Stel: een medewerker van IT-beveiliging klopt bij de directie aan met de vraag of er een penetratietest mag worden uitgevoerd. De reactie is vaak hetzelfde: waarom zouden we iemand betalen om ons systeem aan te vallen? Toch is dat precies wat steeds meer bedrijven doen, en niet alleen de grote namen met uitgebreide securityteams. In dit artikel leggen wij van Something.be uit wat een penetratietest inhoudt, hoe zo’n traject er in de praktijk uitziet en waarom toezichthouders er steeds vaker naar vragen.
Wanneer is een penetratietest verplicht of dringend nodig?
Niet elk bedrijf is wettelijk verplicht om een pentest te laten uitvoeren, maar de druk neemt snel toe. De Europese NIS2-richtlijn, die in België en Nederland van kracht is voor aanbieders van essentiële en belangrijke diensten, verplicht organisaties om aantoonbaar werk te maken van technische beveiligingsmaatregelen. Een penetratietest is daarvoor een van de meest geaccepteerde bewijzen.
Daarnaast eist de AVG (Algemene Verordening Gegevensbescherming) dat je persoonsgegevens adequaat beveiligt. Dat is bewust vaag geformuleerd, maar bij een datalek zal de Autoriteit Persoonsgegevens of de Belgische GBA vragen wat je deed om kwetsbaarheden te detecteren. Sectoren zoals financiële dienstverlening (denk aan PCI DSS voor betalingsverwerkers) en zorg leggen aanvullende eisen op.
Maar ook zonder wettelijke verplichting zijn er interne triggers die een pentest urgent maken: je hebt een nieuw cloudplatform in gebruik genomen, je bedrijf is overgenomen, een medewerker rapporteert verdacht gedrag in het netwerk, of je hebt net een datalek gehad. Die laatste situatie is geen reden om een test uit te stellen, integendeel.
Wat doet een ethisch hacker anders dan een crimineel?
Technisch gezien: niets. Een ethisch hacker gebruikt dezelfde tools, dezelfde technieken en dezelfde denkwijze als een kwaadwillende aanvaller. Het fundamentele verschil zit in één woord: toestemming. Een ethisch hacker heeft een schriftelijke opdracht, een duidelijk afgebakende scope en een wettelijk kader waarbinnen hij of zij mag handelen.
Die toestemming is geen formaliteit. Ze beschermt zowel de tester als de opdrachtgever, en ze zorgt ervoor dat bevindingen verantwoord worden gedocumenteerd in plaats van misbruikt. Criminelen delen hun kennis niet. Ethische hackers schrijven een rapport.
De vijf fasen van een pentest in de praktijk
Een goede penetratietest verloopt altijd in fasen. Hier is wat er werkelijk gebeurt, in gewone taal.
Fase 1: Verkenning (Reconnaissance)
De tester verzamelt zoveel mogelijk informatie zonder ook maar één systeem aan te raken. Welke domeinen zijn geregistreerd? Staan er medewerkersnamen op LinkedIn? Welke software gebruik je publiek zichtbaar? Een realistisch voorbeeld: via een openbare jobadvertentie ontdekt de tester dat jullie werken met een specifieke versie van een ERP-pakket met bekende kwetsbaarheden.
Fase 2: Scannen
Hier wordt actief gekeken welke poorten, diensten en systemen bereikbaar zijn. Tools zoals Nmap brengen de aanvalsoppervlakte in kaart. Dit is vergelijkbaar met een inbreker die rondloopt en kijkt welke ramen op een kier staan.
Fase 3: Exploitatie
Nu probeert de tester daadwerkelijk binnen te komen via een gevonden kwetsbaarheid. Stel dat het ERP-pakket uit fase 1 een ongepatcht lek heeft in de inlogpagina. De tester gebruikt een bekende exploit om toegang te krijgen tot de applicatieserver.
Fase 4: Privilege-escalatie
Eenmaal binnen kijkt de tester hoe ver die toegang reikt. Kan een gewone gebruiker de rechten van een beheerder overnemen? Kan hij of zij van het ene systeem naar het andere springen? Dit is de fase die vaak de meeste schrik inboezemt, want hier blijkt hoe ver een echte aanvaller zou kunnen gaan.
Fase 5: Rapportage
Alles wordt gedocumenteerd: wat gevonden is, hoe het gevonden is, welk risico het vormt en hoe je het kunt oplossen. Dit rapport is het eindproduct waar je als opdrachtgever recht op hebt en waarmee je aan de slag gaat.
Black box, grey box of white box: wat past bij jou?
Er zijn drie testmethodes, en de keuze hangt af van wat je wil weten.
- Black box: de tester krijgt geen informatie vooraf. Dit simuleert een externe aanvaller die niets van je weet. Realistisch, maar duurder en tijdsintensiever.
- Grey box: de tester krijgt beperkte informatie, zoals een gebruikersaccount maar geen adminrechten. Dit is de meest gebruikte methode voor bedrijfsapplicaties.
- White box: de tester krijgt volledige toegang tot documentatie, broncode en architectuur. Ideaal als je diep in de code wil graven, bijvoorbeeld bij softwareontwikkelaars die een nieuw product lanceren.
Wij van Something.be raden de grey box-aanpak aan voor de meeste kmo’s en middelgrote organisaties. Je krijgt een realistisch beeld van wat een gedeeltelijk geïnformeerde aanvaller kan doen, tegen een redelijke kostprijs.
Wie voert de test uit?
Kies voor een gecertificeerde professional met erkende certificeringen zoals CEH (Certified Ethical Hacker), OSCP (Offensive Security Certified Professional) en CISSP. OSCP is in de sector bijzonder gerespecteerd omdat het een praktische examenvorm heeft.
Zorg dat je contract minstens het volgende bevat: een duidelijke scope (welke systemen mogen worden getest), een geheimhoudingsverklaring (NDA), aansprakelijkheidsbepalingen, een escalatieprotocol als er tijdens de test iets misgaat, en een opleverdatum voor het rapport. Laat een jurist meekijken als je er zelf geen verstand van hebt.
Wat kost een penetratietest?
Prijzen variëren sterk. De kosten voor een webapplicatietest liggen doorgaans tussen 2.000 en 6.000 euro terwijl een volledige infrastructuurtest voor een middelgroot bedrijf 8.000 tot 20.000 euro of meer kan kosten, afhankelijk van omvang en complexiteit.
Wat de prijs bepaalt: het aantal systemen in scope, de gekozen methode (black, grey of white box), de diepgang van het rapport en de ervaring van de tester. Goedkoop is hier letterlijk gevaarlijk: een oppervlakkige test geeft je een vals gevoel van veiligheid. Vergelijk offertes op kwaliteit van de methodiek en ervaring van de uitvoerder, niet op dagprijs alleen.
Het eindrapport ontcijferd
Een goed rapport bevat technische bevindingen én een managementsamenvatting. Elk gevonden lek krijgt een CVSS-score (Common Vulnerability Scoring System), van 0 tot 10. Een score boven de 9 is kritiek en vraagt onmiddellijke actie, bij voorkeur binnen 24 tot 72 uur. Scores tussen 7 en 8,9 zijn hoog en moeten binnen twee weken worden aangepakt. Lagere scores kun je inplannen in je reguliere patchcyclus.
Let op dat het rapport niet alleen beschrijft wat er kapot is, maar ook concreet aangeeft hoe je het herstelt. Een tester die dat niet doet, levert geen volwaardig product.
Na de test: retesten en plannen
Een penetratietest is geen eenmalige actie. Nadat je de gevonden lekken hebt opgelost, laat je idealiter een retest uitvoeren door dezelfde tester. Die bevestigt dan schriftelijk dat de kwetsbaarheden zijn gedicht. Dat document is goud waard bij een audit.
Voor de volgende ronde geldt als vuistregel: test minstens één keer per jaar, en altijd na grote wijzigingen in je infrastructuur of applicaties. Wie vandaag begint met plannen, is volgend jaar een stuk weerbaarder.
Een penetratietest geeft je een feitelijk beeld van waar je systemen kwetsbaar zijn, voordat iemand met slechte bedoelingen dat beeld krijgt. De stappen zijn gestructureerd, de rapportage is concreet en de uitkomst is bruikbaar: je weet wat je moet aanpakken en in welke volgorde. Kies een gecertificeerde partij, leg de afspraken goed vast en laat je niet leiden door de laagste prijs. Wat zo’n test kost, weegt zelden op tegen de schade die een geslaagde aanval aanricht.
