Een veelvoorkomend misverstand bij bedrijven die voor het eerst een penetratietest laten uitvoeren, is de verwachting dat een «geslaagde» test betekent dat de infrastructuur voortaan veilig is. Die aanname is begrijpelijk, maar niet correct — en het is belangrijk om te begrijpen waarom.
Een penetratietest is een momentopname: onze specialisten proberen, binnen een afgesproken tijdsvenster en scope, actief kwetsbaarheden te vinden en te misbruiken op de manier waarop een aanvaller dat ook zou doen. Wat de test oplevert, is een concreet beeld van de zwakke plekken die op dat moment aantoonbaar zijn — niet een garantie dat er geen andere kwetsbaarheden bestaan, en zeker geen garantie voor de toekomst.
Software verandert voortdurend. Een nieuwe kwetsbaarheid in een gebruikte library, een verkeerd geconfigureerde update, of een nieuw stuk functionaliteit kan binnen enkele weken na een geslaagde test alweer een nieuw risico introduceren. Dit is precies waarom wij periodieke tests aanraden in plaats van een eenmalige exercitie.
Wat een pentest wél oplevert, is uiterst waardevol: een geprioriteerde lijst van concrete kwetsbaarheden, met bewijs van uitbuitbaarheid in plaats van enkel een geautomatiseerde scan. Dat onderscheid is belangrijk — een geautomatiseerde kwetsbaarheidsscan meldt duizenden mogelijke problemen, waarvan de meeste in de praktijk niet uitbuitbaar zijn. Een pentest filtert dat ruis weg en toont wat écht een risico vormt.
Onze rapportage gaat daarom altijd verder dan een lijst van bevindingen: elke kwetsbaarheid krijgt een concrete aanbeveling, geprioriteerd naar impact, zodat een IT-team weet waar te beginnen.