Pentest laten uitvoeren

Een pentest (penetratietest) is een gecontroleerd beveiligingsonderzoek waarbij een specialist met de technieken van een echte aanvaller probeert binnen te dringen in uw systemen. Secure Sense voert pentesten uit voor het Nederlandse MKB: webapplicaties, API's, netwerken en Microsoft 365-omgevingen. U krijgt een helder rapport met elk risico en het bijbehorende herstel, en u spreekt altijd direct de specialist die zelf test.

Wat is een pentest?

Bij een pentest kruipt een ethisch hacker in de huid van een aanvaller en probeert hij daadwerkelijk binnen te komen: via kwetsbaarheden in uw applicatie, verkeerde configuraties, zwakke wachtwoorden of onveilige koppelingen. Het verschil met een echte aanval? Alles gebeurt met uw toestemming, binnen een afgesproken scope, en elke bevinding wordt vastgelegd zodat u het kunt oplossen.

Secure Sense test handmatig volgens erkende methodieken, waaronder de OWASP top 10, ondersteund door professionele tooling. Elke bevinding wordt handmatig geverifieerd, zodat u geen rapport vol loze meldingen krijgt maar een lijst met echte, aangetoonde risico's.

Wanneer heeft u een pentest nodig?

• Een klant of partner vraagt om bewijs. Steeds meer grote organisaties vallen onder de Cyberbeveiligingswet en moeten hun leveranciers aantoonbaar veilig inrichten. Een recent pentestrapport is het bewijs dat u dan overlegt.
• U wilt ISO 27001 halen of behouden. Certificerende instanties verwachten dat u de effectiviteit van uw beveiliging periodiek toetst.
• Er gaat iets nieuws live. Een nieuwe webapplicatie, een grote release, een koppeling met een externe partij: het moment om te testen voordat aanvallers het doen.
• Uw cyberverzekeraar stelt eisen. Verzekeraars vragen in toenemende mate om aantoonbare maatregelen en periodieke tests.
• U heeft een incident gehad. Na een aanval of datalek wilt u zeker weten dat de deuren nu wel dicht zitten.
• U wilt gewoon weten waar u staat. Ook zonder directe aanleiding is een pentest de snelste route van aannames naar feiten.

Welke pentesten voeren wij uit?

Webapplicatie en API. Websites, webshops, klantportalen, SaaS-applicaties en API's. Wij testen op onder meer de OWASP top 10: van injectie en toegangscontrole tot sessiebeheer en logica-fouten. Optioneel gecombineerd met een secure code review van de broncode. Meer over de webapplicatie-pentest

Netwerk en infrastructuur. Uw kantoornetwerk, servers, wifi en externe toegangen, getest van buitenaf en van binnenuit. Hoe ver komt een aanvaller die één werkplek of het gastennetwerk te pakken heeft? Meer over de netwerk-pentest

Microsoft 365. De plek waar uw e-mail, documenten en identiteiten samenkomen, en daarmee een geliefd doelwit. Wij controleren de configuratie en tonen aan wat een aanvaller met een gestolen account zou kunnen. Meer over de Microsoft 365-audit

Maatwerk. Cloudomgevingen, SaaS-platformen zoals Salesforce en AFAS, of een combinatie met een phishing-simulatie: in de intake bepalen we samen de juiste scope. Bekijk alle diensten

Black box, grey box of white box?

Het verschil zit in hoeveel voorkennis de tester krijgt. Bij een black box test weten we vooraf niets en benaderen we uw systemen als een buitenstaander. Bij een grey box test krijgen we beperkte voorkennis, zoals een gebruikersaccount of documentatie. Bij een white box test krijgen we volledige inzage, tot aan broncode toe.

Voor de meeste organisaties is grey box de beste keuze: de test gaat dieper omdat er geen tijd verloren gaat aan gissen, en u ziet zowel wat een buitenstaander als wat een ingelogde gebruiker kan bereiken. In de intake adviseren wij wat bij uw situatie en doel past.

Onze aanpak in zes stappen

Stap 1: Kennismaking en intake. Kosteloos. We bespreken de aanleiding, het doel en de scope: wat testen we wel, wat niet.

Stap 2: Offerte met vaste prijs. Op basis van de intake ontvangt u een offerte met een vaste prijs en een duidelijke scope.

Stap 3: Voorbereiding. We plannen de testperiode, wisselen contactpersonen uit en leggen de toestemming formeel vast. Ook uw hostingpartij wordt waar nodig geïnformeerd; daar helpen wij bij.

Stap 4: Uitvoering. De pentest wordt handmatig uitgevoerd, ondersteund door tooling. Treffen we een kritieke kwetsbaarheid aan, dan melden we die direct, zodat u niet op het rapport hoeft te wachten.

Stap 5: Rapport en persoonlijke toelichting. Na afronding ontvangt u het rapport en nemen we het samen door, met uw IT-partij erbij als u dat wilt.

Stap 6: Herstel en optionele hertest. Na het doorvoeren van de fixes controleren we op verzoek of alles echt dicht zit.

Wat staat er in het pentestrapport?

Het rapport is geschreven voor twee lezers tegelijk. De managementsamenvatting geeft in gewone taal het beeld: hoe staat u ervoor en wat verdient prioriteit. Het technische deel geeft per bevinding de risicoclassificatie (op basis van CVSS), het aangetoonde bewijs met reproductiestappen en een concreet hersteladvies. U kunt het rapport direct delen met uw directie, uw IT-partij of de klant die om bewijs vroeg.

Waarom Secure Sense?

• De specialist zelf. Geen accountmanagers: u spreekt van intake tot hertest dezelfde persoon die uw systemen test.
• Sinds 2019. Secure Sense helpt Nederlandse bedrijven met pentesten, security-audits en weerbaarheid.
• Handmatig en geverifieerd. Erkende methodieken zoals de OWASP top 10, elke bevinding aangetoond en gecontroleerd op false positives.
• Helder rapport. Begrijpelijk voor de directie, concreet voor de techniek.
• Vaste prijs, discreet. Vooraf een vaste prijs en strikte vertrouwelijkheid, vastgelegd in onze afspraken.

Veelgestelde vragen over pentesten

Wat kost een pentest?
Dat hangt af van de omvang, diepgang en het type test. Na een kosteloze intake ontvangt u een offerte met een vaste prijs. Lees welke factoren de prijs bepalen.

Hoe lang duurt een pentest?
De meeste pentesten beslaan 16 tot 40 uur testwerk, verspreid over één tot twee weken, afhankelijk van de scope. Daarna volgt het rapport.

Kan een pentest onze systemen verstoren?
Wij testen zorgvuldig en maken vooraf afspraken over risicovolle acties, testmomenten en een eventuele acceptatieomgeving. De kans op verstoring is daardoor klein.

Wat hebben jullie van ons nodig?
Een duidelijke scope, een contactpersoon, formele toestemming en bij een grey box test bijvoorbeeld een testaccount. Wij begeleiden u door de voorbereiding.

Is een pentest verplicht?
Geen enkele wet schrijft elk bedrijf een pentest voor, maar de Cyberbeveiligingswet, ISO 27001, klanten en verzekeraars vragen steeds vaker om aantoonbaar bewijs.

Hoe vaak is een pentest nodig?
Vuistregel: minimaal jaarlijks, en daarnaast bij grote wijzigingen. Tussen pentests door houdt vulnerability scanning uw omgeving in de gaten.

Weten waar u staat? Plan een kosteloze intake of vraag direct een offerte aan. U hoort persoonlijk van de specialist die uw pentest ook daadwerkelijk uitvoert.