Veelgestelde vragen over pentesten en security

Alle antwoorden over pentesten, security audits en wat u daarvan kunt verwachten, in begrijpelijke taal. Staat uw vraag er niet bij? Stel hem via het contactformulier; u krijgt antwoord van de specialist zelf.

Wat is een pentest?

Een pentest (penetratietest) is een gecontroleerd beveiligingsonderzoek waarbij een specialist met de technieken van een echte aanvaller probeert binnen te dringen in uw systemen. Alle bevindingen worden vastgelegd in een rapport met per kwetsbaarheid het risico en een concreet hersteladvies. Zo weet u waar u kwetsbaar bent voordat een aanvaller het ontdekt.

Wat is het verschil tussen een pentest en een vulnerability scan?

Een vulnerability scan is geautomatiseerd en vindt vooral bekende kwetsbaarheden en configuratiefouten. Een pentest gaat verder: een specialist combineert bevindingen, denkt als aanvaller en toont aan wat er werkelijk mogelijk is. De scan is de rookmelder, de pentest de brandweeroefening. Ideaal is de combinatie: periodiek scannen, jaarlijks testen.

Wat betekenen black box, grey box en white box?

Het verschil zit in de voorkennis van de tester. Black box: geen enkele voorkennis, zoals een externe aanvaller. Grey box: beperkte voorkennis, zoals een testaccount of documentatie. White box: volledige inzage, tot aan de broncode. Grey box biedt voor de meeste organisaties het beste inzicht, omdat er geen testtijd verloren gaat aan gissen.

Welke soorten pentesten voert Secure Sense uit?

Wij testen webapplicaties en API's, netwerken en infrastructuur (intern en extern) en Microsoft 365-omgevingen. Daarnaast voeren we phishing-simulaties uit en combineren we testvormen in overleg, bijvoorbeeld een webapplicatie-pentest met een secure code review.

Is een pentest hetzelfde als een security audit?

Een security audit is het bredere begrip: elke systematische beoordeling van uw beveiliging. Een pentest is de meest praktijkgerichte vorm, waarbij daadwerkelijk wordt aangetoond wat een aanvaller kan. Bij Secure Sense is de pentest de kern van vrijwel elke audit.

Hoe lang duurt een pentest?

De meeste pentesten beslaan 16 tot 40 uur testwerk, verspreid over één tot twee weken. Een gemiddelde webapplicatie vraagt 16 tot 24 uur, een uitgebreide applicatie of infrastructuurtest 40 uur of meer. De exacte omvang bepalen we tijdens de kosteloze intake, en daarna weet u ook wanneer het rapport er ligt.

Kan een pentest onze systemen verstoren?

De kans daarop is klein. Wij testen behoedzaam, stemmen risicovolle acties vooraf af en kunnen uitwijken naar een acceptatieomgeving of naar momenten buiten kantoortijden. Verstoring voorkomen is een vast onderdeel van de voorbereiding.

Wat hebben jullie van ons nodig?

Weinig: een duidelijke scope, een contactpersoon, formele toestemming en bij een grey box test bijvoorbeeld een testaccount. Wij begeleiden u stap voor stap door de voorbereiding, inclusief de afstemming met uw hostingpartij als dat nodig is.

Moet onze hostingpartij toestemming geven?

Vaak wel: veel hostingpartijen willen vooraf weten dat er getest wordt. Wij kennen de gangbare procedures en helpen u de toestemming snel te regelen.

Wat staat er in het pentestrapport?

Het rapport bevat een managementsamenvatting in begrijpelijke taal, de scope en aanpak, en per bevinding de risicoclassificatie (op basis van CVSS), het aangetoonde bewijs met reproductiestappen en een concreet hersteladvies. Daarmee kan uw directie beslissen en uw IT-partij direct aan de slag.

Helpen jullie ook bij het oplossen?

Het rapport bevat per bevinding een concreet hersteladvies, en bij de persoonlijke toelichting nemen we de aanpak door, desgewenst met uw IT-partij erbij. Het herstel zelf voert uw eigen team of leverancier uit; voor vragen tijdens dat traject zijn we bereikbaar.

Wat is een hertest?

Bij een hertest controleren we na het herstel of de gevonden kwetsbaarheden daadwerkelijk zijn opgelost. U ontvangt daarvan een bevestiging, zodat u ook richting klanten of auditors kunt aantonen dat de bevindingen zijn verholpen. De hertest is een optionele extra controle na de pentest.

Wat kost een pentest?

Er is geen vaste prijs: de kosten hangen af van de omvang van de scope, de diepgang en het type test. In een kort, kosteloos intakegesprek bepalen we samen de omvang. Daarna ontvangt u een offerte met een vaste prijs, zodat u nooit voor verrassingen staat. Lees welke factoren de prijs bepalen.

Hoe gaan jullie om met vertrouwelijke informatie?

Discretie is een kernwaarde. Geheimhouding leggen we standaard vast in onze afspraken, testgegevens behandelen we zorgvuldig en het rapport is en blijft van u. Ook over het bestaan van de opdracht communiceren wij niets zonder uw toestemming.

Waarom zou ik voor een klein bureau kiezen?

Omdat u bij Secure Sense altijd direct de specialist spreekt die uw systemen zelf test, van intake tot hertest. Dat betekent korte lijnen, geen miscommunicatie via accountmanagers en een rapport van iemand die uw situatie echt kent.

Is een pentest verplicht?

Geen enkele wet schrijft elk bedrijf een pentest voor. Maar de Cyberbeveiligingswet (NIS2) eist dat organisaties de effectiviteit van hun beveiliging beoordelen, ISO 27001 verwacht periodieke toetsing, en steeds meer klanten en verzekeraars vragen om een recent pentestrapport als bewijs.

Hoe vaak moet u een pentest laten uitvoeren?

De vuistregel: minimaal jaarlijks, en daarnaast bij grote wijzigingen zoals een nieuwe applicatie, een migratie of een overname. Tussen pentests door houdt vulnerability scanning uw omgeving doorlopend in de gaten.

Helpt een pentest bij de Cyberbeveiligingswet (NIS2)?

Ja. De zorgplicht verplicht organisaties om te beoordelen of hun maatregelen werken; een periodieke pentest is daarvoor de meest concrete invulling. Valt u zelf niet onder de wet, dan is het rapport het bewijs waarmee u ketenvragen van grote klanten beantwoordt.

Wij zijn maar een klein bedrijf. Is dit wel relevant voor ons?

Juist kleinere bedrijven zijn een aantrekkelijk doelwit: aanvallen verlopen grotendeels geautomatiseerd en maken geen onderscheid naar bedrijfsgrootte. Bovendien stellen grote klanten hun beveiligingseisen steeds vaker door aan kleinere leveranciers. Een pentest maakt uw beveiliging aantoonbaar, ook commercieel.

Weten waar u staat? Vraag een vrijblijvende offerte aan; u hoort persoonlijk van de specialist die uw pentest ook uitvoert.

Laatst bijgewerkt: 20 oktober 2026.