Je hebt besloten om een pentest te laten uitvoeren. Misschien vraagt een klant erom, staat er een audit voor de deur of wil je zekerheid voordat een nieuw platform live gaat. Dan begint het lastigere gedeelte: wat vraag je eigenlijk aan? Stuur je drie pentestbedrijven alleen een URL met de vraag wat een pentest kost, …
Cybersecurity wordt al snel geassocieerd met grote organisaties, uitgebreide IT-afdelingen en forse beveiligingsbudgetten. Toch zijn veel kleinere en middelgrote bedrijven inmiddels sterk afhankelijk van digitale systemen. Klanten loggen in op een portaal, medewerkers werken in de cloud, webshops verwerken bestellingen en betalingen en steeds meer bedrijfsprocessen verlopen via webapplicaties en API’s. Daarmee ontstaat ook een …
Veel organisaties komen op hetzelfde punt uit tijdens een ISO 27001-traject. Er loopt een risicoanalyse. De eerste maatregelen zijn genomen. Een auditor of klant verlangt aantoonbaar bewijs dat de technische beveiliging is getoetst. Vervolgens rijst de vraag: Moeten we een pentest laten uitvoeren? Dat is een logische eerste vraag. Maar om te bepalen wát er …
Nederlandse betaald voetbalclubs zijn allang niet meer alleen zichtbaar in het stadion. Kaartverkoop, merchandise, zakelijke dienstverlening, nieuwsvoorziening, supportersaccounts en marketingcampagnes lopen voor een groot deel via digitale kanalen. Daarmee is de website van een club niet alleen een communicatiemiddel, maar ook een belangrijk onderdeel van de digitale voordeur. Securitytest.nl onderzocht de publiek zichtbare digitale basisbeveiliging …
Black box, grey box en white box. Vrijwel iedere organisatie die een pentest laat uitvoeren krijgt vroeg of laat met deze termen te maken. Toch blijkt in de praktijk dat veel organisaties niet precies weten wat de verschillen zijn. Dat is ook niet vreemd. De termen zeggen vooral iets over hoeveel informatie een pentester vooraf …
Veel organisaties laten periodiek een pentest uitvoeren. Bijvoorbeeld één keer per jaar, na een grote wijziging of wanneer klanten of auditverplichtingen daarom vragen. Zo’n pentest is waardevol, omdat een ethisch hacker gericht onderzoekt waar kwetsbaarheden zitten en hoe een aanvaller daar misbruik van zou kunnen maken. Toch ontstaat er steeds vaker een praktisch probleem: een …
API’s vormen de basis van veel moderne applicaties. Ze zorgen dat systemen met elkaar kunnen communiceren, data wordt uitgewisseld en functionaliteit beschikbaar is voor gebruikers, partners en andere diensten. Juist daardoor zijn API’s interessant voor aanvallers. Niet omdat API’s per definitie slecht beveiligd zijn, maar omdat ze vaak meer blootleggen dan organisaties zich realiseren. Een …
AI verandert cybersecurity niet omdat aanvallers ineens volledig nieuwe doelen hebben. De meeste risico’s bestaan al langer: kwetsbare applicaties, slecht ingerichte API’s, te ruime rechten, phishing, configuratiefouten en onduidelijke datastromen. Wat wél verandert, is de snelheid en schaal waarop aanvallers kunnen werken. Taken die eerder veel handwerk vroegen, kunnen met AI sneller worden voorbereid, gevarieerd …
Veel organisaties hebben wel een globaal beeld van een pentest, maar weten niet precies wat er tijdens zo’n test gebeurt. Wie eerst de basis wil begrijpen, kan lezen wat een pentest is. Vaak ontstaat het beeld van iemand die “probeert in te breken”. Dat klopt deels, maar dat is te simpel. Een goede pentest is …
Hoe vaak je een pentest moet doen, hangt af van risico, verandering en impact. Er is geen vaste frequentie die op iedere organisatie van toepassing is. Een kleine applicatie die nauwelijks verandert, vraagt om een andere aanpak dan een platform met klantdata, API-koppelingen en wekelijkse releases. Toch zijn er wel duidelijke richtlijnen. Voor veel organisaties …
