Wat is een penetratietest? Soorten, werkwijze en wat u van het rapport mag verwachten
Een penetratietest, kortweg pentest, is een gecontroleerde aanval op uw webapplicatie, API, netwerk, mobiele app of cloudomgeving, uitgevoerd door een ethische hacker met uw toestemming. Het doel is geen lijst met mogelijke zwakke plekken, maar bewijs: wat kan een aanvaller in uw systemen daadwerkelijk bereiken, en wat moet u als eerste herstellen.
Deze gids legt uit wat een penetratietest precies is, hoe die verschilt van een vulnerability scan, welke soorten tests er zijn, wat black box, grey box en white box betekenen, hoe een test verloopt, welke standaarden testers volgen en wat er in het rapport staat. Ook leest u wat NIS2, ISO 27001, SOC 2, PCI DSS, DORA en de AVG van u vragen.
Budget Security voert penetratietests uit vanuit Den Haag met OSCP-gecertificeerde testers. U scopet en boekt zelf via het platform. Registreer en scope uw applicatie.
Wat is een penetratietest precies?
Een penetratietest is een handmatig uitgevoerde beveiligingstest waarbij een ethische hacker, met uw schriftelijke toestemming, probeert in te breken in een afgebakend deel van uw IT-omgeving. De tester gebruikt dezelfde technieken als een echte aanvaller: zwakke plekken zoeken, ze combineren en doordringen tot gegevens of systemen waar een buitenstaander niet hoort te komen. Het verschil met een echte aanval is dat u vooraf weet wat er gebeurt, zelf de scope bepaalt en achteraf een rapport krijgt in plaats van een datalek.
Het doel is bewijs, geen vermoeden. Een scanner meldt dat een onderdeel mogelijk kwetsbaar is. Een penetratietest toont aan wat een aanvaller met die kwetsbaarheid bereikt: inloggen als een andere gebruiker, klantgegevens inzien, beheerdersrechten verkrijgen of van de ene server naar de andere springen. Dat bewijs bepaalt wat u als eerste herstelt en wat u met een gerust hart kunt laten liggen.
Over de termen. Penetratietest, penetratietesten, penetratietests, pentest en pentesten verwijzen allemaal naar hetzelfde. In de Nederlandse praktijk is pentest de gangbare afkorting; in aanbestedingen en normteksten ziet u vaker het volledige woord. Een penetratietest is geen audit en geen certificering. De tester beoordeelt niet of uw beleid klopt, maar of uw systemen standhouden.
Penetratietest versus vulnerability scan
Een vulnerability scan is geautomatiseerd. Software vergelijkt uw systemen met een database van bekende kwetsbaarheden en levert een lijst met mogelijke problemen. Dat is nuttig als eerste inventarisatie en als terugkerende controle, maar het is geen penetratietest, hoe dik het rapport ook is.
Drie dingen kan een scanner niet. Hij kan niet beoordelen of een melding in uw situatie echt uit te buiten is, waardoor scanrapporten vol staan met false positives. Hij begrijpt uw businesslogica niet, dus hij ziet niet dat een klant het winkelwagentje van een ander kan aanpassen of een kortingscode tien keer kan toepassen. En hij combineert geen bevindingen: drie lage meldingen die samen tot volledige overname leiden, blijven in een scanrapport drie lage meldingen.
| Kenmerk | Vulnerability scan | Penetratietest |
|---|---|---|
| Uitvoering | Geautomatiseerd, door software | Handmatig, door een gecertificeerde tester |
| Diepgang | Bekende kwetsbaarheden in software en configuratie | Ook businesslogica, autorisatie en ketens van bevindingen |
| False positives | Veel; elke melding moet u zelf controleren | Alleen bevestigde, daadwerkelijk uitgebuite bevindingen |
| Bewijs | Geen; de scanner vermoedt | Reproductiestappen, schermafbeeldingen en impact per bevinding |
| Doorlooptijd | Minuten tot uren | Enkele testdagen, afhankelijk van de scope |
| Frequentie | Doorlopend of wekelijks | Jaarlijks en na grote wijzigingen |
| Geschikt voor | Hygiëne, patchbeheer, eerste inventarisatie | Bewijs voor audits, klanten en toezichthouders; echte aanvalsscenario's |
Beide hebben een plek. Een scanner houdt de basis op orde tussen twee tests door. Een penetratietest laat zien wat er gebeurt als iemand die basis gericht probeert te doorbreken. Een auditor of klant die om een penetratietest vraagt, accepteert geen scanrapport.
Soorten penetratietests
Welke penetratietest u nodig heeft, hangt af van wat u wilt beschermen. De meeste organisaties beginnen bij het onderdeel dat klanten gebruiken en dat persoonsgegevens verwerkt. De belangrijkste soorten:
- Webapplicatie-penetratietest: uw klantportaal, webshop, SaaS-platform of beheeromgeving. De tester controleert authenticatie, sessiebeheer, rechten tussen gebruikersrollen, scheiding tussen klanten (tenants), invoervalidatie en de logica van processen zoals registratie en afrekenen. Dit is de meest gevraagde test.
- API-penetratietest: de REST-, GraphQL- of SOAP-koppelingen achter uw web- en mobiele apps en de integraties met partners. API's zijn minder zichtbaar en krijgen daardoor minder aandacht, terwijl ze dezelfde gegevens ontsluiten als de applicatie zelf.
- Netwerk-penetratietest, extern en intern: extern test de tester wat vanaf internet bereikbaar is, zoals firewalls, VPN-toegang, mailservers en vergeten systemen. Intern test hij wat een aanvaller bereikt zodra één werkplek is overgenomen: Active Directory, bestandsshares en interne diensten. Interne tests voeren wij op afstand uit via een testapparaat dat wij naar u opsturen.
- Mobiele-app-penetratietest: iOS- en Android-apps, inclusief lokale opslag van gegevens, de communicatie met de backend en de API's die de app aanroept. Getest volgens de OWASP MASVS.
- Cloud-penetratietest: identiteiten, rechten en configuratie in AWS, Azure of Google Cloud. Een verkeerd ingestelde opslagbucket of een te ruime rol is vaak de kortste weg naar uw gegevens. Deze test stemt u af met uw accountmanager.
Social engineering, zoals phishing van medewerkers, voeren wij alleen op aanvraag uit en nooit zonder expliciete afspraken vooraf.
Black box, grey box en white box
Naast het soort systeem kiest u hoeveel informatie de tester vooraf krijgt. Dat bepaalt vanuit welk perspectief de test plaatsvindt.
Black box. De tester krijgt alleen een URL of IP-adres, geen inloggegevens en geen documentatie. Dit simuleert een buitenstaander zonder voorkennis. Het nadeel: een groot deel van de testtijd gaat op aan verkennen, en alles achter de inlogpagina blijft buiten beeld.
Grey box. De tester krijgt testaccounts, meestal in meerdere rollen, en een korte toelichting op de applicatie. Hiermee test hij zowel van buiten als van binnen: wat kan een ingelogde gebruiker meer dan hij mag, en kan de ene klant bij de gegevens van de andere? Voor een eerste penetratietest is grey box bijna altijd de beste keuze, omdat u in dezelfde testdagen de meeste risico's afdekt.
White box. De tester krijgt volledige toegang: broncode, architectuurdocumentatie, configuraties en beheerdersaccounts. Dit levert de diepste analyse en past bij kritieke onderdelen, zoals een betaalmodule of een autorisatielaag, of als vervolg op een eerdere grey-boxtest.
Bij Budget Security zijn alle drie beschikbaar. Voor webapplicaties, API's en mobiele apps is grey box de standaardinstelling; een externe netwerktest is per definitie black box.
Hoe verloopt een penetratietest?
Een penetratietest doorloopt zes fasen. Eerst de scope: welke systemen, welke omgeving (productie of acceptatie), welke rollen en wat uitdrukkelijk niet. Dan de toestemming: een getekende machtiging die vastlegt wie wat mag aanvallen en wanneer, plus de afspraak hoe de tester u bereikt als hij iets ernstigs vindt. Vervolgens het onderzoek: de tester brengt de aanvalsoppervlakte in kaart, met tooling voor de inventarisatie en handmatig voor alles wat ertoe doet.
Daarna de exploitatie: bevindingen bevestigen, combineren en aantonen wat de werkelijke impact is, zonder gegevens te beschadigen. Dan de rapportage: elke bevinding met ernst, bewijs en herstelstappen, plus een managementsamenvatting. Tot slot de hertest: na uw herstelwerk controleert de tester of de bevindingen echt gesloten zijn. Een uitgebreide uitleg per stap vindt u in Pentest uitvoeren: stap voor stap.
Methodieken en standaarden
Een goede penetratietest volgt een erkende methodiek, zodat u weet wat er is getest en een auditor het rapport kan beoordelen. De standaarden die u in rapporten tegenkomt:
- OWASP Testing Guide en OWASP Top 10. De Web Security Testing Guide van OWASP beschrijft per onderdeel van een webapplicatie welke tests een tester uitvoert, van authenticatie tot invoervalidatie. De OWASP Top 10 is de bekendere lijst met de tien meest voorkomende risicocategorieën voor webapplicaties. Een test "volgens OWASP" hoort op de Testing Guide te leunen, niet alleen op de Top 10.
- OWASP MASVS en MASTG. De Mobile Application Security Verification Standard beschrijft de beveiligingseisen voor mobiele apps; de Mobile Application Security Testing Guide beschrijft hoe u die eisen test. Samen vormen ze de standaard voor iOS- en Android-tests.
- PTES. De Penetration Testing Execution Standard beschrijft de fasen van een penetratietest, van de afspraken vooraf tot de rapportage, en vormt de basis voor de werkwijze van de meeste testbureaus.
- NIST SP 800-115. De Technical Guide to Information Security Testing and Assessment van het Amerikaanse NIST. Veel gebruikt als referentie bij SOC 2 en in overheidsomgevingen.
- OSSTMM. De Open Source Security Testing Methodology Manual van ISECOM, een bredere methodiek voor beveiligingstests die ook fysieke en menselijke aspecten omvat.
Onze tests van webapplicaties en API's volgen de OWASP Testing Guide; mobiele apps testen wij volgens de OWASP MASVS. Het rapport vermeldt welke methodiek de tester heeft gevolgd, zodat uw auditor dat kan controleren.
Hoe lang duurt een penetratietest?
De omvang van een penetratietest wordt uitgedrukt in testdagen: het aantal dagen dat een tester handmatig aan uw scope werkt. Bij Budget Security loopt dat van 1 tot 30 testdagen, in stappen van een halve dag. De scopingengine bepaalt het aantal op basis van uw assets, het aantal rollen en functies en het doel van de test.
Een kleine webapplicatie met een handvol rollen vraagt meestal 3 tot 5 testdagen. Een API erbij of een groot platform met veel functionaliteit vraagt meer. Een externe netwerktest van enkele IP-adressen vraagt juist minder.
Daarnaast telt de doorlooptijd. Na boeking start de test binnen 7 dagen; een eerdere start is mogelijk, afhankelijk van beschikbaarheid en tegen een urgentietoeslag. Het rapport ontvangt u binnen 48 uur na afloop van de test. Reken voor een gemiddelde webapplicatie dus op ongeveer twee weken van boeking tot rapport.
Penetratietest voor compliance: NIS2, ISO 27001, SOC 2, PCI DSS, DORA en AVG
De meeste penetratietests worden gedaan omdat iemand anders erom vraagt: een toezichthouder, een auditor of een grote klant. Wat de belangrijkste kaders van u vragen:
- NIS2: de Europese richtlijn (EU) 2022/2555 verplicht essentiële en belangrijke entiteiten tot passende maatregelen, waaronder beleid en procedures om de effectiviteit van die maatregelen te beoordelen (artikel 21). Een penetratietest is het gangbare bewijs daarvoor. Bron: EUR-Lex, richtlijn 2022/2555.
- ISO 27001: de norm eist beheer van technische kwetsbaarheden (bijlage A, 8.8) en beveiligingstests bij ontwikkeling en acceptatie (8.29). Certificerende instellingen accepteren een recent pentestrapport als bewijs dat u dit beheerst.
- SOC 2: het Amerikaanse raamwerk waar uw Amerikaanse klanten om vragen. Een penetratietest is het geaccepteerde bewijs voor de criteria rond monitoring en het opsporen van kwetsbaarheden.
- PCI DSS: voor iedereen die kaartgegevens verwerkt. Eis 11.4 vraagt een externe en interne penetratietest minstens eens per twaalf maanden en na significante wijzigingen, inclusief een test van de netwerksegmentatie.
- DORA: verordening (EU) 2022/2554 voor de financiële sector vraagt een programma voor het testen van digitale operationele weerbaarheid, met penetratietests als onderdeel, en voor aangewezen instellingen elke drie jaar een threat-led penetration test. Bron: EUR-Lex, verordening 2022/2554.
- AVG: artikel 32 vraagt om een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van uw beveiligingsmaatregelen. De AVG noemt penetratietests niet bij naam, maar een pentestrapport is de meest gebruikte manier om aan die eis te voldoen.
Geef het kader op bij het scopen. Dan legt de tester de nadruk waar dat kader om vraagt, en kan het rapport op verzoek de bevindingen koppelen aan de betreffende beheersmaatregelen.
Wat staat er in het rapport?
Het rapport is het eindproduct van de penetratietest, en het document dat uw auditor, klant of toezichthouder te zien krijgt. U ontvangt een PDF per getest asset, voorzien van uw eigen logo, met daarin:
- Managementsamenvatting: scope, testperiode, aanpak, algemeen risicobeeld en de belangrijkste bevindingen in gewone taal, geschreven voor de directie.
- Scope en methodiek: welke systemen zijn getest, vanuit welk perspectief (black, grey of white box), welke standaard is gevolgd en wat buiten de test viel.
- Bevindingen met ernst: elke bevinding met een ernstniveau en een CVSS-score, inclusief een toelichting in gewone taal op wat die score betekent.
- Impact: wat een aanvaller met deze bevinding bereikt in uw situatie, niet in theorie.
- Herstel: een concreet hersteladvies per bevinding, geschreven voor de ontwikkelaar of beheerder die het moet oplossen.
- Reproductiestappen en bewijs: de exacte stappen om de bevinding zelf na te spelen, met schermafbeeldingen of verzoeken als bewijs, zodat uw team kan controleren dat de fix werkt.
Het rapport is het begin, niet het einde. Elke bevinding staat ook in het portaal, waar u de status bijhoudt: open, in behandeling, opgelost, gemitigeerd of geaccepteerd risico. U nodigt ontwikkelaars uit met een account dat alleen bevindingen toont, zonder zicht op uw overige gegevens. Per bevinding maakt u met één klik een Jira Cloud-issue aan. En bij elke bevinding staat een "prompt voor uw AI-codeertool": een kant-en-klare hersteltaak voor Copilot, Claude of Cursor, geschreven door het testteam, zonder payloads en zonder buitgemaakte inloggegevens.
Wie voert penetratietests uit?
Een penetratietest is zo goed als de persoon die hem uitvoert. Tooling vindt de bekende problemen; de tester vindt de rest. Let daarom op drie dingen.
Certificering. De OSCP (Offensive Security Certified Professional) is de meest erkende praktijkcertificering voor penetratietesters. Het examen duurt 24 uur en vraagt de kandidaat om echte systemen in een lab binnen te dringen en daarover te rapporteren. Bron: OffSec, PEN-200. Bij Budget Security voert een OSCP-gecertificeerde tester elke test handmatig uit; tooling gebruiken wij alleen voor de inventarisatie.
Onafhankelijkheid. De tester mag niet dezelfde partij zijn die uw systemen heeft gebouwd of beheert. Een ontwikkelaar die zijn eigen code test, kijkt met dezelfde blinde vlekken als tijdens het bouwen. Auditors en toezichthouders verwachten een onafhankelijke derde.
Waarom een eigen scan geen pentest is. Zelf een scan draaien is nuttig, maar het is geen penetratietest, ook niet als u het rapport zo noemt. Er is geen handmatige verificatie, geen onderzoek naar businesslogica, geen combinatie van bevindingen en geen onafhankelijk oordeel. Een auditor die om een penetratietest vraagt, wijst een scanrapport af.
Zo werkt het bij Budget Security
Budget Security is een self-serve platform voor penetratietests: u scopet en boekt zelf, zonder verkoopgesprek. Zo verloopt het:
- Registreren. Maak een account aan met uw zakelijke e-mailadres. Een accountmanager keurt elk nieuw account goed, doorgaans binnen 24 uur op werkdagen.
- Asset toevoegen. Voeg uw webapplicatie, API, mobiele app of IP-reeks toe. Voor een webapplicatie kan de scopingengine de omvang zelf bepalen via een crawl; u kunt ook een scopinggesprek aanvragen.
- Testdagen bepalen. De scopingengine bepaalt het aantal testdagen. U ziet direct wat binnen de scope valt en kunt het aantal dagen beperkt aanpassen.
- Datum kiezen. Kies een startdatum. De test start binnen 7 dagen na boeking; eerder is mogelijk, afhankelijk van beschikbaarheid en tegen een urgentietoeslag.
- Boeken. De boeking maakt een offerte aan, geen betaling. U accepteert die in het portaal en de datum staat vast.
- Test volgen. Tijdens de test ziet u de voortgang in het portaal. Bevindingen verschijnen zodra ze zijn bevestigd.
- Rapport downloaden. Binnen 48 uur na afloop van de test staat het rapport in het portaal, als PDF per asset. Betaling volgt na oplevering van het rapport.
- Herstellen en hertesten. Verwerk de bevindingen met uw team in het portaal. Een hertest van de herstelde bevindingen is een betaalde optie van één testdag en sluit de bevindingen in hetzelfde overzicht.
Wat een pentest kost, inclusief calculator, leest u op onze kostenpagina.
FAQ
Veelgestelde vragen over penetratietests
Is een pentest hetzelfde als een penetratietest?
Hoe vaak moet u een penetratietest laten uitvoeren?
Is een penetratietest verplicht?
Wat is een grey-box-penetratietest?
Mag een penetratietest op productie worden uitgevoerd?
Wie mag een penetratietest uitvoeren?
Klaar voor uw penetratietest?
OSCP-gecertificeerde testers, start binnen 7 dagen na boeking en het rapport binnen 48 uur na afloop van de test.