Veel organisaties komen op hetzelfde punt uit tijdens een ISO 27001-traject. Er loopt een risicoanalyse. De eerste maatregelen zijn genomen. Een auditor of klant verlangt aantoonbaar bewijs dat de technische beveiliging is getoetst. Vervolgens rijst de vraag: Moeten we een pentest laten uitvoeren? Dat is een logische eerste vraag. Maar om te bepalen wát er …
Nederlandse betaald voetbalclubs zijn allang niet meer alleen zichtbaar in het stadion. Kaartverkoop, merchandise, zakelijke dienstverlening, nieuwsvoorziening, supportersaccounts en marketingcampagnes lopen voor een groot deel via digitale kanalen. Daarmee is de website van een club niet alleen een communicatiemiddel, maar ook een belangrijk onderdeel van de digitale voordeur. Securitytest.nl onderzocht de publiek zichtbare digitale basisbeveiliging …
Black box, grey box en white box. Vrijwel iedere organisatie die een pentest laat uitvoeren krijgt vroeg of laat met deze termen te maken. Toch blijkt in de praktijk dat veel organisaties niet precies weten wat de verschillen zijn. Dat is ook niet vreemd. De termen zeggen vooral iets over hoeveel informatie een pentester vooraf …
Veel organisaties laten periodiek een pentest uitvoeren. Bijvoorbeeld één keer per jaar, na een grote wijziging of wanneer klanten of auditverplichtingen daarom vragen. Zo’n pentest is waardevol, omdat een ethisch hacker gericht onderzoekt waar kwetsbaarheden zitten en hoe een aanvaller daar misbruik van zou kunnen maken. Toch ontstaat er steeds vaker een praktisch probleem: een …
API’s vormen de basis van veel moderne applicaties. Ze zorgen dat systemen met elkaar kunnen communiceren, data wordt uitgewisseld en functionaliteit beschikbaar is voor gebruikers, partners en andere diensten. Juist daardoor zijn API’s interessant voor aanvallers. Niet omdat API’s per definitie slecht beveiligd zijn, maar omdat ze vaak meer blootleggen dan organisaties zich realiseren. Een …
AI verandert cybersecurity niet omdat aanvallers ineens volledig nieuwe doelen hebben. De meeste risico’s bestaan al langer: kwetsbare applicaties, slecht ingerichte API’s, te ruime rechten, phishing, configuratiefouten en onduidelijke datastromen. Wat wél verandert, is de snelheid en schaal waarop aanvallers kunnen werken. Taken die eerder veel handwerk vroegen, kunnen met AI sneller worden voorbereid, gevarieerd …
Veel organisaties hebben wel een globaal beeld van een pentest, maar weten niet precies wat er tijdens zo’n test gebeurt. Wie eerst de basis wil begrijpen, kan lezen wat een pentest is. Vaak ontstaat het beeld van iemand die “probeert in te breken”. Dat klopt deels, maar dat is te simpel. Een goede pentest is …
Hoe vaak je een pentest moet doen, hangt af van risico, verandering en impact. Er is geen vaste frequentie die op iedere organisatie van toepassing is. Een kleine applicatie die nauwelijks verandert, vraagt om een andere aanpak dan een platform met klantdata, API-koppelingen en wekelijkse releases. Toch zijn er wel duidelijke richtlijnen. Voor veel organisaties …
Wat kost een pentest? Dat is vaak een van de eerste vragen die organisaties stellen wanneer zij zich oriënteren op een securityonderzoek. De kosten van een pentest liggen in de praktijk meestal tussen de €2.500 en €15.000. De uiteindelijke prijs hangt af van factoren zoals de omvang van de applicatie, de complexiteit van de omgeving, het …
Tokens spelen een belangrijke rol in API-beveiliging. Zonder goede authenticatie wil je geen API beschikbaar maken voor gebruikers, applicaties of externe systemen. Maar in de praktijk ontstaat er vaak een misverstand. Zodra een API werkt met JWT’s, API-keys, OAuth-tokens of sessietokens, voelt de basis veilig. Een gebruiker logt in, krijgt een token en stuurt dat …
