Een klant stuurt een vragenlijst over informatiebeveiliging. Halverwege staat de vraag: "Wanneer heeft u voor het laatst een pentest laten uitvoeren?" Of je verzekeraar vraagt of je systemen worden gescand op kwetsbaarheden. Veel ondernemers weten dan niet precies wat het verschil is, en wat ze nodig hebben.
In dit artikel lees je wat een kwetsbaarhedenscan is, wat een pentest is, en wanneer je wat kiest. Zonder vakjargon.
Wat is een kwetsbaarhedenscan?
Een kwetsbaarhedenscan is een automatische controle op bekende zwakke plekken. Software loopt je systemen langs en vergelijkt wat het vindt met lijsten van bekende kwetsbaarheden en veelgemaakte fouten. Denk aan:
- software of een CMS zoals WordPress met een bekend lek;
- poorten en diensten die vanaf internet bereikbaar zijn, terwijl dat niet de bedoeling is;
- een verlopen of zwak ingesteld certificaat op je website;
- instellingen van je mailserver die misbruik makkelijker maken;
- e-mailadressen van je domein die in bekende datalekken voorkomen.
Een scan kan van buitenaf kijken, zoals een aanvaller op internet dat ook doet, of van binnenuit, vanaf je eigen netwerk. Het grote voordeel: een scan is snel, breed en makkelijk te herhalen. Het nadeel: een scan vindt vooral wat al bekend is, en kan niet beoordelen of een combinatie van kleine zwakke plekken samen een groot probleem vormt.
Het Amerikaanse NIST beschrijft beide technieken in zijn handleiding voor beveiligingstesten (SP 800-115): scannen om zwakke plekken in kaart te brengen, en penetratietesten om te bewijzen of ze echt misbruikt kunnen worden.
Wat is een pentest?
Bij een pentest, voluit penetratietest, probeert een specialist met jouw toestemming echt binnen te komen. Niet alleen met software, maar vooral met kennis en creativiteit, zoals een echte aanvaller dat zou doen. Een goede pentester:
- combineert kleine zwakke plekken tot een echte aanvalsroute;
- test ook de logica van een webshop of klantportaal, bijvoorbeeld of je bij de gegevens van een andere klant kunt komen;
- bewijst wat er mis is, in plaats van alleen te melden dat het mis zou kunnen zijn;
- levert een rapport met bevindingen, de ernst ervan en advies om ze op te lossen.
Omdat een pentest maatwerk is, leg je vooraf schriftelijk vast wat er getest wordt, wanneer en hoe. Verderop in dit artikel lees je waar je als opdrachtgever op let.
Het verschil in één overzicht
| Kwetsbaarhedenscan | Pentest | |
|---|---|---|
| Wie of wat | Automatische software | Een specialist, met hulpmiddelen |
| Diepgang | Breed: bekende zwakke plekken | Diep: ook combinaties en logische fouten |
| Bewijs | Meldt wat mogelijk kwetsbaar is | Laat zien wat echt misbruikt kan worden |
| Hoe vaak | Regelmatig, en na elke wijziging | Bijvoorbeeld jaarlijks, of na een grote wijziging |
| Kosten | Laag, soms gratis | Maatwerk, dus duurder |
| Geschikt voor | Elk bedrijf, als basis | Eigen software, webshops, eisen van klanten |
Het ene vervangt het andere niet. Een scan houdt je basis op orde, een pentest toetst op een vast moment hoe sterk je verdediging echt is.
Wat heeft een MKB-bedrijf echt nodig?
Voor de meeste kleine bedrijven ziet de volgorde er zo uit:
- De basis op orde. Tweestapsverificatie op alle accounts, updates op tijd, goede back-ups en beveiliging op je laptops, desktops en servers. Zonder die basis vindt een pentest vooral dingen die je al had kunnen weten.
- Regelmatig scannen. Kijk wat er van buitenaf zichtbaar is: je website, je mailserver, open diensten en gelekte inloggegevens van je domein. Los op wat de scan vindt, begin bij de ernstigste punten.
- Een pentest als het nodig is. Bijvoorbeeld als je:
- een eigen webshop, klantportaal of andere eigen software hebt;
- je IT-omgeving net flink hebt veranderd, zoals een overstap naar de cloud;
- leverancier bent van een organisatie die onder de Cyberbeveiligingswet valt en je klant om bewijs vraagt;
- een certificering zoals ISO 27001 nastreeft, of je cyberverzekering erom vraagt.
Vergeet ook de mens niet. Veel aanvallen beginnen met een nepmail, niet met een technisch lek. Met een phishingsimulatie test je hoe je medewerkers reageren op een realistische nepmail, zonder dat er iets kapot kan.
Waar let je op als je een pentest laat doen?
- Doel en scope op papier. Wat wordt er getest (bijvoorbeeld alleen je webshop) en wat niet? In welke periode?
- Toestemming geregeld. Een pentest zonder toestemming is gewoon hacken. Spreek ook af of je hosting- of cloudpartij moet worden ingelicht.
- Begrijpelijk rapport. Vraag om een samenvatting voor de directie naast de technische details, met per bevinding de ernst en een concreet advies.
- Hertest na herstel. Laat na het oplossen controleren of de lekken echt dicht zijn.
- Ervaring en referenties. Vraag naar vergelijkbare opdrachten en hoe de pentester met jouw gegevens omgaat.
Na de scan: oplossen en bijhouden
Een scan of pentest is een momentopname. Er komen elke dag nieuwe kwetsbaarheden bij, en je eigen omgeving verandert ook: een nieuwe medewerker, een nieuwe tool, een nieuwe website. Daarom is het slim om je buitenkant regelmatig te laten controleren en verdacht gedrag op je apparaten en accounts te laten bewaken.
In Gentic Pro en Ultimate wordt je domein ongeveer elke tien dagen opnieuw gecontroleerd op gelekte inloggegevens, en worden je domeinen, subdomeinen en IP-adressen periodiek nagelopen. Ons team bewaakt daarnaast je accounts en apparaten 24/7 via Managed Detection & Response.
Begin met een gratis kwetsbaarhedenscan
Wil je weten wat een aanvaller nu al van buitenaf over je bedrijf kan zien? Vraag een gratis kwetsbaarhedenscan aan. Je krijgt een rapport in het Nederlands met een score en concrete adviezen. Liever eerst praten over wat bij jouw bedrijf past? Plan een gratis demo.
