Normity

Een pentest (penetration test) is een gecontroleerde, gesimuleerde aanval op systemen, applicaties of infrastructuur om kwetsbaarheden op te sporen vóór echte aanvallers dat doen. Pentesters denken als aanvallers, maar werken met expliciete toestemming en duidelijke scope. Resultaat: een rapport met gevonden kwetsbaarheden, risico-inschatting en aanbevelingen.

Een vulnerability scan is geautomatiseerd en vindt bekende kwetsbaarheden in systemen en software. Een pentest gaat verder: handmatig onderzoek, exploitatie van gevonden kwetsbaarheden, combineren van zwakheden tot een realistische aanvalsroute. Vulnerability scans zijn goedkoper en frequenter; pentesten zijn diepgaander maar duurder.

Black box (geen voorkennis, simuleert externe aanvaller), white box (volledige voorkennis, efficiënter en grondiger) en grey box (gedeeltelijke voorkennis, realistisch voor insider- of post-phishing scenario). Daarnaast onderscheid naar scope: webapplicaties, netwerken, cloud, mobiele apps, social engineering of fysieke penetratie.

ISO 27001 eist geen specifieke pentest, maar wel 'technische beveiligingstesten' bij significante wijzigingen en minimaal periodiek. In de praktijk is een jaarlijkse pentest van kritieke systemen standaard. Voor PCI DSS, DigiD-certificering en sommige NIS2-toepassingen is pentesten wel expliciet verplicht.

Belangrijk zijn: relevante ervaring in jouw sector en technologie, gekwalificeerde pentesters (OSCP, CEH, CREST-certificeringen), duidelijke methodologie (OWASP Testing Guide, PTES, NIST 800-115), verzekering/aansprakelijkheid en een goed rapport-formaat dat aansluit op jouw risicomanagement. Vraag voorbeeldrapporten.

Afhankelijk van de scope typisch één tot vier weken per pentest, inclusief uitvoering en rapportage. Een basiswebapplicatietest: vijf tot tien werkdagen. Grote infrastructuurtest: twee tot vier weken. Plan ook tijd na ontvangst van het rapport voor opvolging: herstel van kwetsbaarheden en hertest kost vaak nog eens twee tot zes weken.

Een red team-oefening is een uitgebreide, meerwekelijkse simulatie waarbij aanvalstesters proberen realistische doelen te bereiken (bijvoorbeeld data van finance stelen) zonder beperkte scope. Het toetst niet alleen systemen, maar ook detectie en respons van het verdedigingsteam (blue team). Red teaming is de meest geavanceerde vorm van offensieve testing.

Pentest-rapporten bevatten gevoelige informatie over kwetsbaarheden en moeten vertrouwelijk worden behandeld. Bewaar rapporten beveiligd (encrypted, beperkte toegang) zolang de systemen bestaan en minimaal drie jaar. Bij audits kunnen oude rapporten relevant zijn voor historische context. Rapporten ná systeemvervanging kunnen eerder worden vernietigd.