Welke pentest eerst, als je budget hebt voor één module en niet voor vier? Niet de goedkoopste, maar de module die de vraag beantwoordt hoe het bij jouw organisatie waarschijnlijk misgaat. Voor een bedrijf dat draait op maatwerk is dat de applicatie; voor een organisatie die volledig in de cloud werkt, is dat phishing en cloud.
Kort samengevat
- Een volledig traject heeft vier modules: buitenkant, phishing en cloud, intern netwerk, applicaties.
- Welke pentest eerst hangt af van je meest waarschijnlijke faalscenario, niet van de prijs.
- De externe test wordt het vaakst gekozen en is het minst vaak de relevantste.
- Eén goed gekozen module levert het rapport dat het budget voor de volgende regelt.
Een volledig pentesttraject bestaat uit vier onderdelen die elk een andere vraag beantwoorden. De buitenkant: wat kan iemand vanaf het internet? Phishing en cloud: wat gebeurt er als iemand op een link klikt? Het interne netwerk: hoe ver komt iemand die eenmaal binnen is? En de applicaties: zitten er fouten in de software waar je op draait? Allemaal tegelijk is de beste optie en de duurste. De meeste organisaties hebben budget voor één, misschien twee. Dan is de vraag niet óf je test, maar welke pentest eerst.
Welke vraag stel je jezelf?
Niet: welke test is het belangrijkst? Maar: wat is de meest waarschijnlijke manier waarop het bij ons misgaat? Dat vraagt eerlijk kijken naar je eigen organisatie:
- Draait het bedrijf op één applicatie die op maat is gebouwd? Dan is dat je risico, niet het netwerk.
- Werkt vrijwel iedereen in de cloud en is er nauwelijks nog iets op kantoor? Dan zegt een interne netwerktest weinig.
- Hebben medewerkers veel contact met buiten? Dan is phishing je grootste ingang.
- Is er fors geïnvesteerd in beveiliging zonder dat iemand heeft gecontroleerd of het werkt? Dan wil je dát weten.
Per module: wanneer eerst
- De buitenkant eerst als je nog nooit hebt getest en niet weet wat er op je naam bereikbaar is. De goedkoopste module, met een lijst waar je direct mee aan de slag kunt. Nadeel: het zegt niets over wat er gebeurt nadat iemand binnen is, en voor veel organisaties is de buitenkant inmiddels het best beveiligde deel.
- Phishing en cloud eerst als je medewerkers de zwakste schakel zijn, en dat zijn ze bijna altijd. Deze module toont wat er gebeurt als één iemand klikt. De meest confronterende test en daardoor de meest overtuigende richting een directie. Kies deze als je vermoedt dat je MFA niet phishingbestendig is.
- Het interne netwerk eerst als de binnenkant historisch gegroeid is en niemand meer precies weet hoe het zit. Rechten die te ruim staan, oude servers, netwerken die op papier gescheiden zijn. Kies deze als je al weet dat de buitenkant in orde is, of als je IT-partner zegt dat het goed zit en je dat wilt controleren.
- De applicatie eerst als je bedrijf afhankelijk is van maatwerksoftware, klantgegevens verwerkt of door klanten wordt gebruikt. Meestal de module met de hoogste opbrengst per testdag, want fouten in maatwerk vindt niemand anders voor je.
De valkuil: kiezen op prijs
De goedkoopste module is de externe test. Die wordt daardoor het vaakst gekozen, en het minst vaak omdat hij het meest relevant is. Een externe test van een organisatie die volledig in de cloud werkt, levert een keurig rapport op over vijf IP-adressen en zegt niets over waar het risico echt zit. Kies bij welke pentest eerst dus de module die het meest oplevert, niet die het minst kost. Twee dagen op het echte risico is meer waard dan vijf dagen op iets wat toch al goed zat.
Een voet tussen de deur
Er is een strategisch argument om klein te beginnen dat niets met budget te maken heeft. Eén module, goed uitgevoerd, levert een rapport dat laat zien wat er speelt. Dat rapport is je argument voor de volgende module. Organisaties die zo beginnen, hebben binnen een jaar vaak alsnog het hele traject gedaan, met budget dat ze in één keer nooit hadden gekregen.
Wat je ook kiest: leg vast wat je niet hebt getest. “We hebben een pentest laten doen” klinkt volledig. Als het één module was, is het dat niet. Dat is geen bureaucratie; dat is eerlijk zijn over wat je weet.
Weet je niet welke pentest eerst? Dat is precies waar een scopegesprek voor is: samen bepalen welke module in jouw situatie het meest oplevert.
BOEM voert pentesten uit met EHGI, het bedrijf achter de EHGN-community van 2.500+ ethische hackers, waaronder specialisten van Politie, Defensie en DIVD. Welke tester bij jouw omgeving past, bepalen we in het scopegesprek.
Veelgestelde vragen
Welke pentest eerst als ik maar één module kan betalen?
De module die antwoordt op de vraag hoe het bij jou waarschijnlijk misgaat. Draait het bedrijf op maatwerk, dan de applicatie. Werkt iedereen in de cloud, dan phishing en cloud. Is de binnenkant historisch gegroeid, dan het interne netwerk. De buitenkant alleen als je nog nooit hebt getest.
Waarom is de externe pentest niet automatisch de beste eerste keuze?
Omdat hij het vaakst wordt gekozen om de prijs, niet om de relevantie. Een externe test bij een organisatie die volledig in de cloud werkt, levert een keurig rapport over vijf IP-adressen en zegt niets over waar het risico zit.
Wat zijn de vier standaardmodules van een pentest?
De buitenkant (wat kan iemand vanaf het internet), phishing en cloud (wat gebeurt er als iemand klikt), het interne netwerk (hoe ver komt iemand die binnen is) en de applicaties (zitten er fouten in de software waar je op draait).
Moet ik vastleggen wat ik niet heb getest?
Ja. “We hebben een pentest laten doen” klinkt volledig. Als het één module was, is het dat niet. Leg intern vast wat wel en niet is getest, zodat niemand denkt dat de hele organisatie is doorgelicht terwijl alleen de website is bekeken.
