Pentest rapport voorbeeld: wat erin staat en hoe u het leest
Een pentest rapport bestaat uit vijf vaste onderdelen: een managementsamenvatting, de scope en methode, de bevindingen met ernst en CVSS-score, herstelaanbevelingen met bewijs, en bijlagen. U ontvangt het per getest asset. Bij Budget Security staat de PDF binnen 48 uur nadat de test is afgerond in uw portaal, met uw eigen logo erop.
[Plan uw pentest](/nl/pentest-bestellen/): €849 per testdag excl. btw, start binnen 7 dagen, rapport binnen 48 uur na afloop van de test.
De opbouw van een pentest rapport
Een pentest rapport is geen scanuitdraai. Het is een document dat drie lezers tegelijk bedient: de directie, uw technische team en uw auditor. Daarom heeft elk goed rapport dezelfde vaste indeling, of de aanbieder nu PTES, de OWASP Web Security Testing Guide of een eigen methode volgt.
| Onderdeel | Welke vraag het beantwoordt | Wie het leest |
|---|---|---|
| Managementsamenvatting | Hoe veilig zijn we, en wat moet er eerst gebeuren? | Directie, CISO |
| Scope en methode | Wat is getest, hoe, en wanneer? | Auditor, techniek |
| Bevindingen | Welke kwetsbaarheden zijn gevonden en hoe ernstig zijn ze? | Techniek, security lead |
| Herstel en bewijs | Hoe lossen we het op en hoe tonen we dat aan? | Ontwikkelaars, auditor |
| Bijlagen | Welke details onderbouwen de bevindingen? | Techniek, auditor |
Zoekt u op "pentest report", dan vindt u Engelstalige voorbeelden met precies deze indeling. Een rapportage die een van de vijf onderdelen mist, levert u later discussie op: met de auditor, of met de ontwikkelaar die niet weet waar te beginnen.
De managementsamenvatting: wat de directie in twee minuten moet weten
De managementsamenvatting staat vooraan en is geschreven voor lezers zonder technische achtergrond. Ze geeft op één pagina antwoord op vier vragen:
- Hoe staat het met de beveiliging van het geteste systeem?
- Hoeveel bevindingen zijn er per ernstniveau: kritiek, hoog, middel, laag?
- Wat is het grootste risico en wat kan een aanvaller daarmee?
- Wat moet er als eerste gebeuren?
Een goede samenvatting noemt geen IP-adressen of payloads. Ze zegt bijvoorbeeld: "Een ingelogde klant kan facturen van andere klanten inzien. Dit is het grootste risico en vraagt herstel binnen twee weken." Dat is een zin die een directeur begrijpt en waar een CISO budget op kan vragen.
Bij Budget Security zit de managementsamenvatting standaard in elk rapport. Wilt u een los samenvattingsdocument voor de raad van bestuur of voor een klant, dan is de Pentest Summary een optionele extra.
Scope en methode: wat precies is getest
De auditor leest dit onderdeel als eerste. Een bevinding zegt niets als niet vaststaat waarop ze is gevonden. Een complete scopebeschrijving bevat:
- De geteste assets: URL's, API-endpoints, IP-reeksen, app-versies.
- De gebruikte accounts en rollen, bijvoorbeeld een klantaccount en een beheerdersaccount.
- De testvorm: black box (zonder voorkennis), grey box (met accounts en documentatie) of white box (met broncode).
- Het testvenster: de data waarop is getest en het aantal testdagen.
- De methode: OWASP Top 10 en de OWASP Web Security Testing Guide voor webapplicaties, PTES als algemeen raamwerk, en de ICT-beveiligingsrichtlijnen voor webapplicaties van het NCSC, veel gevraagd bij Nederlandse overheden en DigiD-aansluitingen.
- Wat buiten scope viel en waarom.
Let op het verschil tussen "handmatig getest" en "gescand". Een pentest rapport beschrijft wat de tester met de hand heeft geverifieerd. Scannerresultaten mogen erin staan, maar dan als hulpmiddel, niet als bevinding.
Bevindingen lezen: ernst, CVSS en wat het betekent
Elke bevinding krijgt een ernstniveau en een CVSS-score. CVSS staat voor Common Vulnerability Scoring System, een open standaard van FIRST. De huidige versie is 4.0. De score loopt van 0 tot 10 en wordt vertaald naar een niveau:
| CVSS-score | Niveau | Wat het in de praktijk betekent |
|---|---|---|
| 9,0 tot 10,0 | Kritiek | Een aanvaller krijgt zonder veel moeite volledige controle of inzage in grote hoeveelheden data. Direct herstellen. |
| 7,0 tot 8,9 | Hoog | Ernstige impact, maar met een voorwaarde: bijvoorbeeld een geldig account of een handeling van een gebruiker. Herstel binnen enkele weken. |
| 4,0 tot 6,9 | Middel | Beperkte impact of lastig uit te buiten. Inplannen in de reguliere releasecyclus. |
| 0,1 tot 3,9 | Laag | Weinig directe impact. Vaak configuratie of informatielekkage die een aanval makkelijker maakt. |
De CVSS-basisscore meet de technische eigenschappen van een kwetsbaarheid: hoe bereikbaar, hoe complex, welke rechten nodig. Ze meet niet wat de kwetsbaarheid voor uw bedrijf betekent. Een "middel" op een intern testsysteem en een "middel" op uw betaalpagina zijn technisch gelijk, zakelijk niet. Daarom hoort naast de score een beschrijving van de impact in uw context te staan.
Zo ziet een bevinding er in een rapport uit. Dit is een fictief voorbeeld, geen bevinding bij een echte klant.
Facturen van andere klanten opvraagbaar via het factuur-ID. Ernst: Hoog. CVSS 4.0: 8,2.
Beschrijving: het endpoint /api/facturen/{id} controleert niet of de ingelogde gebruiker eigenaar is van de opgevraagde factuur. Impact: elke ingelogde klant kan door ID's op te tellen alle facturen van alle klanten downloaden.
Reproductiestappen: 1. Log in als klant A. 2. Open een eigen factuur en noteer het ID. 3. Verhoog het ID met 1 en herhaal het verzoek. Bewijs: screenshot van factuur 1042 (klant B) in de sessie van klant A, met tijdstempel.
Herstel: controleer serverzijdig bij elk verzoek of het factuur-ID bij de ingelogde organisatie hoort. Vervang oplopende ID's door identifiers die niet te raden zijn. Referenties: OWASP Top 10, A01:2021 Broken Access Control.
Zonder de reproductiestappen en het bewijs kan uw ontwikkelaar niet controleren of de fix werkt. Zonder de referentie kan het team niet verder lezen. Beide horen bij elke bevinding.
Herstel en hertest: van bevinding naar bewijs van herstel
Elke bevinding sluit af met een concrete herstelaanbeveling. Niet "update uw software", maar welke controle u waar toevoegt. Vanaf dat moment leeft de bevinding verder als een werkitem met een status: Open, In behandeling, Opgelost, Gemitigeerd of Geaccepteerd risico. Dat laatste is een legitieme keuze als de impact klein is en de fix duur, mits u die keuze vastlegt.
Een auditor accepteert "Opgelost" zelden op uw woord. Bewijs van herstel is een hertest: de tester herhaalt de reproductiestappen en legt vast dat de kwetsbaarheid weg is. Bij Budget Security is de hertest een aparte boeking van één testdag, als optionele extra. De uitkomst komt in hetzelfde dossier, zodat uw auditor bevinding, fix en hertest naast elkaar ziet.
Een uitgebreider rapport maakt de test niet duurder; lees in onze gids wat kost een pentest hoe het aantal testdagen de prijs bepaalt, niet de dikte van het rapport.
Wat uw auditor in het rapport wil zien
Geen enkel raamwerk schrijft een rapportformaat voor. Wel stellen ze alle dezelfde vragen:
- ISO 27001 (beheersmaatregel A.8.8, technische kwetsbaarheden): toont u aan dat u kwetsbaarheden tijdig identificeert en afhandelt?
- SOC 2 (de criteria rond het detecteren van kwetsbaarheden, zoals CC7.1): is de test onafhankelijk uitgevoerd en zijn de bevindingen opgevolgd?
- NIS2 (artikel 21): beoordeelt u de effectiviteit van uw maatregelen, en kunt u dat aantonen?
- DigiD (norm C.04 van Logius): is de infrastructuur van de webapplicatie met de DigiD-koppeling getest door een onafhankelijke partij? Zie onze gids over de DigiD pentest.
Praktisch wil elke auditor deze zes dingen in het rapport terugvinden: een scopeverklaring met de geteste URL's, IP-reeksen en accounts; de testdatum en het testvenster, zodat vaststaat dat de test in de lopende auditcyclus valt; de methode en de gebruikte standaarden; de kwalificaties van de testers (bij Budget Security zijn de testers OSCP-gecertificeerd); per bevinding het ernstniveau en de CVSS-score; en bewijs van herstel, dus de status per bevinding en het hertestresultaat.
Wilt u de bevindingen gekoppeld aan specifieke beheersmaatregelen uit uw raamwerk, dan is die compliance mapping op aanvraag beschikbaar. Vraagt uw auditor om een verklaring dat de test heeft plaatsgevonden, dan is de Pentest Statement een optionele extra: een attestatiebrief naast het rapport. Het rapport zelf maakt u niet compliant. Het is bewijs dat u een maatregel heeft uitgevoerd en opgevolgd.
Van PDF naar werkbare lijst: het rapport in het portaal
Een PDF in een mailbox veroudert op de dag van verzending. Niemand ziet wie welke bevinding oppakt, en bij de audit zoekt u in e-mails naar bewijs van herstel. Daarom levert Budget Security het rapport op twee manieren: als PDF per getest asset, met uw eigen logo, en als levende lijst in het portaal. In het portaal:
- staat elke bevinding met ernst, CVSS-score en een uitleg in gewone taal, impact, fix, reproductiestappen en bewijs;
- houdt u per bevinding de status bij, met notities, volledige historie en grafieken per ernst en type;
- wijst u bevindingen toe aan collega's of aan uitgenodigde ontwikkelaars met een account dat alleen bevindingen toont, geen orders of facturen;
- maakt u met één klik een Jira Cloud-issue per bevinding;
- krijgt u per bevinding een kant-en-klare prompt voor uw AI-codeertool, geschreven door het testteam, zonder payload en zonder buitgemaakte inloggegevens.
Voor engagements waarvoor het testteam een model opstelt, toont het portaal daarnaast een aanvalskaart: een interactief architectuurdiagram dat laat zien welke systemen een aanvaller kan bereiken en wat hij daar kan aanrichten.
Wilt u dit zien voordat u boekt? Na goedkeuring van uw account opent u een demoproject met voorbeeldbevindingen en een volledig voorbeeldrapport.
Bronnen
FAQ
Veelgestelde vragen over het pentest rapport
Hoe lang is een pentest rapport geldig?
Krijg ik een voorbeeldrapport voordat ik boek?
Wat is het verschil tussen een pentest rapport en een scanrapport?
Uw rapport, binnen 48 uur na de test
Een goed rapport is pas af als de laatste bevinding op Opgelost staat. Rapport binnen 48 uur nadat de test is afgerond, betaling na oplevering van het rapport.