Definitie
Penetration testing (kortweg pentest) is een georganiseerde aanval op je eigen systemen, websites of applicaties door specialisten die de rol van een aanvaller spelen. Doel: kwetsbaarheden ontdekken voordat echte criminelen dat doen. De testers werken met expliciete toestemming en rapporteren bevindingen zodat je ze kunt repareren.
Er zijn verschillende varianten: black-box (de tester weet niets vooraf), white-box (volledige toegang tot informatie en code), grey-box (beperkte voorkennis). Tests kunnen gericht zijn op een specifieke applicatie, op de netwerkinfrastructuur, op fysieke beveiliging of op social engineering (phishing-tests).
Waarom het ertoe doet voor MKB
Voor MKB met waardevolle data of kritieke systemen is een pentest een verstandige investering. Het brengt aan het licht wat geautomatiseerde scans missen: logische fouten, verkeerd geconfigureerde rechten, kwetsbaarheden die alleen door menselijk denken gevonden worden. De kosten variëren van 5.000 euro voor een eenvoudige pentest tot 30.000 euro voor uitgebreide audits.
Voor jouw bedrijf is de timing belangrijk: vraag een pentest na een grote software-update, voor een belangrijke compliance-deadline (NIS2, ISO 27001), of nadat je een nieuw kritisch systeem in gebruik hebt genomen. Een eenmalige pentest is bovendien niet voldoende; periodieke herhaling (jaarlijks of bij grote wijzigingen) is nodig.
Concreet voorbeeld
Een financieel dienstverlener met 40 medewerkers liet zijn klantportaal aan een pentest onderwerpen voorafgaand aan ISO 27001-certificering. De externe specialisten kregen 5 dagen om kwetsbaarheden te vinden, vanuit een grey-box opzet (beperkte voorkennis).
Resultaat: 14 bevindingen, waarvan 3 kritiek. Eén kritieke vondst: een gebruiker met beperkte rechten kon door URL-manipulatie inzage krijgen in dossiers van andere klanten. Een geautomatiseerde scan had dit niet gevonden, omdat het een logische fout was, geen technische. De bevindingen werden binnen 6 weken opgelost en de certificering kon doorgaan.
Misverstanden en valkuilen
- “Een vulnerability-scan is hetzelfde.” Scans vinden bekende technische problemen, pentests vinden logische en context-afhankelijke problemen. Beide zijn nuttig en niet uitwisselbaar.
- “Eens een pentest, voor altijd veilig.” Pentest geeft een momentopname. Bij wijzigingen in software, infrastructuur of personeel kunnen nieuwe kwetsbaarheden ontstaan. Periodieke herhaling is essentieel.
- “Goedkoper kan ook.” Een goedkope pentest kan een onvolledige pentest zijn. Vraag naar de aanpak, de inzet (mensdagen) en het rapport. Een rapport zonder context en aanbevelingen is weinig waard.
- “Pentest = compliance.” Een pentest helpt aantonen dat je beveiligingsmaatregelen werken, maar is op zichzelf geen certificering. Compliance vraagt vaak meer (beleid, documentatie, procedures).
Wanneer moet je hier wakker liggen, wanneer niet
Wakker liggen: als je een klantportaal, webshop of bedrijfssoftware met financiële of persoonsgegevens beheert en daar nog nooit een pentest op hebt laten doen. Of als je onder NIS2 of vergelijkbare regelgeving valt zonder periodieke pentesting.
Niet wakker liggen: als je vooral standaard SaaS-tools gebruikt waar leveranciers zelf pentests laten uitvoeren (vraag eens naar hun rapporten). Voor jou is dan vooral je eigen configuratie en toegangsbeheer aandacht waard.