We vallen je systemen aan voordat iemand anders het doet

Je hebt een firewall, wachtwoorden met hoofdletters en een leverancier die zegt dat het goed zit. Toch weet niemand of een buitenstaander binnen zou komen, want niemand heeft het ooit geprobeerd. Intussen vraagt een verzekeraar erom, of een grote klant, of een aanbesteding waar je aan meedoet. Een penetratietest geeft daar een eerlijk antwoord op, om de simpele reden dat we het gewoon proberen.

Wat een penetratietest wel en niet is

Een geautomatiseerde scan draait een lijst bekende kwetsbaarheden af en levert honderden meldingen op, waarvan het merendeel er in jouw situatie niet toe doet. Een penetratietest is iets anders. Wij combineren die scan met handwerk en ketenen kleine fouten aan elkaar tot ze samen wel gevaarlijk worden. Een vergeten testomgeving, een API die net iets te veel teruggeeft en een account van een medewerker die vorig jaar vertrok zijn los onschuldig. Achter elkaar gezet zijn ze een route naar binnen.

Het resultaat is een vastgelegde momentopname van wat er op de dag van de test mogelijk was, in een rapport dat je aan een klant of een auditor kunt laten zien. Wil je toewerken naar een norm, dan hoort dat bij ISO 27001 & NEN 7510.

Hoe we te werk gaan

We beginnen bij de scope, en daar nemen we de tijd voor. Welke domeinen, welke servers, welke applicaties? Mag de test op je productieomgeving of zetten we een kopie klaar? Wat doen we als we echt binnen zijn: stoppen we daar, of kijken we hoe ver we komen? Dat leggen we schriftelijk vast, samen met de dagen waarop we testen en een telefoonnummer voor het geval er iets omvalt.

Daarna testen we. Eerst de buitenkant: je website, je mailserver, je VPN en de poorten die openstaan zonder dat iemand nog weet waarom. Daarna de applicatie zelf, op de dingen die in de praktijk misgaan, zoals invoer die niet gecontroleerd wordt, sessies die veel te lang blijven leven en gebruikers die bij de gegevens van een ander kunnen. Waar je dat wilt, testen we ook vanaf een gewone werkplek binnen het netwerk, want de meeste echte schade begint met één account dat in verkeerde handen valt.

Het rapport dat je overhoudt

Je krijgt geen exportbestand van een scanner. Je krijgt een rapport waarin elke bevinding in gewone taal staat beschreven: wat we deden, wat we zagen, wat een aanvaller ermee zou kunnen en wat het ongeveer kost om het te dichten. Alles staat op volgorde van risico, zodat je bovenaan begint en niet in een alfabetische lijst hoeft te zoeken. Voorin zit een samenvatting van twee pagina's die je directie of je opdrachtgever kan lezen zonder technische kennis.

Vinden we tijdens de test iets waarmee iemand er vandaag nog in kan, dan wachten we niet tot het rapport klaar is. We bellen je diezelfde dag en vertellen je dat direct, met een tijdelijke maatregel die je meteen kunt nemen. De rest bewaren we voor de rapportage, zodat je team het in één keer kan oppakken in plaats van in losse berichten.

Wat er na de test gebeurt

Een rapport dat in een la verdwijnt heeft niemand geholpen. We lopen de bevindingen met je team door, zodat je beheerder of je softwareleverancier precies weet wat er moet gebeuren en waarom het in die volgorde staat. Waar het onze eigen code of de infrastructuur raakt die wij beheren, repareren we het zelf. Waar het bij een leverancier ligt, schrijven we de melding zo op dat die er zonder tussenstap mee aan de slag kan.

Zijn de reparaties klaar, dan testen we opnieuw wat we gevonden hebben en leggen we vast wat nu wel en niet meer werkt. Die hertest is het stuk dat je aan een auditor of aan je verzekeraar laat zien. Valt je organisatie onder NIS2, of gebruik je modellen die onder de EU AI Act vallen, dan stemmen we het testritme af op wat die regels van je vragen. Van het rapport tot de bewijsstukken die we onderweg verzamelen: je bent de eigenaar, en wij bewaren niets wat jij niet wilt.