Pentest voor het MKB: wat het is, wat het kost en wanneer het loont
Een pentest is een gecontroleerde inbraakpoging op je eigen systemen. Je ontdekt de gaten voordat een aanvaller dat doet. Dit artikel legt uit hoe het werkt en wat het kost.
Veel MKB-bedrijven beveiligen hun systemen op gevoel: een firewall, antivirus en hopen dat het goed zit. Een pentest, voluit penetratietest, vervangt dat gevoel door bewijs. Een ethische hacker probeert met toestemming bij je binnen te komen, precies zoals een echte aanvaller zou doen, en rapporteert wat hij vond. Zo weet je niet of je veilig denkt te zijn, maar waar je het werkelijk wel of niet bent.
In dit artikel lees je wat een pentest precies inhoudt, welke soorten er zijn, wat het kost en hoe je een betrouwbare partij herkent. Een pentest is geen luxe meer voor grote organisaties. Voor een bedrijf met 15 tot 250 werkplekken is het vaak het moment waarop beveiliging van aannames naar zekerheid gaat. Wil je eerst de basis op orde, kijk dan naar de MKB cybersecurity checklist en endpoint beveiliging.
Wat een pentest is en niet is
Een pentest is een gerichte, handmatige test waarbij specialisten kwetsbaarheden opsporen en proberen te misbruiken in een veilige, afgesproken vorm. Het verschil met een automatische scan is groot. Een scanner vindt bekende fouten, een pentester denkt als een aanvaller en combineert kleine zwakheden tot een echte inbraak.
| Begrip | Wat het is | Diepte |
|---|---|---|
| Vulnerability scan | Geautomatiseerde controle op bekende fouten | Oppervlakkig |
| Pentest | Handmatige, creatieve inbraakpoging | Diep |
| Red team | Maandenlange aanval op de hele organisatie | Zeer diep |
| Security audit | Toetsing van beleid en processen | Breed |
Voor de meeste MKB-bedrijven is een pentest de juiste keuze: dieper dan een scan, maar betaalbaarder dan een volledig red team. Een red team-traject duurt al snel 4 tot 8 weken en kost een veelvoud, terwijl een gerichte pentest in 5 tot 10 werkdagen klaar is.
De drie soorten pentests
Pentesten verschillen in hoeveel informatie de tester vooraf krijgt. Dat bepaalt of de test lijkt op een buitenstaander of op iemand die al binnen is.
| Type | Wat de tester weet | Lijkt op |
|---|---|---|
| Black box | Niets vooraf | Externe aanvaller zonder kennis |
| Grey box | Beperkte toegang, bijvoorbeeld 1 account | Medewerker of klant |
| White box | Volledige toegang en documentatie | Interne, grondige controle |
Voor het MKB levert een grey box-test vaak de beste verhouding tussen kosten en inzicht op. Je geeft de tester 1 gewoon gebruikersaccount, en hij kijkt hoever hij komt. Dat scenario, een gestolen wachtwoord of een ontevreden medewerker, is realistisch en komt in ongeveer 1 op de 5 incidenten voor.
Wat een pentest kost
De prijs hangt af van de omvang en het type test. Een pentester rekent doorgaans per dag, en de meeste MKB-trajecten duren 3 tot 10 dagen.
| Scope | Doorlooptijd | Indicatie kosten |
|---|---|---|
| Eén webapplicatie | 3 tot 5 dagen | 4.000 tot 8.000 euro |
| Externe infrastructuur | 3 tot 5 dagen | 4.000 tot 9.000 euro |
| Intern netwerk | 5 tot 8 dagen | 7.000 tot 15.000 euro |
| Combinatie met hertest | 8 tot 12 dagen | 12.000 tot 25.000 euro |
Een dagtarief voor een ervaren pentester ligt vaak tussen de 1.000 euro en 1.500 euro. Dat lijkt veel, maar zet het af tegen de schade van een echt incident: een gemiddelde ransomware-aanval kost een MKB-bedrijf al snel meer dan 100.000 euro aan herstel, omzetverlies en losgeld. Een pentest van 8.000 euro die één serieus lek voorkomt, betaalt zichzelf ruim terug. Lees meer over die kostenkant in ransomware en de kosten van een datalek.
Wanneer een pentest loont
Niet elk moment is even geschikt. Een pentest levert het meeste op als er iets te testen valt en je de uitkomsten ook kunt verwerken.
| Situatie | Waarom dan testen |
|---|---|
| Nieuwe webapplicatie of portaal | Gaten vinden voor de livegang |
| Na een grote migratie | Nieuwe omgeving controleren |
| Klant- of certificeringseis | ISO 27001 of klantcontract vraagt erom |
| Jaarlijkse controle | Nieuwe kwetsbaarheden ontstaan continu |
| Na een incident | Controleren of het gat echt dicht is |
Een goede vuistregel is minimaal 1 keer per jaar een pentest, en daarnaast bij elke grote wijziging. Software veroudert: een omgeving die vorig jaar veilig was, kan na 12 maanden tientallen nieuwe bekende kwetsbaarheden bevatten. Voor bedrijven die onder NIS2 vallen, sluit dit aan op de zorgplicht. Zie NIS2 risicobeoordeling voor de context.
Een goede pentestpartij kiezen
De kwaliteit van pentesters verschilt sterk. Een goedkope partij die alleen een scanner draait, geeft je schijnzekerheid. Let bij de keuze op deze punten.
| Criterium | Waar je op let |
|---|---|
| Certificering | OSCP, CEH of vergelijkbaar bij de testers |
| Werkwijze | Handmatig werk, niet alleen een scan |
| Rapportage | Concrete bevindingen plus oplossingen |
| Hertest | Controle of fixes echt werken, vaak inbegrepen |
| Aansprakelijkheid | Heldere afspraken en verzekering |
Vraag altijd een voorbeeldrapport op. Een goed rapport benoemt per bevinding de ernst, hoe een aanvaller het misbruikt en wat je eraan doet, in begrijpelijke taal voor zowel techneuten als de directie. Reken op een hertest binnen 4 tot 8 weken na het herstel, zodat je zeker weet dat de gaten dicht zijn.
Wat er na de pentest gebeurt
De test zelf is maar het halve werk. De waarde zit in wat je met de uitkomsten doet. Een rapport vol bevindingen dat in een la verdwijnt, levert niets op.
Bevindingen krijgen meestal een ernstscore, vaak van 1 tot 10. Pak eerst alles aan met een score van 7 of hoger, dat zijn de kwetsbaarheden waarmee een aanvaller direct schade aanricht. Plan het herstel in met je IT-partner en zet er een termijn op, bijvoorbeeld kritieke punten binnen 2 weken en de rest binnen 8 weken. Laat daarna een hertest doen.
| Ernstniveau | Voorbeeld | Herstel binnen |
|---|---|---|
| Kritiek (9 tot 10) | Volledige overname mogelijk | 1 week |
| Hoog (7 tot 8) | Toegang tot gevoelige data | 2 weken |
| Middel (4 tot 6) | Lek met beperkte impact | 8 weken |
| Laag (1 tot 3) | Klein informatielek | Bij gelegenheid |
Maak van de pentest geen eenmalige actie maar een ritme. Bedrijven die jaarlijks testen, zien het aantal kritieke bevindingen vaak met 30 tot 50 procent dalen na 2 of 3 rondes, simpelweg omdat de organisatie leert. Combineer het met een incident response plan zodat je niet alleen weet waar de gaten zitten, maar ook wat je doet als het toch misgaat.
Een pentest in de praktijk
Hoe ziet zo'n traject er concreet uit? Neem een groothandel met 60 medewerkers en een klantportaal. Het bedrijf kiest voor een grey box-test van een week, met een dagtarief van 1.200 euro, dus een inzet van ongeveer 6.000 euro. In de eerste fase brengt de tester de buitenkant in kaart en vindt hij een inlogpagina die al 14 maanden niet was bijgewerkt. Via die pagina komt hij met een standaardwachtwoord binnen, iets wat bij ongeveer 20 procent van de geteste MKB-omgevingen lukt.
Eenmaal binnen kijkt hij hoever hij komt. Hij ontdekt dat meerdere beheeraccounts hetzelfde wachtwoord delen en dat een gedeelde map met salarisgegevens voor alle 60 medewerkers toegankelijk is. In totaal noteert hij 11 bevindingen: 2 kritiek, 4 hoog en de rest van lager belang. Het rapport beschrijft per punt hoe een aanvaller het misbruikt en wat de oplossing is, in taal die ook de directie begrijpt.
Het bedrijf pakt de kritieke punten binnen 2 weken aan en de hoge binnen 4 weken. De hersteltijd voor de IT-partner bedraagt ongeveer 16 uur, tegen een uurtarief van rond de 95 euro, dus zo'n 1.520 euro extra. Na 6 weken volgt een hertest die bevestigt dat de gaten dicht zijn. De totale uitgave, test plus herstel plus hertest, komt uit op ongeveer 9.000 euro.
Zet dat af tegen het alternatief. Was de verouderde inlogpagina door een echte aanvaller gevonden, dan had een datalek met de gegevens van 60 medewerkers zomaar 25.000 euro of meer aan herstel, melding en boetes kunnen kosten, los van de reputatieschade. Voor veel MKB-bedrijven is dit het moment waarop een pentest verandert van een kostenpost in een verzekering die zich snel terugverdient.
Veelgestelde vragen
Hoe vaak moet een MKB-bedrijf een pentest laten doen?
Een goede richtlijn is minimaal 1 keer per jaar, plus een test bij elke grote wijziging zoals een nieuwe applicatie of een migratie. Nieuwe kwetsbaarheden ontstaan continu, dus een eenmalige test verliest na 12 maanden veel van zijn waarde.
Wat is het verschil tussen een pentest en een vulnerability scan?
Een scan is geautomatiseerd en vindt bekende fouten oppervlakkig. Een pentest is handmatig: een specialist combineert zwakheden tot een echte inbraak. Een scan kost honderden euro, een pentest meestal duizenden euro, maar levert veel dieper inzicht.
Verstoort een pentest mijn bedrijfsvoering?
Een goede tester werkt voorzichtig en stemt af wanneer hij test, vaak buiten piekuren. De kans op verstoring is klein, maar maak vooraf duidelijke afspraken over scope en tijdstip om risico's te beperken.
Heb ik een pentest nodig als ik al een firewall en antivirus heb?
Ja, want die maatregelen stoppen bekende dreigingen, niet de creatieve combinaties die een aanvaller bedenkt. Een pentest laat zien of jouw specifieke opzet ook tegen gerichte pogingen bestand is.
Dit artikel geeft algemene richtbedragen en werkwijzen. De juiste scope en frequentie hangen af van jouw omgeving en risicoprofiel. Laat een pentest altijd uitvoeren met heldere, schriftelijke afspraken over toestemming en aansprakelijkheid.