezen, en wanneer is de hertest gedaan. Dat geheel, gekoppeld aan uw risicoanalyse, is precies waar de zorgplicht om vraagt: niet alleen meten, maar ook laten zien dat u erop stuurt. Zie ook het interne auditplan voor hoe een pentest daarin past naast uw eigen controles.

Veelgestelde vragen

Hoe vaak moet ik een pentest laten doen?

Jaarlijks is gebruikelijk voor systemen die van buiten bereikbaar zijn, plus bij grote wijzigingen. Onderbouw uw keuze vanuit uw risicoanalyse.

Is een pentest verplicht voor NIS2?

Nee. De wet vraagt dat u beoordeelt of uw maatregelen werken; hoe u dat doet mag u zelf bepalen.

Kan ik zelf een pentest doen?

Interne scans en controles kunt u prima zelf doen. Voor een pentest is onafhankelijkheid en specialisme nodig, en dat is precies wat u inkoopt.

Wat is het verschil met een audit?

Een audit controleert of u doet wat u beschrijft. Een pentest controleert of dat in de praktijk ook standhoudt tegen iemand die het probeert te doorbreken.

Hoeveel interne tijd kost een pentest ons zelf?

Reken op enkele dagen verspreid over voorbereiding, beschikbaarheid tijdens de test en het beoordelen van het rapport nadien.

Waar moet ik op letten bij het kiezen van een tester?

Vraag naar de ervaring van de specifieke testers, een voorbeeldrapport, en erkende certificeringen. Prijs alleen zegt weinig over de kwaliteit.

Wat als de test onze productieomgeving verstoort?

Spreek vooraf een testvenster af en laat kritieke systemen zo nodig buiten de scope, of test ze in een rustige periode met extra monitoring.

Moet ik de helpdesk vooraf informeren?

Ja, altijd. Zonder die afstemming kan een test onterecht als echte aanval worden behandeld, met onnodige onrust tot gevolg.