Na een pentest weet je waar de zwakke plekken in je ICT-omgeving zitten. De volgende stap is die bevindingen omzetten in concrete verbeteringen. Dat vraagt om een gestructureerde aanpak: prioriteren op basis van risico, de juiste mensen aanwijzen, en zorgen dat je niet over een jaar weer tegen dezelfde problemen aanloopt. In dit artikel beantwoorden we de meest gestelde vragen over wat er na een pentest gebeurt.
Hoe lees en interpreteer je een pentest-rapport?
Een pentest-rapport geeft per gevonden kwetsbaarheid aan hoe ernstig het risico is, hoe een aanvaller er misbruik van kan maken, en welke maatregel het probleem verhelpt. De bevindingen zijn doorgaans ingedeeld op risiconiveau: kritiek, hoog, gemiddeld en laag. Begin altijd bij de samenvatting voor het totaalbeeld, daarna ga je de details per bevinding door.
Een goed rapport bevat voor elke kwetsbaarheid minimaal vier elementen:
- Beschrijving: wat is de kwetsbaarheid en waar bevindt die zich?
- Risico: wat kan een aanvaller ermee doen?
- Bewijs: hoe heeft de tester de kwetsbaarheid aangetoond?
- Aanbeveling: welke concrete stap lost het probleem op?
Lees het rapport niet alleen technisch. De managementsamenvatting is speciaal bedoeld voor beslissers die geen diepgaande ICT-kennis hebben. Die samenvatting vertaalt de technische bevindingen naar bedrijfsrisico’s. Zo kun je als ondernemer of directeur beoordelen welke risico’s je organisatie loopt en welke investeringen nodig zijn.
Welke kwetsbaarheden moet je als eerste oplossen?
Los kwetsbaarheden op in volgorde van risiconiveau: kritieke en hoge bevindingen eerst, daarna gemiddelde, en ten slotte lage. Kritieke kwetsbaarheden geven aanvallers directe toegang tot je systemen of data en vragen om onmiddellijke actie, bij voorkeur binnen 24 tot 72 uur na ontvangst van het rapport.
Bij het prioriteren helpt het om twee factoren te combineren: de kans dat de kwetsbaarheid wordt misbruikt en de impact als dat gebeurt. Een kwetsbaarheid die moeilijk te misbruiken is maar enorme schade kan aanrichten, heeft een andere urgentie dan een eenvoudig te misbruiken kwetsbaarheid met beperkte impact.
Praktisch gezien werk je met drie categorieën:
- Direct oplossen (binnen 72 uur): kwetsbaarheden waarmee een aanvaller volledige toegang krijgt tot systemen, klantdata of financiële informatie.
- Oplossen binnen twee tot vier weken: kwetsbaarheden die misbruikt kunnen worden maar extra stappen vereisen van een aanvaller.
- Oplossen binnen drie maanden: lage risico’s en verbeterpunten op het gebied van configuratie of beleid.
Wie is verantwoordelijk voor het oplossen van pentest-bevindingen?
De verantwoordelijkheid voor het oplossen van pentest-bevindingen ligt bij de organisatie zelf, niet bij de partij die de pentest uitvoerde. In de praktijk verdeelt een MKB-bedrijf die verantwoordelijkheid over drie rollen: de directie of eigenaar die beslissingen neemt over prioriteiten en budget, de ICT-beheerder of externe ICT-partner die de technische maatregelen uitvoert, en een interne coördinator die de voortgang bewaakt.
Voor veel MKB-organisaties betekent dit dat de externe ICT-partner het grootste deel van het technische werk oppakt. Zorg er in dat geval voor dat je een duidelijke taakverdeling op papier zet: wie pakt welke bevinding op, wat is de deadline, en wie controleert of de maatregel correct is uitgevoerd? Zonder die vastlegging vallen bevindingen tussen wal en schip.
De directie speelt ook na de pentest een actieve rol. Sommige verbeteringen vragen om beleidskeuzes, zoals het invoeren van verplichte multifactorauthenticatie of het aanpassen van toegangsrechten. Die beslissingen kan de ICT-beheerder niet zelfstandig nemen.
Hoe lang duurt het om kwetsbaarheden na een pentest te verhelpen?
De doorlooptijd voor het verhelpen van kwetsbaarheden varieert sterk per type bevinding. Technische fixes zoals het installeren van een patch of het aanpassen van een configuratie zijn vaak binnen enkele uren tot dagen geregeld. Structurele verbeteringen, zoals het herzien van toegangsbeleid of het implementeren van netwerksegmentatie, kunnen weken tot maanden in beslag nemen.
Een realistisch tijdpad voor een gemiddeld MKB-bedrijf ziet er zo uit:
- Week 1: kritieke bevindingen verhelpen en direct risico wegnemen.
- Week 2 tot 4: hoge bevindingen aanpakken en een plan opstellen voor de overige punten.
- Maand 2 en 3: gemiddelde bevindingen oplossen en structurele verbeteringen doorvoeren.
- Maand 3 tot 6: lage bevindingen en aanbevelingen op het gebied van beleid en bewustwording implementeren.
Houd er rekening mee dat sommige verbeteringen afhankelijk zijn van leveranciers of softwareleveranciers die patches moeten uitbrengen. Communiceer die afhankelijkheden duidelijk en monitor actief of de patch beschikbaar komt.
Wanneer laat je een hertest uitvoeren na een pentest?
Een hertest voer je uit nadat je de gevonden kwetsbaarheden hebt verholpen, om te bevestigen dat de maatregelen daadwerkelijk werken. De meest gebruikelijke aanpak is een hertest na drie tot zes maanden, zodra de kritieke en hoge bevindingen zijn opgelost. Wacht niet tot alle bevindingen zijn verholpen voordat je een hertest plant.
Een hertest is geen herhaling van de volledige pentest. De tester controleert specifiek of de eerder gevonden kwetsbaarheden zijn gedicht en of de doorgevoerde wijzigingen geen nieuwe problemen hebben geïntroduceerd. Dat maakt een hertest sneller en goedkoper dan een volledige pentest.
Er zijn twee situaties waarbij je een hertest eerder plant:
- Als je kritieke kwetsbaarheden hebt verholpen en wilt bevestigen dat de fix correct is uitgevoerd voordat je de rest aanpakt.
- Als er een significante wijziging in je infrastructuur heeft plaatsgevonden, zoals een migratie naar de cloud of het toevoegen van nieuwe systemen.
Naast de hertest is het verstandig om periodiek pentests te laten uitvoeren, minimaal eens per jaar. Je ICT-omgeving verandert voortdurend, en nieuwe kwetsbaarheden ontstaan ook in systemen die eerder veilig waren.
Hoe voorkom je dat dezelfde kwetsbaarheden terugkomen?
Dezelfde kwetsbaarheden komen terug als je alleen de symptomen aanpakt en niet de onderliggende oorzaak. Structurele preventie vraagt om drie dingen: een herhaalbaar patchbeheerproces, duidelijk toegangsbeleid, en regelmatige bewustwordingstraining voor medewerkers. Technische fixes zonder organisatorische verankering houden het probleem niet duurzaam weg.
Concrete maatregelen die terugkerende kwetsbaarheden voorkomen:
- Patchbeheer: stel een vaste cyclus in voor het updaten van software, besturingssystemen en firmware. Wacht niet tot een pentest je erop wijst dat systemen verouderd zijn.
- Toegangsbeheer: geef medewerkers alleen toegang tot wat ze nodig hebben voor hun werk. Controleer toegangsrechten periodiek, zeker bij functiewisselingen of vertrek.
- Bewustwording: veel kwetsbaarheden worden misbruikt via menselijk gedrag, zoals het klikken op phishingmails. Regelmatige awareness-trainingen houden medewerkers alert.
- Continue monitoring: gebruik tools die actief je omgeving scannen op nieuwe kwetsbaarheden in plaats van te wachten op de volgende pentest.
- Documenteer geleerde lessen: leg na elke pentest vast welke patronen terugkeren en pas je beveiligingsbeleid daar structureel op aan.
Hoe wij helpen na een pentest
Een pentest-rapport is waardevol, maar de echte winst zit in wat je daarna doet. Wij begeleiden MKB-organisaties bij het hele traject na een pentest: van het interpreteren van de bevindingen tot het uitvoeren van technische maatregelen en het opzetten van structurele beveiliging.
Onze pentests worden uitgevoerd door CCV-gecertificeerde specialisten van ThreadStone en leveren een overzichtelijk rapport op met concrete aanbevelingen. Daarna pakken we samen met je de bevindingen aan:
- Technische maatregelen doorvoeren in je netwerk, servers en werkplekken via onze beheersdiensten.
- Continue monitoring via ThreadDefense (24/7 bewaking van Microsoft 365-omgevingen, werkplekken en servers) en ThreadScan voor actieve monitoring van online systemen.
- Bewustwordingstraining voor medewerkers via het KnowBe4-platform, inclusief phishingsimulaties en e-learnings, gecertificeerd via het CCV Awareness Keurmerk.
- Vulnerability Management voor continu inzicht in hardware-, software- en kwetsbaarheden, zodat je niet wacht op de volgende pentest.
- Begeleiding bij het voldoen aan ISO 27001, NEN 7510 en de NIS2-richtlijn.
Wil je weten hoe sterk je beveiliging nu staat? Vraag een Security 0-meting aan. Dat is een assessment dat de huidige staat van je cybersecurity in kaart brengt en directe verbeterpunten oplevert. Neem contact op en we bespreken samen de mogelijkheden.
Related Articles
- Hoe voeren we Copilot in bij een bouwbedrijf?
- Hoe ga je om met medewerkers die herhaaldelijk op phishing-links klikken?
- Hoe weet je of jouw bedrijfsgegevens al op het dark web te koop staan?
- Hoe train je medewerkers in cybersecurity zonder dat het als verplicht nummer voelt?
- Hoe beveilig je jouw Microsoft 365-omgeving tegen aanvallen van buitenaf?