Hoe weet je of een pentest grondig genoeg is uitgevoerd?

Je hebt een pentest laten uitvoeren. Goed gedaan. Maar dan komt de echte vraag: was die test ook grondig genoeg? Een rapport met tientallen bevindingen klinkt indrukwekkend, maar zegt op zichzelf weinig over de werkelijke kwaliteit van de test. Een goede pentest kijkt verder dan bekende kwetsbaarheden en reproduceert hoe een echte aanvaller denkt en handelt. In dit artikel leer je stap voor stap hoe je de kwaliteit van een pentest beoordeelt, zodat je zeker weet of je beveiligingstest daadwerkelijk waarde heeft geleverd.

Wat een grondig pentestrapport moet bevatten

Begin bij het rapport zelf. Een kwalitatief hoogwaardig pentestrapport is meer dan een lijst met gevonden kwetsbaarheden. Het is een gestructureerd document dat je als organisatie in staat stelt om concrete actie te ondernemen. Controleer of het rapport de volgende elementen bevat:

• Een managementsamenvatting die zonder technische kennis leesbaar is en de belangrijkste risico’s helder benoemt
• Een gedetailleerde technische sectie met reproduceerbare bevindingen, inclusief bewijs (screenshots, logs of commando’s)
• Risicoclassificaties per bevinding, met uitleg waarom een kwetsbaarheid als hoog, middel of laag is beoordeeld
• Concrete aanbevelingen per bevinding, niet alleen “patch dit systeem”, maar ook uitleg over de impact als dat niet gebeurt
• Attack paths: een beschrijving van hoe losse zwaktes gecombineerd kunnen worden tot een volledige aanvalsketen

Dat laatste punt is cruciaal. Aanvallers zien geen losse bevindingen. Ze zien aanvalspaden. Een goed rapport laat zien hoe een combinatie van kleine zwaktes, elk onschuldig op zichzelf, kan leiden tot volledige toegang tot kritieke systemen. Ontbreekt die context in het rapport, dan mis je de essentie van wat een professionele pentest onderscheidt van een geautomatiseerde scan.

Controleer de scope en methodologie van de pentest

Een pentest is zo grondig als de afspraken die er vooraf over zijn gemaakt. Bekijk de scope en methodologie kritisch voordat je conclusies trekt uit de resultaten.

1. Controleer welke systemen, netwerken en applicaties zijn meegenomen. Was de scope breed genoeg om realistische aanvalsvectoren te dekken?
2. Vraag of ook externe aanvalsvectoren zijn getest, zoals phishing, supplychaintoegang en identiteitsbeheer
3. Kijk of de test handmatig is uitgevoerd of grotendeels geautomatiseerd. Automatische tools vinden bekende CVE’s, maar missen organisatiespecifieke risico’s zoals te ruime permissies, misconfiguraties in cloudplatformen of zwaktes in identiteitsbeheer
4. Verifieer of de methodologie aansluit op erkende frameworks zoals OWASP, PTES of MITRE ATT&CK

Een veelgemaakte fout is een te smalle scope accepteren. Als alleen de webapplicatie is getest maar de onderliggende cloudinfrastructuur buiten beschouwing is gelaten, heb je een onvolledig beeld. Vraag de uitvoerende partij expliciet te documenteren wat buiten scope viel en waarom.

Beoordeel de diepgang van de gevonden kwetsbaarheden

Het aantal gevonden kwetsbaarheden zegt weinig over de kwaliteit van de pentest. Een goede test vindt niet per se de meeste bevindingen, maar de meest relevante. Beoordeel de diepgang aan de hand van drie lagen:

Laag 1: Bekende kwetsbaarheden

Dit zijn publieke CVE’s, ontbrekende patches en bekende configuratiefouten. Een scanner kan dit vinden. Staan er alleen dit soort bevindingen in het rapport, dan is de test waarschijnlijk grotendeels geautomatiseerd uitgevoerd.

Laag 2: Individuele zwaktes

Denk aan verkeerde Azure-configuraties, te ruime accountrechten, identity weaknesses of onveilige applicatie-instellingen. Deze vereisen handmatig onderzoek en specifieke kennis van de omgeving. Een menselijke tester met offensieve ervaring vindt risico’s die een scanner structureel mist, juist omdat een aanvaller ook kijkt naar organisatiestructuren, leveranciersrelaties en permissies.

Laag 3: Gecorreleerde aanvalspaden

Dit is waar de echte diepgang zit. Vraag jezelf af: beschrijft het rapport hoe meerdere kleine zwaktes samen een gevaarlijk aanvalspad vormen? Een voorbeeld: een SSRF-kwetsbaarheid in combinatie met een managed identity, te ruime Azure RBAC-rechten en toegang tot een Key Vault kan leiden tot volledige controle over een cloudsubscriptie. Elk onderdeel afzonderlijk lijkt misschien laag risico. Samen zijn ze kritiek. Als het rapport dit soort gecorreleerde paden niet beschrijft, ontbreekt de diepste laag van de analyse. Meer over deze aanpak lees je op de pagina over red teaming.

Stel de juiste vragen aan de pentestaanbieder

Een goede manier om de kwaliteit van een pentest te beoordelen, is door gerichte vragen te stellen aan de partij die de test heeft uitgevoerd. Gebruik onderstaande vragen als leidraad:

1. Welke handmatige technieken zijn gebruikt naast geautomatiseerde tools? Een betrouwbare partij kan dit concreet beantwoorden.
2. Hebben jullie ook gekeken naar identiteiten, permissies en supplychaintoegang? Echte aanvallers beginnen hier vaak.
3. Zijn er gecorreleerde aanvalspaden onderzocht? Vraag om een voorbeeld uit het rapport.
4. Wat viel buiten scope en waarom? Dit geeft inzicht in bewuste keuzes versus blinde vlekken.
5. Hoe is de ernst van bevindingen bepaald? Risicoclassificatie moet gebaseerd zijn op exploiteerbaarheid en impact, niet alleen op technische ernst.

Kun je op deze vragen geen duidelijke antwoorden krijgen, dan is dat een signaal dat de test oppervlakkiger was dan gewenst. Een transparante aanbieder legt zijn werkwijze graag uit. Wil je alvast meer begrijpen over hoe security continu getest kan worden, dan geeft de pagina over Continuous-Q een goed beeld van wat doorlopend testen inhoudt.

Valideer de bevindingen met een tweede beoordeling

Zelfs een goed rapport heeft baat bij een onafhankelijke blik. Een tweede beoordeling helpt je te verifiëren of de bevindingen kloppen, of de aanbevelingen realistisch zijn en of er niets over het hoofd is gezien.

1. Laat een interne securityspecialist of een onafhankelijke derde partij de bevindingen doorlopen en beoordelen op volledigheid
2. Verifieer of de beschreven aanvalspaden daadwerkelijk reproduceerbaar zijn. Bevindingen zonder bewijs zijn moeilijk te prioriteren
3. Toets de aanbevelingen op haalbaarheid binnen jouw IT-omgeving. Een goede pentestaanbieder houdt rekening met de praktische context van jouw organisatie
4. Vergelijk de bevindingen met eerdere tests of bekende risico’s in jouw sector om te beoordelen of er blinde vlekken zijn

Met de bevindingen gevalideerd, heb je een betrouwbare basis om prioriteiten te stellen en verbeteringen door te voeren. Onthoud: de waarde van een pentest zit niet in het rapport zelf, maar in wat je ermee doet. Een grondig uitgevoerde test geeft je het inzicht dat nodig is om je beveiliging structureel te versterken.

Hoe Q-Cyber helpt bij het beoordelen en uitvoeren van grondige pentests

Bij Q-Cyber voeren we pentests uit zoals een echte aanvaller dat zou doen: handmatig, methodisch en gericht op de combinatie van zwaktes die samen de grootste risico’s vormen. We kijken verder dan bekende CVE’s en onderzoeken organisatiestructuren, identiteiten, cloudconfiguraties en supplychaintoegang. Zo krijg je niet alleen een lijst met bevindingen, maar een helder beeld van de werkelijke aanvalspaden in jouw omgeving.

Wat je van ons mag verwachten:

• Handmatige pentests uitgevoerd door gecertificeerde ethical hackers met offensieve securityervaring
• Rapportage op drie niveaus: bekende kwetsbaarheden, individuele zwaktes en gecorreleerde aanvalspaden
• Concrete aanbevelingen die aansluiten bij de praktische context van jouw organisatie
• Onafhankelijk advies, zonder afhankelijkheid van softwarepartijen of toeleveranciers
• Optionele doorgroei naar Continuous-Q, voor organisaties die veiligheid structureel willen borgen in plaats van eenmalig meten

Wil je weten of jouw beveiliging een grondige test doorstaat? Neem contact op en we bespreken samen wat een pentest voor jouw organisatie kan betekenen.

Gerelateerde artikelen

• Hoe bescherm je bedrijfsdata in de cloud?
• Hoe ontstaat een attack path tijdens een cyberaanval?
• Verwerkingsregister: hoe maak je er een?
• Patch management: waarom updates zo belangrijk zijn
• Dark web monitoring: wat is het en heb je het nodig?
• Hoe implementeer je zero trust in een mkb?
• Hoe meld je een datalek bij de Autoriteit Persoonsgegevens?
• Zijn er tools om te controleren of mijn server kwetsbaarheden heeft?
• Wat gebeurt er na een pentest?
• Hoe toets ik of onze firewall en beveiliging echt werken?