Penetratietest laten uitvoeren
Een penetratietest is een gecontroleerde aanval op uw eigen systemen, uitgevoerd door specialisten die zoeken naar zwakke plekken die een aanvaller ook zou vinden. De uitkomst is een rapport met bevindingen, een inschatting van de ernst en concrete aanbevelingen.
Op deze pagina leest u hoe u de scope bepaalt, welke testvorm bij welke vraag past, waarop u een aanbieder beoordeelt en wat er na het rapport moet gebeuren. Dat laatste is waar de meeste waarde blijft liggen.
Wij komen deze vraag meestal tegen als een klant erom vraagt, als er een certificering loopt, of nadat er een nieuwe applicatie in gebruik is genomen.
Wat is een penetratietest en wat levert die op
Een penetratietest toetst of uw beveiliging in de praktijk standhoudt, door te proberen er doorheen te komen.
Het verschil met een geautomatiseerde controle is de mens erachter. Een scanner vindt bekende kwetsbaarheden. Een tester combineert kleine zwakheden tot een route die een scanner niet ziet: een verlopen certificaat, een testomgeving die nog bereikbaar is, een foutmelding die te veel prijsgeeft.
Wat u terugkrijgt is een rapport met per bevinding de omschrijving, de manier waarop die is gevonden, de ernst en het advies. Een goed rapport bevat ook een samenvatting die een directie kan lezen zonder technische kennis.
Wat een penetratietest niet is: een garantie. De test geeft een beeld van één moment, binnen de afgesproken grenzen. Wie de dag erna een nieuwe koppeling in gebruik neemt, heeft een nieuwe situatie. Daarom hoort een test in een ritme, niet als eenmalige gebeurtenis.
Penetratietest, vulnerability scan of security assessment
Deze drie worden vaak door elkaar gebruikt, terwijl ze een andere vraag beantwoorden en sterk verschillen in inspanning.
- Vulnerability scan. Wat het doet: Geautomatiseerd zoeken naar bekende kwetsbaarheden. Wat het oplevert: Een lijst met bevindingen, breed maar zonder context. Wanneer kiest u dit: U wilt regelmatig en breed zicht houden op achterstanden.
- Penetratietest. Wat het doet: Handmatig proberen binnen te komen, met combinaties van zwakheden. Wat het oplevert: Diepgang, aangetoonde routes en de gevolgen daarvan. Wanneer kiest u dit: U wilt weten of uw maatregelen werkelijk standhouden.
- Security assessment. Wat het doet: Beoordeling van opzet en inrichting van uw beveiliging. Wat het oplevert: Beeld van waar u staat, inclusief organisatie en beheer. Wanneer kiest u dit: U wilt overzicht voordat u gericht gaat testen.
De logische volgorde is meestal assessment, dan scan, dan test. Wie meteen een penetratietest laat doen op een omgeving met veel openstaande updates, betaalt specialisten om te vinden wat een vulnerability scan ook had gevonden. Een breed beeld vooraf krijgt u met een security assessment.
Welke systemen u laat testen
De scope bepaalt de waarde van de test. Te breed levert oppervlakkigheid op, te smal levert een vals gevoel van zekerheid.
Uw externe omgeving is het gebruikelijke startpunt: alles wat vanaf internet bereikbaar is, van de website en de mailserver tot de portalen waarop klanten inloggen. Dat is wat een aanvaller als eerste ziet.
Webapplicaties vragen een eigen aanpak, zeker als u zelf software maakt of laat maken. Daar gaat het niet alleen om kwetsbaarheden in de techniek, maar ook om de logica: kan een gebruiker bij gegevens van een ander, of een bestelling wijzigen na goedkeuring.
Uw interne netwerk toetst wat er kan gebeuren als iemand eenmaal binnen is, bijvoorbeeld via een gestolen wachtwoord. Dat is de test die het vaakst wordt overgeslagen en die vaak de meeste inzichten oplevert.
Cloudomgevingen vragen aandacht voor rechten en configuratie in plaats van voor de techniek eronder. En bij productieomgevingen met machines en installaties gelden bijzondere regels, want daar mag u niet zomaar actief testen.
Blackbox, greybox of whitebox: welke scope past bij uw vraag
Het verschil zit in hoeveel informatie de tester vooraf krijgt. Dat bepaalt wat u te weten komt en hoeveel tijd het kost.
- Blackbox. Wat de tester weet: Niets, alleen wat publiek vindbaar is. Sterke kant: Komt het dichtst bij hoe een buitenstaander te werk gaat. Wanneer kiest u dit: U wilt weten wat er van buitenaf zichtbaar en bereikbaar is.
- Greybox. Wat de tester weet: Beperkte informatie en meestal een gebruikersaccount. Sterke kant: Beste verhouding tussen diepgang en inspanning. Wanneer kiest u dit: De meeste opdrachten, zeker bij webapplicaties en portalen.
- Whitebox. Wat de tester weet: Volledige informatie, inclusief documentatie en soms broncode. Sterke kant: Grootste dekking, vindt ook wat van buiten onzichtbaar is. Wanneer kiest u dit: U wilt maximale zekerheid over een specifiek belangrijk systeem.
Voor de meeste organisaties is greybox de verstandigste keuze. Blackbox voelt realistisch, maar u betaalt dan een deel van de tijd voor het verzamelen van informatie die u zelf had kunnen aanleveren.
Hoe u een penetratietest inkoopt
Dit is het onderdeel waar vrijwel geen aanbieder iets over zegt, terwijl het bepaalt of u waar voor uw geld krijgt.
- De scope staat schriftelijk vast: welke systemen, welke domeinnamen en adressen, en wat er nadrukkelijk buiten valt.
- De testvorm is benoemd, dus blackbox, greybox of whitebox, met de reden erbij.
- Er is een testvenster afgesproken, met een contactpersoon aan beide kanten tijdens de test.
- Er ligt een afspraak over wat de tester doet bij een ernstige bevinding: direct melden of doorgaan.
- Het rapport bevat een samenvatting voor de directie, niet alleen technische bevindingen.
- Bevindingen zijn voorzien van een ernstinschatting die uitlegt wat het voor uw situatie betekent.
- Een hertest van de opgeloste punten is onderdeel van de opdracht, of het is duidelijk dat dat niet zo is.
- De kwalificaties van de testers zijn bekend, en u weet wie het werk daadwerkelijk doet.
- Er is vastgelegd hoe uw gegevens en het rapport worden bewaard en wanneer ze worden vernietigd.
Loop deze punten langs bij elke offerte. Ontbreekt de hertest, dan betaalt u voor een probleemlijst zonder bevestiging dat het is opgelost.
Testen bij een leverancier of in een productieomgeving
Draait het systeem niet bij u, dan heeft u toestemming nodig. Dat kost tijd en wordt bijna altijd vergeten.
Cloudleveranciers en hostingpartijen hebben eigen regels voor testen op hun infrastructuur. Sommige vragen een melding vooraf, andere staan alleen testen op uw eigen applicatielaag toe. Begin daarmee zodra de scope bekend is, want de doorlooptijd zit vaak in de goedkeuring en niet in de test.
Regel dit bij voorkeur vooraf in het contract. Een clausule die testen toestaat na aankondiging voorkomt dat u bij elke test opnieuw moet onderhandelen. Dat is ook onderdeel van de ketenbeveiliging die de Cyberbeveiligingswet van u vraagt.
In productieomgevingen met machines en installaties geldt een andere regel: actief testen op draaiende installaties doet u niet. Daar werkt u met passieve observatie, met een testvenster tijdens stilstand, of met een gescheiden testomgeving. Een tester die dat onderscheid niet maakt, is de verkeerde partij.
Onze aanpak in zes stappen, van scopegesprek tot hertest
De opzet en de opvolging bepalen de opbrengst. De test zelf is het middelste stuk.
1. Voer het scopegesprek
Wij bepalen samen wat er getest wordt, met welk doel en in welke vorm. U levert een overzicht van uw systemen, domeinen en koppelingen. Dat levert een afbakening op die aansluit bij uw risico en niet bij een standaardpakket.
2. Regel de randvoorwaarden
Wij stellen de testafspraken op en vragen waar nodig toestemming bij uw leveranciers. U bevestigt het testvenster en wijst een contactpersoon aan. Dat levert een test op die zonder verrassingen kan starten.
3. Voer de test uit
Wij verzorgen de uitvoering met testers die bij het type omgeving passen, en houden contact tijdens de test. U zorgt voor de afgesproken toegang en accounts. Dat levert de bevindingen op, met bij ernstige zaken een melding tijdens de rit.
4. Lever het rapport op
Wij leveren de bevindingen met ernstinschatting, plus een samenvatting in gewone taal. U bepaalt wie het rapport ontvangt. Dat levert een document op dat zowel voor uw beheerders als voor de directie bruikbaar is.
5. Prioriteer en beleg
Wij bespreken de bevindingen met u en uw IT-leverancier en zetten ze om in een plan met eigenaren en termijnen. U beslist over de volgorde. Dat levert opvolging op, in plaats van een rapport dat blijft liggen.
6. Voer de hertest uit
Wij toetsen of de opgeloste bevindingen werkelijk verholpen zijn en leveren een verklaring van de hertest. U meldt wanneer de maatregelen zijn doorgevoerd. Dat levert het bewijsstuk op dat een auditor of klant vraagt.
Na het rapport: waar de meeste waarde blijft liggen
Een rapport zonder opvolging verandert niets. Toch stopt vrijwel elke aanbieder daar.
Het eerste probleem is prioriteren. Een rapport met dertig bevindingen bevat er meestal een handvol die er werkelijk toe doen. Welke dat zijn, hangt af van uw situatie: een middelzware bevinding op een systeem met klantgegevens weegt zwaarder dan een ernstige bevinding op een testomgeving zonder data.
Het tweede probleem is eigenaarschap. Veel bevindingen liggen bij uw IT-leverancier, sommige bij een applicatieleverancier en een deel bij uzelf. Zonder verdeling met termijnen blijft alles liggen tot de volgende test.
Het derde is de vastlegging. Neem de bevindingen op in uw ISMS of in het actieregister waarin u ook andere verbeterpunten bijhoudt. Dan is later navolgbaar wat er is gedaan, en dat is precies wat een auditor opvraagt.
Wij begeleiden die drie stappen standaard, omdat een test anders vooral een momentopname blijft.
Hoe een penetratietest aansluit op wet en norm
Geen enkel kader schrijft een penetratietest letterlijk voor. Alle drie vragen zij wel om aantoonbare toetsing van uw maatregelen.
ISO 27001 vraagt dat u de effectiviteit van uw beheersmaatregelen beoordeelt. Een testrapport met opvolging en hertest is daarvoor een sterk bewijsstuk, zeker in combinatie met een risicoanalyse die laat zien waarom u juist die omgeving heeft laten testen.
De Cyberbeveiligingswet, die vanaf 15 augustus 2026 geldt, noemt het beoordelen van de effectiviteit van maatregelen als onderdeel van de zorgplicht. Ook hier geldt: de wet schrijft de vorm niet voor, maar u moet kunnen laten zien dat u toetst en wat u met de uitkomst doet.
In de zorg vraagt NEN 7510 hetzelfde. Daar speelt bovendien mee dat u vaak systemen van leveranciers gebruikt, waardoor de toestemmingsvraag eerder aan de orde is.
Wat de omvang en doorlooptijd bepalen
Geen twee tests zijn hetzelfde. Deze factoren bepalen het verschil.
- Aantal systemen en adressen in scope. Meer omgevingen betekent meer testtijd, ook als de systemen op elkaar lijken.
- Testvorm. Blackbox kost tijd aan het verzamelen van informatie, whitebox vraagt meer voorbereiding van uw kant.
- Complexiteit van de applicatie. Veel rollen, rechten en koppelingen vragen meer tests op de logica.
- Toestemming van derden. Draaien systemen bij een leverancier, dan bepaalt hun doorlooptijd wanneer u kunt starten.
- Wel of geen productieomgeving. Testvensters en gescheiden omgevingen vragen extra afstemming.
- Diepte van de rapportage. Een technisch rapport verschilt van een rapport dat ook een directie moet bedienen.
- Wel of geen hertest. Een hertest is een aparte inspanning en hoort expliciet in de afspraak.
Wij maken de omvang van uw traject inzichtelijk in een vrijblijvend gesprek.
Zo werkt QENSORA bij uw penetratietest
Wij bepalen de scope, regisseren de uitvoering en vertalen de bevindingen naar besluiten. Wij verkopen geen testcapaciteit.
Dat verschil is groter dan het klinkt. Vrijwel elke partij die op dit onderwerp adverteert, verkoopt de uren van de eigen testers. Daar hoort een prikkel bij om de scope ruim te nemen. Wij hebben die prikkel niet, en soms is ons advies dat een vulnerability scan in uw situatie volstaat.
De uitvoering verzorgen wij met testers die passen bij het type omgeving, en in uw offerte staat wie het werk doet. Wat wij toevoegen zit aan de voor- en achterkant: een scope die aansluit op uw risico’s, en bevindingen die worden vertaald naar een plan dat uw organisatie kan uitvoeren.
Wat wij niet doen is red teaming en dreigingsgestuurd testen. Dat is een ander vak, met een andere voorbereiding en andere afspraken. Vraagt uw sector daarom, dan verwijzen wij u door.
René van der Horst werkt dertig jaar in IT-leiderschap en begeleidt organisaties bij ISO 27001, NEN 7510 en de Cyberbeveiligingswet. Hij voert het scopegesprek zelf, omdat daar bepaald wordt of de test u iets oplevert.
Testen om te verbeteren, niet om te weten
Een penetratietest is pas geslaagd als er daarna iets is veranderd. De waarde zit niet in de lijst met bevindingen, maar in de keuzes die u daarna maakt en in de bevestiging bij de hertest.
Wilt u weten welke test bij uw situatie past en hoe de scope eruit zou moeten zien? Neem vrijblijvend contact op. In een eerste gesprek wordt meestal snel duidelijk of een test het juiste middel is.
Veelgestelde vragen over penetratietesten
Wat is het verschil tussen een pentest en een vulnerability scan?
Een scan zoekt geautomatiseerd naar bekende kwetsbaarheden en is breed maar oppervlakkig. Een penetratietest wordt handmatig uitgevoerd en combineert kleine zwakheden tot een route die werkelijk werkt. De scan is geschikt voor regelmatig zicht houden, de test voor de vraag of uw maatregelen standhouden.
Is een penetratietest verplicht?
Geen enkel kader schrijft een penetratietest letterlijk voor. ISO 27001, NEN 7510 en de Cyberbeveiligingswet vragen wel dat u de effectiviteit van uw maatregelen beoordeelt en dat u dat kunt aantonen. Een test met opvolging en hertest is daarvoor een sterk bewijsstuk, maar niet het enige.
Hoe vaak moeten wij laten testen?
Jaarlijks voor uw belangrijkste omgeving is een werkbaar ritme. Test daarnaast bij grote wijzigingen: een nieuwe applicatie, een migratie naar de cloud of een ingrijpende aanpassing in de architectuur. Tussentijds houdt u met scans zicht op nieuwe kwetsbaarheden.
Kan een penetratietest onze systemen verstoren?
Het risico is klein maar niet nul, en daarom maakt u vooraf afspraken. Er wordt getest binnen een afgesproken venster, met een contactpersoon aan beide kanten, en zonder handelingen die de beschikbaarheid gericht aantasten. Op productieomgevingen met machines wordt niet actief getest.
Wat als het rapport veel bevindingen bevat?
Dat is normaal, zeker bij een eerste test. Belangrijker dan het aantal is welke bevindingen er in uw situatie werkelijk toe doen. Wij prioriteren samen met u en uw IT-leverancier, beleggen eigenaarschap en termijnen, en toetsen bij de hertest of de belangrijkste punten zijn opgelost.
Mogen wij systemen laten testen die bij een leverancier draaien?
Alleen met hun toestemming. Cloud- en hostingpartijen hebben daar eigen regels voor, en die toestemming kost tijd. Regel het bij voorkeur vooraf in het contract, met een clausule die testen toestaat na aankondiging. Dat hoort ook bij de ketenbeveiliging die de Cyberbeveiligingswet van u vraagt.
Krijgen wij een verklaring die wij aan klanten kunnen laten zien?
U krijgt het testrapport en, na de hertest, een verklaring dat de bevindingen zijn opgelost. Dat is geen certificaat en geen keurmerk. Voor klanten die om formele zekerheid vragen, is een ISO 27001-certificaat of een verklaring van een onafhankelijke auditor het geëigende bewijsstuk.
Wat leveren wij zelf aan?
Een overzicht van de systemen, domeinen en koppelingen die in scope zijn, de afgesproken toegang en testaccounts, en een contactpersoon die tijdens het testvenster bereikbaar is. Bij greybox en whitebox komt daar documentatie bij. Hoe beter dat vooraf klaarligt, hoe meer testtijd naar het echte werk gaat.
Improved Security, Smarter Compliance.
Weten waar uw organisatie staat op het gebied van cybersecurity, compliance of IT? Of bent u benieuwd welke risico’s of verplichtingen voor uw organisatie relevant zijn?
Neem vrijblijvend contact op met QENSORA voor een kennismaking of adviesgesprek. Samen kijken we hoe uw organisatie veiliger en slimmer kan worden.
