Pentest of vulnerability scan: wat heb je als mkb echt nodig?

Een vulnerability scan zoekt automatisch naar bekende zwakke plekken en geeft je een lijst. Een pentest gaat een stap verder: die probeert die zwakke plekken echt te gebruiken, zoals een aanvaller dat zou doen. Voor de meeste mkb-bedrijven is het antwoord daarom niet óf-óf, maar allebei, in de juiste volgorde.

Wat doet een vulnerability scan?

Een scan loopt je systemen langs en vergelijkt wat hij vindt met een database van bekende kwetsbaarheden. Verouderde software, een poort die openstaat, een certificaat dat verlopen is. Je krijgt een rapport met honderden regels, vaak gesorteerd op ernst.

Dat is nuttig, maar een scan weet niet wat er gebeurt als je twee kleine problemen combineert. En hij geeft regelmatig meldingen die in jouw situatie geen echt risico zijn.

Wat doet een pentest anders?

Bij een pentest (penetratietest) doen we wat een aanvaller doet: verkennen, scannen en dan echt proberen binnen te komen. Lukt dat, dan kijken we hoe ver we komen. Bij welke mappen, welke accounts, welke klantgegevens? Op onze pagina over de pentest lees je stap voor stap hoe dat gaat.

Het resultaat is geen lange lijst, maar een verhaal: zo kwamen we binnen, dit konden we zien, en dit los je als eerste op.

Wanneer kies je wat?

• Scan: als vast onderdeel van je beheer, bijvoorbeeld maandelijks. Goedkoop en snel, ideaal om achterstallige updates op te sporen.
• Pentest: als je wilt weten of je beveiliging in de praktijk standhoudt. Bijvoorbeeld na een verbouwing van je netwerk, als een klant erom vraagt, of als je onder NIS2 valt.
• Allebei: de scan houdt de basis op orde, de pentest controleert of die basis ook echt werkt.

Hoe vaak test je?

Een klassieke pentest gebeurt één keer per jaar en is daarna snel verouderd: je netwerk verandert elke week. Wij testen daarom met een geautomatiseerd platform dat dezelfde stappen zet als een ervaren pentester, zo vaak als jij wilt. Meer daarover lees je bij hoe vaak je een pentest laat doen.

Wat kost het?

Dat hangt af van de grootte van je netwerk en of je alleen de buitenkant (extern) of ook de binnenkant (intern) laat testen. Een overzicht van de prijzen en de verschillen vind je op de site van ons pentestlabel: wat kost een pentest.

In het kort

• Een scan vindt mogelijke lekken, een pentest bewijst welke echt gevaarlijk zijn.
• Gebruik de scan als routine en de pentest als controle.
• Test vaker dan één keer per jaar, want je netwerk staat niet stil.

Wil je weten waar je nu staat? Lees ook ons stuk over de stand van zaken in cybersecurity of kijk wat we doen aan online security. Onze pentests lopen via Pentest Support, het pentestlabel van Webcircuit.