Wat bepaalt de prijs van een penetratietest?
Een pentest wordt bijna altijd begroot in testdagen. Hoeveel dagen nodig zijn, volgt uit de scope: het aantal applicaties, API-endpoints, gebruikersrollen en systemen dat getest moet worden, en de diepgang van de test.
- Scope: één webapplicatie met twee rollen vraagt minder tijd dan een platform met klantenportaal, API en mobiele app.
- Testvorm: black box (zonder kennis), grey box (met gebruikersaccounts) of white box (met broncode). Grey box geeft meestal de beste verhouding tussen diepgang en kost.
- Complexiteit: maatwerkfuncties, betalingen, bestandsuploads en koppelingen met andere systemen vragen handmatig onderzoek.
- Rapportage en hertest: een rapport voor directie én ontwikkelaars, en een hertest na remediatie, horen in een volwaardige pentest thuis.
- Compliance: tests als bewijs voor NIS2, ISO 27001 of een klantenaudit vragen extra documentatie van methodiek en scope.
Automatische scan of handmatige pentest?
Een kwetsbaarheidsscan draait automatisch en kost weinig, maar vindt enkel bekende patronen. Een pentest wordt uitgevoerd door een mens die logica misbruikt: rechten omzeilen, betaalflows manipuleren, data van andere klanten opvragen. Precies die fouten veroorzaken de meeste datalekken, en geen scanner vindt ze.
Een goede pentest combineert beide: scanners voor de breedte, handwerk voor de diepte. Vraag altijd hoeveel van de testtijd handmatig is.
Wat hoort er in een pentestofferte?
Een transparante offerte vermeldt minstens de volgende punten. Ontbreken ze, vraag er dan naar voor u vergelijkt.
- Exacte scope: welke URL’s, API’s, apps of IP-reeksen, en welke niet.
- Methodiek: OWASP Testing Guide, OWASP Top 10, PTES of NIST, en de testvorm (black, grey of white box).
- Aantal testdagen en wie de test uitvoert.
- Inhoud van het rapport: managementsamenvatting, bevindingen met ernst, reproductiestappen en concrete oplossingen.
- Hertest na remediatie: inbegrepen of apart.
- Afspraken over vertrouwelijkheid, toestemming en het testvenster.
Waarom de goedkoopste pentest zelden de beste is
Een pentest die enkel een scanrapport oplevert, geeft een vals gevoel van veiligheid. De kost van een datalek, boetes onder de GDPR, verloren klanten en herstelwerk, overstijgt vrijwel altijd het verschil tussen een oppervlakkige en een grondige test.
Bij N-innovative voeren ontwikkelaars de tests uit die zelf software bouwen. Zij weten waar het misloopt en schrijven bevindingen die uw team meteen kan oplossen. Vraag een offerte aan en u krijgt een vaste prijs voor een duidelijk afgebakende scope, hertest inbegrepen.