Uit de praktijk. De tester loopt zonder pas mee door de speedgate. Niemand spreekt hem aan. Verderop staat een deur naar een beschermd gebied open.
Dat is een duidelijke bevinding. Toch zegt zij nog niet wat morgen moet veranderen. Een extra sticker op de speedgate? Een training voor iedereen? Een nieuwe toegangsinstallatie? Wie te snel een oplossing kiest, behandelt mogelijk het zichtbare moment en niet de oorzaak.
Een rapport is voor ons daarom nooit het eindproduct van een pentest. De waarde ontstaat in de vertaling naar risico, oorzaak, eigenaar, maatregel en een nieuwe praktijktest.
Een bevinding is pas gesloten als de route niet alleen op papier, maar ook in de praktijk is doorbroken.
Eerst begrijpen wat er werkelijk gebeurde
De speedgate werkte technisch. De medewerker had een geldige pas. De tester gebruikte geen geweld en forceerde niets. Hij liep mee op een druk moment, met zijn handen vol en een verhaal dat geloofwaardig genoeg klonk.
De constatering is dus niet simpelweg dat de speedgate faalde. Misschien was meelopen al maanden een normale uitzondering. Misschien ontbrak een gastvrije manier om iemand tegen te houden. Misschien wist niemand waar een verdachte situatie gemeld moest worden.
Dat onderscheid is belangrijk. Anders wordt een technische installatie vervangen terwijl dezelfde routine rond de nieuwe installatie blijft bestaan. Dat is schijnveiligheid met een nieuwer apparaat.
Terugkerend in onze tests
Zware bouwkundige maatregelen rond een ruimte, terwijl de zwakste schakel bij de receptie zit of bij een leverancier met een generieke pas. Het geld is uitgegeven, maar het risico is niet kleiner geworden.
Eén bevinding, vijf stappen
1. Vertaal de toegang naar een bedrijfsrisico
“Iemand kon meelopen” is nog geen bedrijfsrisico. De vraag is wat daarachter bereikbaar werd. Vertrouwelijke dossiers? Een serverruimte? Een productieomgeving? Medewerkers die met gevoelige informatie werken?
In dit voorbeeld blijkt de speedgate toegang te geven tot een verdieping met een technische ruimte. De impact is daarmee groter dan onbevoegd verblijf in een algemene kantoorzone. De risico-eigenaar kan nu een besluit nemen op basis van het geraakte bedrijfsbelang.
2. Zoek de oorzaak achter het moment
Bekijk de hele route. Hoe druk was het? Werd de tester gezien? Is aanspreken in deze cultuur normaal? Werkt de meldroute? Krijgt de receptie informatie over onderhoud en bezoekers?
De oorzaak kan verdeeld zijn over mens, proces en techniek. Dat is vaak precies waarom een bevinding blijft liggen: iedere afdeling ziet slechts haar eigen stukje.
Uit de praktijk
Uit openbare bronnen waren de naam en het logo van een contractpartij te achterhalen. Met nagemaakte bedrijfskleding en een gereedschapskist meldde de auditor zich bij de leveranciersingang van een datacenter. Hij werd doorgelaten. De aandacht ging naar de hoofdingang; de ingang voor leveranciers bleek de route met de minste weerstand. Wie dan alleen de hoofdingang verbetert, sluit niet de route die werkte.
3. Kies maatregelen die bij elkaar passen
In het speedgatevoorbeeld kan de oplossing bestaan uit een duidelijker bezoekersproces, een korte oefening met medewerkers en een aanpassing van de opvolging. Misschien is ook techniek nodig, maar pas nadat duidelijk is welk probleem die techniek moet oplossen.
Een alarm zonder geoefende opvolging is een geluid. Een procedure die niemand in een drukke situatie kan toepassen is tekst. Maatregelen moeten samen één route sluiten.
4. Leg eigenaar, termijn en resultaat vast
“Medewerkers opnieuw informeren” is geen afgeronde actie. Een goede verbeterafspraak zegt wie verantwoordelijk is, wanneer de wijziging klaar is en waaraan je straks ziet dat zij werkt.
Voor deze bevinding kan dat zijn: de facilitymanager past het bezoekersproces aan, de securitymanager richt de meldroute in en de proceseigenaar accepteert het resterende risico. Het resultaat is concreet: een onbekende kan niet meer ongecontroleerd meelopen en een melding bereikt binnen de afgesproken tijd de juiste functionaris.
5. Test dezelfde route opnieuw
Na invoering volgt een hertest. Niet om medewerkers op het vorige voorval af te rekenen, maar om te zien of de combinatie nu standhoudt.
De tester probeert opnieuw mee te lopen. Wordt hij aangesproken? Is controleren eenvoudig? Komt de melding aan? Reageert iemand? Pas dan wordt duidelijk of de maatregel bestaat én werkt.
Bewijs op drie niveaus
Voor de opvolging gebruiken we één eenvoudige lijn: opzet, bestaan en werking.
De opzet beschrijft hoe de maatregel hoort te werken. Het bestaan laat zien dat zij werkelijk is ingevoerd. De werking blijkt uit een inspectie, oefening of hertest. Die drie voorkomen dat een aangepast document wordt verward met een opgelost risico.
| Niveau | Speedgatevoorbeeld | Mogelijk bewijs |
|---|---|---|
| Opzet | Bezoekers en medewerkers worden gescheiden doorgelaten | Aangepast proces en toegewezen rollen |
| Bestaan | Meldroute, instructie en technische instelling zijn ingevoerd | Registratie, observatie en bereikbaarheidstest |
| Werking | Een nieuwe meeloper wordt gestopt en correct gemeld | Onaangekondigde hertest |
Voor management is dit overzicht vaak nuttiger dan een lange actielijst. Het laat zien welk risico nog openstaat, wie aan zet is en welk bewijs ontbreekt.
De criminal attack cycle als meetlat
Een aanval op een locatie begint niet bij de deur. Wie ergens binnen wil komen, doorloopt doorgaans acht fasen: het kiezen van een doelwit, informatie verzamelen, observeren ter plaatse, plannen, middelen verzamelen, een proefrit, de uitvoering en de aftocht. Cocoon gebruikt die criminal attack cycle als meetlat.
De rapportage volgt diezelfde fasen. Per fase worden de kwetsbaarheden benoemd en verbeteradviezen gegeven, en krijgt de fase een eindbeoordeling. Die beoordelingen komen samen in een dashboard, waarin in een oogopslag te zien is waar een aanval was op te merken en waar niet.
Wanneer is de bevinding echt afgerond?
Niet ieder risico hoeft volledig te verdwijnen. Soms accepteert de bevoegde eigenaar een restrisico, bijvoorbeeld omdat een bouwkundige aanpassing pas tijdens een geplande verbouwing kan. Leg dan de reden, tijdelijke maatregelen en herbeoordelingsdatum vast.
Een losse bevinding kan worden gesloten wanneer de maatregel is ingevoerd, de werking is aangetoond en het resterende risico bewust is geaccepteerd. De bredere beveiliging blijft bewegen. Medewerkers wisselen, leveranciers komen en gaan en de technische ruimte staat tijdens onderhoud misschien opnieuw open.
Daarom sluiten periodieke penetratietests aan op gerichte hertests. De hertest controleert het bekende gat; de periodieke test zoekt ook naar nieuwe routes.
Wie pentestbevindingen zo opvolgt, verandert een rapport in een stuurinstrument. Niet het aantal bevindingen bepaalt de waarde, maar wat aantoonbaar beter werkt bij de volgende poging.
Meer weten over het verbinden van testen en verbeteren? Bekijk Security Improvement of bespreek de bevindingen vertrouwelijk met Cocoon.
Veelgestelde vragen
Wie moet eigenaar zijn van een pentestbevinding?
De eigenaar van het geraakte bedrijfsrisico. Facility, HR of IT kan een maatregel uitvoeren, maar risicoacceptatie hoort bij iemand met beslissingsbevoegdheid.
Hoe snel moet een hertest plaatsvinden?
Zodra de maatregel stabiel is ingevoerd. Bij een kritiek risico kan een tijdelijke maatregel eerder apart worden getest; bij een bouwkundige wijziging volgt de hertest na oplevering.
Moet iedere bevinding worden opgelost?
Nee. Verminderen, vermijden, overdragen of bewust accepteren zijn mogelijke keuzes. De afweging en het bewijs moeten wel zichtbaar zijn.