“Wij hebben vorig jaar een pentest laten doen, dus dat zit wel goed.” Het is een zin die we regelmatig horen. En meestal bedoelt de ondernemer die hem uitspreekt iets anders dan hij denkt. Vaak was het geen pentest, maar een scan. Soms was het wél een pentest, maar is die inmiddels een jaar oud en zijn er sindsdien honderden nieuwe lekken gepubliceerd.
De twee begrippen worden zo vaak door elkaar gebruikt dat het de moeite waard is om ze uit elkaar te halen. Want ze doen verschillende dingen, kosten iets heel anders en beantwoorden een andere vraag.
De kwetsbaarheidsscan: bekende lekken, geautomatiseerd
Een kwetsbaarheidsscan is een geautomatiseerd onderzoek van buitenaf. Software benadert jouw omgeving via het internet en vergelijkt wat ze tegenkomt met een wereldwijde database van bekende beveiligingsfouten. Open poorten, verouderde softwareversies, zwakke SSL/TLS-instellingen, beheeromgevingen die per ongeluk bereikbaar zijn.
De scan kraakt niets en breekt nergens in. Hij kijkt en vergelijkt. Daarom is hij snel, herhaalbaar en veilig voor je systemen: je klanten en medewerkers merken er niets van. Het resultaat is een rapport met bevindingen, gerangschikt op ernst.
De vraag die een scan beantwoordt: zijn er in mijn omgeving zwakke plekken waarvan de wereld al weet dat ze bestaan?
De penetratietest: onbekende lekken, met de hand
Een penetratietest, kortweg pentest, is mensenwerk. Een ethische hacker krijgt de opdracht om, binnen afgesproken grenzen, echt binnen te komen. Hij gebruikt daarvoor dezelfde methoden als een echte aanvaller: hij combineert kleine zwakheden, probeert of een formulier zich anders gedraagt dan bedoeld, test of hij vanuit een klantaccount bij de gegevens van andere klanten kan.
Het grote verschil met een scan: een pentester vindt ook fouten die in geen enkele database staan. Denk aan een klantenportaal dat speciaal voor jouw bedrijf is gebouwd. Geen scanner kent die code, dus geen scanner vindt de fout erin. Een mens die denkt als een aanvaller wel.
De vraag die een pentest beantwoordt: als iemand mij gericht en creatief zou aanvallen, hoe ver zou hij komen?
Het verschil in één overzicht
| Kwetsbaarheidsscan | Penetratietest | |
|---|---|---|
| Wie voert het uit | Software | Een ethische hacker |
| Wat het vindt | Bekende lekken in standaardsoftware en configuratie | Ook onbekende lekken, in maatwerk en in de logica van je systemen |
| Hoe vaak | Doorlopend of periodiek (jaarlijks, per kwartaal) | Meestal eenmalig of jaarlijks |
| Duur | Uren | Dagen tot weken |
| Verstoring | Geen, passief van buitenaf | Beperkt, in overleg |
| Kosten | Laag, zit in een pakket | Aanzienlijk, per opdracht |
| Geschikt voor | Elk bedrijf met een website, server of cloudomgeving | Bedrijven met eigen software, hoge risico’s of een expliciete eis van klanten of auditors |
Wat hebben de meeste MKB-bedrijven nodig?
Voor het overgrote deel van de MKB-bedrijven is de eerlijke volgorde: eerst scannen, dan pas over een pentest nadenken.
De reden is simpel. De meeste succesvolle aanvallen op kleinere bedrijven zijn geen spectaculaire hacks. Het zijn aanvallers die geautomatiseerd het internet afzoeken naar bekende lekken en toeslaan waar de update nog niet is gedraaid. Precies de categorie die een scan vindt. Een dure pentest laten doen terwijl er nog een verouderd beheerpaneel openstaat, is de volgorde omdraaien.
Een pentest wordt zinvol zodra:
- je eigen software laat bouwen of onderhoudt: een klantenportaal, een webshop op maat, een app;
- je gevoelige gegevens verwerkt op grote schaal, zoals medische of financiële data;
- een klant, verzekeraar of auditor er expliciet om vraagt, bijvoorbeeld bij een ISO 27001-traject.
In dit artikel beschrijven we twee scenario’s die het verschil goed laten zien: een verouderde plugin die een scan binnen een dag had gevonden, en een lek in een klantenportaal waar alleen een pentest bij kon.
Waarom “één keer” bij beide niet werkt
Hoe je ook kiest, een eenmalige controle heeft een houdbaarheidsdatum. Op de dag van de scan of pentest is je omgeving in beeld. Een week later is er een nieuw lek gepubliceerd, heeft een medewerker een nieuwe tool geïnstalleerd of heeft je IT-leverancier een instelling gewijzigd.
Daarom zien wij een scan niet als een product maar als een ritme. In Guardian scannen wij jaarlijks, in Sentinel elk kwartaal. Vinden we iets? Dan helpen wij het te dichten, of we stemmen het af met jouw IT-leverancier. Daarna scannen we opnieuw om te bevestigen dat het lek dicht is.
Zo blijft het rapport actueel, en dat is precies wat NIS2 en de AVG van je vragen: niet één test, maar aantoonbaar en regelmatig testen.
Kort samengevat
- Een kwetsbaarheidsscan vindt bekende lekken, geautomatiseerd, snel en zonder verstoring. Voor elk bedrijf de basis.
- Een pentest vindt ook onbekende lekken, met de hand, gericht op jouw eigen systemen. Voor bedrijven met maatwerk, hoge risico’s of een expliciete eis.
- Begin met de scan. Herhaal die. En laat een pentest doen als jouw situatie daarom vraagt.
Twijfel je in welke categorie jouw bedrijf valt? Een gratis scan geeft binnen 24 uur een eerste beeld en een goed gesprek daarna is zo gevoerd.
Bronnen en verder lezen
- OWASP Top 10: de meest voorkomende risico’s in webapplicaties.
- NCSC: adviezen van het Nationaal Cyber Security Centrum.
- Digital Trust Center: praktische beveiligingsadviezen voor het MKB.
