“Kunnen jullie onze beveiliging eens testen?”
Die vraag hoor ik regelmatig. Het is een logische vraag, alleen zegt hij nog weinig over het onderzoek dat nodig is. Wil je weten of een aanvaller via een concrete technische route binnen kan komen? Wil je kwetsbare software en configuraties vinden? Of wil je weten of de organisatie als geheel voldoende grip heeft op digitale risico's?
Dat zijn drie verschillende vragen. Een penetratietest, kwetsbaarheidsscan en cybersecurity audit kunnen allemaal waardevol zijn, maar ze geven een ander soort zekerheid.
Mijn eerste vraag is daarom meestal niet welk onderzoek iemand wil inkopen. Ik wil weten welke onzekerheid je wilt wegnemen.
Het verschil in één oogopslag
| Onderzoek | Centrale vraag | Typische focus | Belangrijkste uitkomst |
|---|---|---|---|
| Kwetsbaarheidsscan | Welke bekende technische kwetsbaarheden zijn zichtbaar? | Systemen, software, netwerk, configuraties | Lijst met technische kwetsbaarheden en prioriteiten |
| Penetratietest | Kan een aanvaller kwetsbaarheden daadwerkelijk misbruiken? | Aanvalspaden, misbruik, toegang, impact | Bewezen aanvalsmogelijkheden en technische bevindingen |
| Cybersecurity assessment | Hoe staat een specifiek deel van onze beveiliging ervoor? | Afgebakende omgeving of thema | Verdiepend beeld met bevindingen en verbeterpunten |
| Cyber Security Audit | Werken onze technische én organisatorische maatregelen aantoonbaar zoals bedoeld? | Techniek, processen, governance, leveranciers, bewijs | Onafhankelijke beoordeling, risicobeeld en bestuurlijke verbeteragenda |
Geen van deze onderzoeken is automatisch “beter”. De waarde hangt af van de vraag die je ermee probeert te beantwoorden.
Wanneer kies je voor een kwetsbaarheidsscan?
Een kwetsbaarheidsscan zoekt geautomatiseerd naar bekende zwakke plekken in systemen, software en configuraties.
Dat kan bijvoorbeeld gaan om:
- verouderde softwareversies;
- bekende CVE-kwetsbaarheden;
- open netwerkdiensten;
- onveilige protocollen;
- zwakke configuraties;
- ontbrekende beveiligingsupdates;
- internettoegankelijke systemen die extra aandacht vragen.
Een scan is vooral nuttig wanneer je breed en herhaalbaar technisch zicht wilt houden.
Ik zie een kwetsbaarheidsscan daarom vooral als een instrument binnen structureel technisch beheer. De kracht zit in herhaling. Vandaag kan alles bijgewerkt zijn en volgende maand verschijnt er een nieuwe kwetsbaarheid die opnieuw aandacht vraagt.
Wat een kwetsbaarheidsscan niet vertelt
Een scan ziet lang niet alles.
Hij vertelt bijvoorbeeld niet automatisch:
- of een kwetsbaarheid in jouw situatie werkelijk misbruikbaar is;
- welke bedrijfsprocessen geraakt worden;
- of beheerdersrechten goed zijn ingericht;
- of leveranciers hun afspraken nakomen;
- of incidentprocedures werken;
- of back-ups daadwerkelijk kunnen worden hersteld;
- of directie voldoende informatie krijgt om risico's te sturen.
Een lange lijst met technische bevindingen is daarom nog geen compleet cybersecuritybeeld.
Wanneer kies je voor een penetratietest?
Bij een penetratietest probeert een specialist binnen een afgesproken scope daadwerkelijk zwakke plekken te benutten.
Waar een scanner zegt:
“Hier lijkt een kwetsbaarheid te zitten.”
gaat een pentester een stap verder:
“Kan ik deze kwetsbaarheid gebruiken om toegang te krijgen, rechten te verhogen of verder het netwerk in te komen?”
Dat maakt een pentest waardevol wanneer je zekerheid wilt over concrete technische aanvalspaden.
Denk bijvoorbeeld aan:
- een webapplicatie die binnenkort live gaat;
- een internettoegankelijke omgeving;
- een belangrijke wijziging in infrastructuur;
- een nieuw klantportaal;
- een kritieke koppeling;
- een omgeving waarbij eerdere kwetsbaarheden zijn gevonden.
Een pentest geeft diep inzicht binnen een beperkte scope
Dat laatste is belangrijk.
Een goede pentest kan heel diep gaan, maar doet dat binnen de afgesproken omgeving. Wanneer alleen een webapplicatie wordt getest, zegt de uitkomst weinig over bijvoorbeeld:
- toegangsbeheer in Microsoft 365;
- de kwaliteit van back-ups;
- incident response;
- leveranciersmanagement;
- security governance;
- awareness;
- interne beheersing.
Ik leg het aan bestuurders weleens zo uit: een pentest kan aantonen of een bepaald raam open kan. Een audit onderzoekt ook wie verantwoordelijk is voor het gebouw, welke deuren gecontroleerd worden, of het alarm werkt en wat er gebeurt als iemand toch binnenkomt.
Wanneer kies je voor een cybersecurity assessment?
Een assessment zit qua doel vaak tussen een losse technische test en een brede audit in.
Je gebruikt het wanneer je een afgebakend beveiligingsvraagstuk verdiepend wilt beoordelen.
Bijvoorbeeld:
- de inrichting van Microsoft 365;
- identiteits- en toegangsbeheer;
- endpointbeveiliging;
- netwerkarchitectuur;
- logging en monitoring;
- back-up en herstel;
- cloudconfiguratie;
- technische dienstverlening door een externe IT-partner.
Een assessment kan documentonderzoek, interviews, configuratiecontrole en technische analyses combineren.
Het belangrijkste verschil met een scan of pentest is dat de onderzoeksvraag breder kan zijn dan alleen “kan deze kwetsbaarheid worden misbruikt?”.
Wanneer kies je voor een Cyber Security Audit?
Een Cyber Security Audit is passend wanneer de vraag boven individuele systemen uitstijgt.
Bijvoorbeeld:
- Hebben we aantoonbaar grip op onze belangrijkste cyberrisico's?
- Werken beveiligingsmaatregelen in de praktijk?
- Kunnen bestuur en directie vertrouwen op de informatie die zij krijgen?
- Is onze IT-dienstverlener aantoonbaar in control?
- Zijn verantwoordelijkheden tussen organisatie en leveranciers helder?
- Kunnen we herstellen wanneer een kritieke omgeving uitvalt?
- Zijn maatregelen alleen beschreven of worden ze ook werkelijk uitgevoerd?
Dan kijk ik naar techniek én naar de organisatie eromheen.
Dat kan onderwerpen omvatten zoals:
- governance;
- risicoanalyse;
- identiteitsbeheer;
- endpoints;
- netwerk;
- kwetsbaarhedenbeheer;
- logging;
- monitoring;
- back-up;
- herstel;
- incident response;
- leveranciers;
- awareness;
- beleid;
- interne beheersing;
- managementrapportage.
De audit verbindt bevindingen vervolgens aan risico, impact, bewijs en prioriteit.
Voor een bestuurder is dat verschil belangrijk. Een technische bevinding wordt pas bestuurbaar wanneer duidelijk is wat die betekent voor continuïteit, verantwoordelijkheid en besluitvorming.
“We hebben een pentest gehad, dus zijn we veilig?”
Die conclusie zou ik niet trekken.
Een goede pentest kan veel zekerheid geven over het geteste aanvalsvlak. Het is alleen geen uitspraak over de volledige organisatie.
Ik kom in de praktijk ook organisaties tegen die technisch behoorlijk volwassen zijn, terwijl verantwoordelijkheden, leveranciersafspraken of incidentvoorbereiding nauwelijks zijn uitgewerkt. Andersom zie ik organisaties met uitstekend beleid, terwijl in de technische omgeving eenvoudige kwetsbaarheden blijven liggen.
Cybersecurity werkt juist op het snijvlak van techniek, mensen, processen en bestuur.
Daarom moet het onderzoek aansluiten bij het risico dat je wilt beheersen.
Kun je onderzoeken combineren?
Ja. Vaak levert een combinatie het beste beeld.
Voorbeeld 1: audit met technische verdieping
Een organisatie wil weten of de informatiebeveiliging aantoonbaar op orde is.
De audit brengt het brede beeld in kaart. Tijdens het onderzoek ontstaat twijfel over de technische beveiliging van een internetomgeving.
Dan kan een gerichte kwetsbaarheidsscan of pentest aanvullende zekerheid geven.
Voorbeeld 2: eerst assessment, daarna pentest
Een organisatie heeft een nieuwe cloudomgeving ingericht.
Een assessment beoordeelt eerst architectuur, instellingen, accounts en beheer. Daarna wordt een pentest uitgevoerd op het extern bereikbare deel.
De twee onderzoeken beantwoorden verschillende vragen en versterken elkaar.
Voorbeeld 3: scan als structurele controle
Een organisatie heeft de basisbeveiliging goed ingericht.
Periodieke kwetsbaarheidsscans worden vervolgens onderdeel van de normale beheercyclus, terwijl jaarlijks of bij grote veranderingen bredere beoordeling plaatsvindt.
Welke vraag zou ik als bestuurder stellen?
Als CEO, CFO, CIO of COO hoef je meestal niet zelf te bepalen welke scanner of pentestmethode nodig is.
Je kunt wel heel goed de onderzoeksvraag scherp krijgen.
Ik zou minimaal deze vragen stellen:
- Waar willen we zekerheid over krijgen?
- Welke kritieke processen of systemen kunnen geraakt worden?
- Willen we technische kwetsbaarheden vinden of ook de werking van onze beheersing beoordelen?
- Hebben we onafhankelijk bewijs nodig?
- Welke beslissingen willen we na het onderzoek kunnen nemen?
- Wie wordt eigenaar van de opvolging?
Als die vragen helder zijn, wordt de keuze voor het onderzoek meestal een stuk eenvoudiger.
En voor de IT-manager?
Voor een IT-manager ligt de nadruk vaak iets anders.
Daar zou ik kijken naar:
- scope;
- technische diepgang;
- benodigde toegang;
- productie-impact;
- testvensters;
- verantwoordelijkheden van leveranciers;
- rapportagevorm;
- reproduceerbaarheid van bevindingen;
- prioritering;
- retest;
- aansluiting op bestaand kwetsbaarheden- en wijzigingsbeheer.
Een rapport heeft weinig waarde wanneer de bevindingen na oplevering in een map verdwijnen.
Spreek daarom vooraf af hoe bevindingen worden opgevolgd en wanneer een punt aantoonbaar is opgelost.
Welke vorm past bij jouw vraag?
Gebruik als vuistregel:
Wil je breed bekende technische zwakke plekken
vinden?
Kies een kwetsbaarheidsscan.
Wil je weten of een aanvaller een concrete omgeving kan
binnendringen of misbruiken?
Kies een penetratietest.
Wil je een specifieke technische of organisatorische omgeving
verdiepend laten beoordelen?
Kies een cybersecurity assessment.
Wil je onafhankelijke zekerheid over de samenhang en werking
van beveiligingsmaatregelen?
Kies een Cyber Security Audit.
Twijfel je tussen een nulmeting, assessment en audit? Daarvoor hebben we een aparte keuzehulp.
Mijn uitgangspunt: begin bij de onzekerheid
Ik ben geen voorstander van onderzoek om het onderzoek.
Een pentest omdat “we ieder jaar een pentest doen” kan prima zijn, zolang duidelijk is welk risico daarmee wordt afgedekt. Hetzelfde geldt voor audits, scans en assessments.
Begin daarom met de onzekerheid die je wilt wegnemen. Bepaal daarna welk bewijs nodig is om een besluit te kunnen nemen.
Dat levert meestal een betere scope, een bruikbaarder rapport en vooral meer resultaat op dan wanneer je begint bij de naam van het onderzoek.
Meer weten over een brede audit?
Lees ook Wat wordt onderzocht bij een IT security audit?
Wil je onafhankelijk laten beoordelen hoe technische en organisatorische beveiligingsmaatregelen in de praktijk werken? Bekijk dan de Cyber Security Audit van Kynexis.
Passende vervolgstap
Van inzicht naar gerichte verbetering
Wil je onafhankelijk vaststellen waar de belangrijkste risico’s en verbeterpunten liggen? Kynexis helpt om de vraag scherp te formuleren en de uitkomst bestuurlijk en praktisch bruikbaar te maken.
Bekijk Cyber Security Audit →