Kwetsbaarheidsscan: breed en automatisch
Een scanner vergelijkt uw systemen met een databank van bekende kwetsbaarheden: verouderde software, ontbrekende patches, zwakke configuraties, bekende fouten in frameworks. Het resultaat is een lange lijst met scores, vaak met valse positieven. Scans zijn goedkoop en herhaalbaar, en horen maandelijks of continu te draaien.
Penetratietest: diep en handmatig
Een pentester gebruikt scanners als startpunt, maar zoekt vooral wat ze niet vinden: logische fouten in uw applicatie. Kan een klant de bestelling van een andere klant zien? Kan een medewerker zijn rechten verhogen? Kan de betaalflow omzeild worden? Die fouten zijn uniek voor uw software en vragen een mens die denkt als een aanvaller.
Het resultaat is een rapport met geverifieerde bevindingen, bewijs, impact en concrete oplossingen, gevolgd door een hertest.
Wat hebt u nodig?
Beide, maar op een ander ritme:
- Continue of maandelijkse kwetsbaarheidsscans op uw infrastructuur en bekende software.
- Een pentest bij livegang van een nieuwe applicatie, na grote wijzigingen en minstens jaarlijks.
- Een pentest als bewijs voor klanten, ISO 27001 of NIS2; een scan volstaat daar zelden.