Het is natuurlijk belangrijk om vooraf een onderzoeksvraag en doelstelling te bepalen. Samen met onze cybersecurity expert zal er dus vooraf een uitgebreide intake plaats vinden waarin wij naast de algemene risico’s ook de kernbelangen van de organisatie in kaart brengen. Vervolgens zullen we samen bepalen welke zaken getest moeten worden, op welke wijze en met welke mate van diepgang. Daarna zal er een offerte opgesteld worden voor de opdrachtgever. In de offerte staat de opdrachtomschrijving, de scope, de pentestmethode en het tijdsverloop omgeschreven. Daarnaast staan de algemene en specifieke vereisten voor de start van de pentest opgesomd.

Een pentest geeft een meer gedetailleerd beeld van de huidige IT-security waarbij aandacht bestaat voor alle potentiële zwakheden. Het geeft om die reden een completer beeld omdat een cybercrimineel dezelfde acties uitvoert tijdens een aanval. Een vulnerability scan blijft vaak steken op algemene, bekende kwetsbaarheden en bij een pentest gaat een ethical hacker met een flinke dosis creativiteit, handmatig op zoek naar kwetsbaarheden in de systemen.

Zoals al eerder aangegeven verandert de digitale wereld continu. Voor iedere organisatie is het daarom verstandig om minimaal 1x per jaar een pentest uit te laten voeren om te checken of de IT systemen nog bestand zijn tegen de creatieve aanvalstechnieken van morgen. Ook na het doorvoeren van veranderingen in de IT-infrastructuur is een pentest noodzakelijk. Denk aan het overstappen naar opslag in ‘de cloud’, het vervangen van het CRM pakket, veranderingen in het draadloze netwerk, het in gebruik nemen van nieuwe applicaties, etc. Tijdens deze ingrepen kan het voorkomen dat er zwakke plekken in de IT-beveiliging ontstaan. Stuk voor stuk momenten om de thermometer er weer in te steken.

ECMsolutions zal een adviesrapport opleveren aan de opdrachtgever waarin wij beginnen met een heldere managementsamenvatting. Dit is het gedeelte waarvan we willen dat iedereen in de organisatie, ongeacht functie of kennisniveau, dit begrijpt. De boodschap aan het management zijn de concrete aandachtspunten om het beveiligingsniveau te verhogen. In het tweede gedeelte zoomen we in op het logboek van onze pentester. Hierin omschrijven we de stappen die zijn doorlopen om de resultaten te behalen. Dit wordt ondersteund door screenshots en technische details. Vervolgens lichten we de concrete acties toe die beheerders of ontwikkelaars dienen te ondernemen om de gevonden gebreken op te lossen of de impact van misbruik te beperken.