Penetratietest: wat is een pentest en wanneer laat je er een doen?

5 november 2026

Je hebt een firewall, een virusscanner en je doet updates. Maar weet je ook zeker dat een hacker niet binnenkomt? Dat ontdek je met een penetratietest, kort een pentest.

Wat is een penetratietest?

Bij een pentest probeert een ethische hacker in te breken in je systemen. Dat gebeurt met jouw toestemming en volgens vaste afspraken. Het doel is om zwakke plekken te vinden voordat een echte hacker dat doet.

Na de test krijg je een rapport. Daarin staat wat er gevonden is, hoe ernstig het is en hoe je het oplost.

Wat wordt er getest?

Je bepaalt vooraf wat er getest wordt. Dat heet de scope. Veel gekozen onderdelen zijn:

• Website of webapplicatie: bijvoorbeeld een webshop of klantportaal.
• Externe systemen: alles wat vanaf internet bereikbaar is, zoals je mailserver of VPN.
• Intern netwerk: wat kan iemand die al binnen is, bijvoorbeeld via een besmette laptop?
• Wifi: kan een buitenstaander op je netwerk komen?
• Medewerkers: trappen collega's in een nepmail of een telefoontje? Dit heet social engineering.

Welke soorten pentests zijn er?

Pentest of vulnerability scan?

Een vulnerability scan is een automatische scan. Software zoekt naar bekende zwakke plekken, zoals verouderde programma's. Dat is snel en goedkoper, en je kunt het vaak herhalen.

Een pentest gaat verder. Een mens kijkt hoe zwakke plekken samen een weg naar binnen vormen. Hij probeert ze ook echt te gebruiken. Daardoor vind je problemen die een scan mist. Veel bedrijven combineren beide: regelmatig scannen en af en toe een pentest.

Wanneer laat je een pentest doen?

• Voordat je een nieuwe website, webshop of app live zet.
• Na een grote wijziging in je netwerk of systemen.
• Als een klant, verzekeraar of keurmerk erom vraagt.
• Als je met gevoelige gegevens werkt, zoals klant- of patiëntgegevens.
• Op vaste momenten, bijvoorbeeld eens per jaar.

Hoe verloopt een pentest?

1. Intake: je bespreekt wat er getest wordt en wanneer.
2. Afspraken op papier: je geeft schriftelijk toestemming. Zonder toestemming is inbreken strafbaar, ook voor een tester.
3. De test: de tester gaat aan de slag, vaak een paar dagen.
4. Rapport: je krijgt een overzicht van de gevonden zwakke plekken, met advies.
5. Oplossen: jij of je IT-partner lost de problemen op.
6. Hertest: de tester controleert of de oplossingen werken.

Waar let je op bij het kiezen?

Vraag naar ervaring met bedrijven zoals het jouwe. Vraag om een voorbeeldrapport, zodat je ziet of het begrijpelijk is. Een goed rapport heeft ook een korte samenvatting voor de directie, zonder vakjargon.

Let op certificeringen van de testers en vraag of een hertest in de prijs zit. Spreek ook af hoe er met je gegevens wordt omgegaan.

Het is vaak slim als de tester niet dezelfde partij is als je vaste IT beheerder. Zo kijkt er een frisse blik naar je systemen.

Na de pentest

Een pentest heeft pas zin als je de bevindingen oplost. Begin met de ernstigste punten. Vaak gaat het om updates, instellingen of te ruime rechten. Een ICT-bedrijf kan helpen met IT beveiliging en met netwerkbeheer om de gaten te dichten.

Hoe lang duurt een pentest?

Dat hangt af van de scope. Een kleine website testen kan in een paar dagen. Een groot netwerk met veel systemen duurt langer. Reken daarbij tijd voor de voorbereiding en het rapport.

Plan de test op een rustig moment, maar niet tijdens een vakantie. Er moet iemand bereikbaar zijn als de tester iets ernstigs vindt. Spreek vooraf af wanneer de tester mag testen. Sommige tests doe je liever buiten kantoortijd, zodat medewerkers geen last hebben van een trage verbinding.

Laat ook je vaste IT-partner weten dat er een test komt. Anders denkt die misschien dat er een echte aanval bezig is.

Een pentest is altijd een momentopname. Nieuwe zwakke plekken ontstaan steeds. Daarom is één test niet genoeg voor altijd.

ICT-bedrijf bij jou in de buurt

Wil je weten hoe veilig je systemen echt zijn? Op de homepage vind je ICT-bedrijven bij jou in de buurt. Vraag gratis een paar offertes aan voor een pentest of beveiligingscheck.