Nee, een pentestrapport zonder critical findings betekent niet automatisch dat je organisatie veilig is. Een pentest meet een specifieke scope, op een specifiek moment in de tijd, met een specifieke methode. Wat buiten die scope valt, op het moment van de test niet bestond, of niet als losstaande bevinding zichtbaar was, blijft onzichtbaar in het rapport. De vragen hieronder leggen uit waarom die nuance zo belangrijk is en wat je er wél uit kunt concluderen.
Wat meet een pentest eigenlijk, en wat niet?
Een pentest meet of specifieke systemen, applicaties of netwerksegmenten op het moment van de test kwetsbaar zijn voor bekende aanvalstechnieken, binnen een vooraf afgesproken scope. Wat een pentest niet meet, is minstens zo belangrijk: alles buiten die scope, nieuwe kwetsbaarheden die na de test ontstaan, en aanvalspaden die alleen zichtbaar worden door meerdere zwaktes te combineren.
Er zijn ruwweg drie lagen waarop offensieve security waarde toevoegt:
- Bekende kwetsbaarheden (layer 1): Publieke CVE’s, ontbrekende patches en bekende exploits. Dit is het domein van geautomatiseerde vulnerability scans.
- Individuele zwaktes (layer 2): Verkeerde cloudconfiguraties, te ruime permissies, identity weaknesses en onveilige applicatie-instellingen. Hier begint handmatig pentesten pas echt waarde te leveren.
- Gecorreleerde aanvalspaden (layer 3): Combinaties van meerdere kleine zwaktes die samen leiden tot een serieuze aanval. Dit is waar een goede pentest of red team engagement het verschil maakt.
Een standaard pentest kijkt niet altijd naar alle drie de lagen. Veel pentests stoppen bij layer 1 of layer 2. Dat levert een rapport op met bevindingen, maar het zegt weinig over hoe een echte aanvaller jouw organisatie zou benaderen. Begrijpen wat een pentest wél en niet dekt, is daarom de eerste stap in het correct interpreteren van de uitkomsten.
Wat betekent ‘geen critical findings’ in een pentestrapport?
‘Geen critical findings’ betekent dat de pentesters binnen de afgesproken scope en tijdspanne geen kwetsbaarheden hebben gevonden die zij als kritiek classificeren. Het zegt niets over wat buiten de scope valt, niets over aanvalspaden die pas zichtbaar worden bij combinaties van zwaktes, en niets over wat morgen of volgende maand kwetsbaar wordt.
De classificatie van een bevinding als ‘critical’ hangt bovendien af van hoe de pentest is opgezet. Een SSRF-kwetsbaarheid kan op zichzelf als medium worden geclassificeerd. Maar als diezelfde SSRF toegang geeft tot een managed identity, die vervolgens via Azure RBAC toegang heeft tot een Key Vault, en die Key Vault subscription owner-rechten bevat, dan is de gecombineerde aanvalsketen ronduit kritiek. Losse bevindingen zeggen weinig. Aanvalspaden zeggen alles.
Aanvallers denken niet in findings. Ze denken in routes. Een rapport zonder critical findings kan dus een volledig valide technisch document zijn, terwijl er tegelijkertijd een aanvalspad bestaat dat niet als zodanig is herkend of onderzocht.
Waarom kunnen aanvallers slagen waar een pentest niets vindt?
Aanvallers slagen waar een pentest niets vindt omdat ze denken in organisatiestructuren, niet in geïsoleerde technische bevindingen. Een pentest is doorgaans tijdgebonden en scopegebonden. Een aanvaller werkt zonder tijdslimiet en zonder scopebeperking, en combineert informatie over leveranciers, identities, permissies en configuraties op manieren die een gestructureerde test niet altijd nabootst.
Een aanvaller begint bovendien vaak niet met het afvuren van exploits. Eerst wordt de organisatie in kaart gebracht: welke leveranciers hebben toegang, welke accounts bestaan er, welke rechten zijn er toegewezen, welke certificeringen en beveiligingsmaatregelen zijn aanwezig, en waar zitten de gaten tussen die maatregelen. Dit verkenningswerk levert soms al voldoende informatie om een aanval te plannen, nog voordat er ook maar één technische kwetsbaarheid is geëxploiteerd.
Dat maakt het ook zo lastig om op basis van een pentestrapport te concluderen dat je veilig bent. Een pentest is een momentopname van wat testers vinden binnen een afgebakende context. Een aanvaller heeft geen last van die beperkingen.
Hoe snel veroudert een pentestrapport?
Een pentestrapport veroudert direct na afronding. Zodra nieuwe software wordt uitgerold, configuraties worden gewijzigd, medewerkers van rol wisselen of leveranciers toegang krijgen, weerspiegelt het rapport niet langer de werkelijke situatie. In een omgeving die continu verandert, is een jaarlijks rapport al na enkele weken een historisch document.
Cybercriminelen ontwikkelen het hele jaar door nieuwe aanvalstechnieken. Een kwetsbaarheid die op de dag van de test niet bestond, kan een maand later al actief worden misbruikt. Een jaarlijkse penetratietest is in die zin vergelijkbaar met een foto van een bewegend doelwit: de foto klopt op het moment van de opname, maar de werkelijkheid is al veranderd tegen de tijd dat je de foto bekijkt.
Dit is geen argument om pentests te vermijden. Het is een argument om te begrijpen wat een pentest wel en niet garandeert, en om na te denken over wat er tussen twee pentests in gebeurt met de beveiliging van je omgeving.
Wanneer is een jaarlijkse pentest wel of niet voldoende?
Een jaarlijkse pentest is voldoende als je omgeving nauwelijks verandert, de scope beperkt en stabiel is, en je de uitkomsten gebruikt als aanvulling op een bredere beveiligingsstrategie. Voor de meeste organisaties is dat niet het geval. Hoe dynamischer de omgeving, hoe sneller een jaarlijkse test zijn waarde verliest.
Wanneer een jaarlijkse pentest redelijk volstaat
Voor organisaties met een kleine, stabiele IT-omgeving, beperkte cloudadoptie en weinig externe leveranciers kan een jaarlijkse pentest een zinvolle basistest zijn. Zeker als die wordt gecombineerd met regelmatige vulnerability scans en een helder patchbeleid. De pentest fungeert dan als periodieke dieptecheck bovenop bestaande basismaatregelen.
Wanneer een jaarlijkse pentest onvoldoende is
Voor organisaties die regelmatig nieuwe systemen uitrollen, werken met meerdere externe leveranciers of als Managed Service Provider (MSP) diensten leveren aan klanten, schiet een jaarlijkse test structureel tekort. Een MSP is bovendien een aantrekkelijk doelwit voor aanvallers: het compromitteren van één MSP geeft potentieel toegang tot alle klanten van die MSP. De verantwoordelijkheid die daarmee gepaard gaat, vraagt om een frequentere en meer geïntegreerde aanpak van security testing. Meer weten over wat continu testen inhoudt? Bekijk onze aanpak voor continue security testing.
Hoe weet je dan of je organisatie echt veilig is?
Absolute veiligheid bestaat niet, maar je kunt wel weten hoe weerbaar je organisatie is op dit moment. Dat vereist meer dan een jaarlijkse pentest: het vraagt om continu inzicht in je aanvalsoppervlak, aandacht voor aanvalspaden in plaats van losse bevindingen, en een beveiligingsstrategie die meeverandert met je omgeving.
Concrete indicatoren van echte weerbaarheid zijn:
- Je weet welke systemen, identities en leveranciers toegang hebben tot je omgeving, en je beheert die toegang actief.
- Bevindingen uit eerdere tests zijn aantoonbaar opgelost en niet alleen gerapporteerd.
- Je test niet alleen op bekende kwetsbaarheden, maar ook op aanvalspaden en combinaties van zwaktes.
- Je beveiligingsbeleid en je technische maatregelen worden regelmatig getoetst aan de werkelijke dreigingen die voor jouw sector relevant zijn.
- Medewerkers zijn getraind en bewust van hun rol in de beveiliging van de organisatie.
Een pentestrapport zonder critical findings is een goed teken, maar het is geen eindpunt. Weerbaarheid is een levende capaciteit, geen certificaat dat je eenmalig verdient.
Hoe Q-Cyber helpt bij het interpreteren en verbeteren van je pentestresultaten
Bij Q-Cyber geloven we dat een pentestrapport pas echt waarde heeft als je begrijpt wat het zegt én wat het niet zegt. Onze ethical hackers voeren handmatige penetratietests uit die verder gaan dan bekende CVE’s en geautomatiseerde scans. We kijken naar aanvalspaden, gecorreleerde zwaktes en de combinaties die een echte aanvaller zou benutten.
Wat we concreet bieden:
- Handmatige pentests uitgevoerd door gecertificeerde ethical hackers, gericht op aanvalspaden en niet alleen op losse bevindingen
- Heldere rapportage met concrete prioriteiten, zodat je direct weet waar actie vereist is
- Continuous-Q® voor organisaties die continu inzicht willen in hun weerbaarheid, inclusief periodieke retests en een team van specialisten dat meekijkt
- Onafhankelijk advies zonder afhankelijkheid van softwarepartijen of toeleveranciers
- Ondersteuning bij beleid en compliance, zodat technische bevindingen ook vertaald worden naar organisatorische maatregelen
Wil je weten wat een pentest door Q-Cyber voor jouw organisatie oplevert, of wil je bespreken of jouw huidige aanpak voldoende is? Neem contact met ons op en we denken graag met je mee.
Gerelateerde artikelen
- Voor welke bedrijven geldt NIS2?
- Wat is een NIS2-audit en hoe bereid je je daarop voor?
- Welke openbare informatie gebruiken hackers om een aanval voor te bereiden?
- Wat is een APT (Advanced Persistent Threat)?
- Hoe voer je een privacycheck uit op je website?
- NIS2-richtlijn uitgelegd: verplichtingen voor het mkb
- Hoe voer je een risicoanalyse uit voor informatiebeveiliging?
- Wat is pentesten?
- Hoe integreer je pentesten in DevSecOps?