Door Cronos Amsterdam · Gepubliceerd op
Begin bij het doel
Waarom laat je testen? Een nieuwe applicatie voor livegang, een eis van een klant of toezichthouder, een grote wijziging in je infrastructuur, of inzicht in hoe ver een aanvaller kan komen? Het doel bepaalt het type test, de diepgang en wie de resultaten moet kunnen lezen. Een test ‘om te testen’ levert vaak een rapport op dat in een la verdwijnt.
Scope en eigenaarschap
Benoem concreet welke applicaties, API's, IP-ranges, omgevingen en gebruikersrollen binnen scope vallen, en wat uitdrukkelijk buiten scope is. Controleer bij elk onderdeel wie de eigenaar is. Bij gehoste diensten, SaaS of systemen van derden is vaak toestemming of melding bij de leverancier nodig; sommige aanbieders hebben daar eigen regels voor.
Kies het type test dat bij je doel past
Een webapplicatietest, een API-test, een test van je cloudconfiguratie of interne infrastructuur, en een scenario waarin een aanvaller met beperkte voorkennis begint: het zijn verschillende opdrachten met een andere voorbereiding. Bepaal ook hoeveel informatie de testers vooraf krijgen. Met documentatie, broncode of architectuurplaten wordt dezelfde testtijd vaak efficiënter besteed; zonder voorkennis lijkt de test meer op een echte aanval van buitenaf.
Rapportage, herstel en hertest
Spreek af hoe bevindingen worden beoordeeld en beschreven. Een bruikbaar rapport koppelt elke bevinding aan de impact voor jouw organisatie, niet alleen aan een technische score, en bevat een concreet herstelvoorstel. Plan vooraf wie bevindingen oppakt, binnen welke termijn, en wanneer een hertest bevestigt dat herstel werkt.
Checklist voor opdrachtgevers
Loop deze punten na voordat de test start. Ze horen in de schriftelijke opdracht.
- Doel — Waarom wordt er getest en welke beslissing moet de uitkomst ondersteunen?
- In en buiten scope — Systemen, omgevingen, rollen en technieken die wel en uitdrukkelijk niet getest worden.
- Eigenaarschap — Per systeem bevestigd wie eigenaar is; toestemming van derden en hostingpartijen waar nodig.
- Schriftelijke autorisatie — Ondertekend door iemand die daartoe bevoegd is, met scope en periode.
- Testvensters — Wanneer er getest mag worden, en welke momenten (zoals piekperiodes) uitgesloten zijn.
- Noodcontacten — Bereikbare contactpersonen aan beide kanten en een afgesproken route bij een kritieke bevinding of verstoring.
- Testaccounts — Accounts per rol, klaargezet en na afloop ingetrokken.
- Gegevensverwerking — Hoe worden aangetroffen gegevens behandeld, opgeslagen en na afloop verwijderd?
- Bevindingen en impact — Afspraken over beoordeling, rapportagevorm en wie het rapport ontvangt.
- Herstel en hertest — Eigenaar en termijn per bevinding, en een geplande hertest.
Grenzen van een pentest
- Een pentest is een momentopname binnen een afgesproken scope. Wat buiten scope valt of later verandert, is niet getest.
- Geen bevindingen betekent niet dat er geen kwetsbaarheden zijn.
- Testen zonder schriftelijke autorisatie van de eigenaar is niet toegestaan. Deze gids bevat bewust geen testinstructies.
Verder lezen
Bronnen
Deze gids is in eigen woorden geschreven. Voor achtergrond verwijzen we naar de volgende primaire bronnen.