Pentestpartij wisselen levert een frisse blik: een andere tester probeert andere dingen en vindt bijna altijd iets wat de vorige niet vond. Vasthouden aan één partij levert opgebouwde kennis en minder verkenningstijd. Beide argumenten zijn geldig, en in scopegesprekken komen ze allebei even vaak voor. De vraag is wat in jouw situatie zwaarder weegt.
Kort samengevat
- Wisselen geeft nieuwe aanvalspaden; vasthouden geeft opgebouwde kennis.
- Elke nieuwe partij begint bij nul, en dat kost testdagen.
- Het beste compromis: dezelfde partij, een andere tester, of periodiek een onafhankelijke toets op de toets.
- Wat je ook kiest: verander elk jaar de uitgangspositie, niet alleen de leverancier.
Er zijn organisaties die principieel elk jaar een andere partij inhuren, en organisaties die al vijf jaar bij dezelfde zitten. Beide kunnen dat goed onderbouwen. Wat opvalt in de gesprekken: de keuze wordt zelden bewust gemaakt. Wisselen gebeurt omdat het contract afloopt of omdat iemand ontevreden was; vasthouden gebeurt omdat het makkelijk is. Beter is om de keuze te maken op wat je ermee wilt bereiken.
Wat levert pentestpartij wisselen op?
Nieuwe aanvalspaden. Elke tester heeft voorkeuren, ervaring en gewoontes. Wie jouw omgeving voor het eerst ziet, probeert dingen die de vorige tester niet probeerde, simpelweg omdat hij anders denkt. Organisaties die een tweede partij inhuren nadat de eerste weinig vond, krijgen bijna altijd nieuwe bevindingen. Niet omdat de eerste slecht was, maar omdat verschillende mensen verschillende dingen zien.
Onafhankelijkheid. Een partij die je omgeving al jaren test, ontwikkelt onbewust dezelfde aannames als jij. Ze weten dat dat ene systeem “niet in scope” is en vragen er niet meer naar. Een nieuwe partij weet dat niet en vraagt het wel.
Een tweede mening op de eerste. Sommige organisaties gebruiken pentestpartij wisselen bewust als toets: als de nieuwe partij vindt wat de vorige heeft gemist, zegt dat iets over de vorige. Als de nieuwe partij hetzelfde vindt, zegt dat iets over de kwaliteit van beide.
Wat kost het?
Verkenningstijd. Elke nieuwe partij moet je omgeving leren kennen. Scopegesprek, documentatie, eerste indruk. Bij een test van vijf dagen kan daar een dag in gaan zitten die bij een vaste partij naar testen zou gaan.
Vergelijkbaarheid. Andere methodiek, andere rapportage, andere ernstindeling. Wil je weten of je beter of slechter scoort dan vorig jaar, dan is dat met twee verschillende rapporten lastiger dan het klinkt.
Inkoopwerk. Elk jaar opnieuw offertes vergelijken kost tijd, en de valkuil dat je op prijs kiest in plaats van op scope wordt elk jaar opnieuw gezet.
Verlies van opgebouwde kennis. Een tester die je omgeving voor het derde jaar ziet, weet waar vorig jaar de zwakke plekken zaten en controleert of die dicht zijn. Een nieuwe tester weet dat niet.
Welke aanpak past bij welke situatie?
- Nog nooit getest, of één keer: blijf de eerste jaren bij één partij. Bouw een basis en een meerjarenplan voordat je aan roulatie denkt.
- Al jaren dezelfde partij, weinig nieuwe bevindingen: wissel, of vraag de vaste partij om een andere tester. De kans is groot dat er blinde vlekken zijn ontstaan.
- Groot landschap, veel testdagen per jaar: overweeg twee partijen naast elkaar, elk met een eigen deel van de scope, en wissel de delen periodiek.
- Sterk gereguleerd of onder streng toezicht: rouleer periodiek en leg vast waarom. Auditors en toezichthouders waarderen zichtbare onafhankelijkheid tussen opeenvolgende toetsen.
Het compromis dat het vaakst werkt
Dezelfde partij, een andere tester. Je behoudt de relatie, het scopegesprek gaat sneller en de rapportage blijft vergelijkbaar, terwijl er toch iemand met een frisse blik kijkt. Vraag er expliciet om; goede partijen doen het graag.
Een tweede variant: een vaste partij voor de jaarlijkse test en het meerjarenplan, en één keer per drie jaar een onafhankelijke partij als toets op de toets. Dat is pentestpartij wisselen met behoud van het goede van vasthouden.
En wat je ook kiest: verander elk jaar de uitgangspositie. Black-box, dan grey-box, dan white-box. Een andere uitgangspositie levert meer nieuwe bevindingen op dan een andere leverancier met dezelfde uitgangspositie.
Twijfel je of je moet wisselen of vasthouden? In een scopegesprek kijken we naar wat de vorige tests hebben opgeleverd en wat de volgende moet toevoegen.
BOEM voert pentesten uit met EHGI, het bedrijf achter de EHGN-community van 2.500+ ethische hackers, waaronder specialisten van Politie, Defensie en DIVD. Welke tester bij jouw omgeving past, bepalen we in het scopegesprek.
Veelgestelde vragen
Waarom wisselen organisaties van pentestpartij?
Voor een frisse blik. Een andere tester probeert andere dingen en vindt bijna altijd iets wat de vorige niet vond. Sommige organisaties rouleren daarom bewust elk jaar, en sommige normen en auditors zien onafhankelijkheid tussen opeenvolgende tests als pluspunt.
Wat is het nadeel van pentestpartij wisselen?
Elke nieuwe partij begint bij nul: verkenning, scopegesprek, begrip van je omgeving. Dat kost testdagen die niet naar testen gaan. En de vergelijkbaarheid tussen jaren wordt lastiger als methodiek en rapportage verschillen.
Wat is een goed compromis?
Dezelfde partij, een andere tester. Of: een vaste partij voor het meerjarenplan en één keer per drie jaar een onafhankelijke partij als toets op de toets. Zo behoud je opgebouwde kennis en krijg je toch periodiek een frisse blik.
Hoe voorkom je dat een vaste partij blinde vlekken ontwikkelt?
Door de uitgangspositie elk jaar te veranderen (black-box, grey-box, white-box), door expliciet te vragen wat er vorig jaar níet is getest, en door de partij te laten weten dat er periodiek een externe toets komt. Dat houdt iedereen scherp.
