Kenniscentrum
Kenniscentrum voor penetratietesten en IT-audits.
Ontdek wat elk type beveiligingsbeoordeling waarvoor toestemming is verleend omvat, welke gebieden worden onderzocht, welke richtlijnen worden gebruikt en wat in het eindrapport wordt opgenomen.
Penetratietesten
Wat een netwerkpenetratietest omvat
Scope, testdekking, sectorrichtlijnen, bewijsmateriaal en rapportage voor interne en externe netwerkbeoordelingen.
Artikel lezenPenetratietesten
Wat een penetratietest voor webapplicaties omvat
Een praktische gids voor de afbakening van webapplicatietesten, geauthenticeerd testen, de beoordeling van bedrijfslogica en het eindrapport.
Artikel lezenPenetratietesten
Wat een penetratietest voor mobiele applicaties omvat
Dekking van iOS- en Android-applicaties, apparaatopslag, platformbeveiligingsmaatregelen, communicatie, API's en rapportage.
Artikel lezenPenetratietesten
Wat een API-penetratietest omvat
Hoe REST-, GraphQL- en service-interfaces worden afgebakend en getest en hoe bewijs en rapportage worden vastgelegd.
Artikel lezenPenetratietesten
Wat een cloudpenetratietest omvat
Toelichting op de dekking van cloudidentiteiten, workloads, opslag, netwerken, logging, paden naar hogere bevoegdheden en rapportage.
Artikel lezenPenetratietesten
Wat een penetratietest voor draadloze netwerken omvat
Toelichting op draadloze versleuteling, authenticatie, isolatie, scenario's met ongeautoriseerde toegang en beoordelingsrapportage.
Artikel lezenPenetratietesten
Wat een Active Directory-penetratietest omvat
Identiteitsarchitectuur, bevoegdheden, vertrouwensrelaties, inloggegevens, aanvalspaden, hardening en rapportage in één gids.
Artikel lezenPenetratietesten
Wat een IoT-penetratietest omvat
Toelichting op apparaten, firmware, interfaces, communicatie, verbonden diensten en rapportage over productbeveiliging.
Artikel lezenIT-audits
Wat een IT-beveiligingsaudit omvat
Hoe auditcriteria, bewijs, tekortkomingen in beheersmaatregelen, risico's, aanbevelingen en managementrapportage worden gestructureerd.
Artikel lezenDrijfveren vanuit wet- en regelgeving
Hoe tests bijdragen aan de naleving van wettelijke en contractuele verplichtingen.
In Europa en de Verenigde Staten verplichten wetgeving en sectorkaders organisaties steeds vaker om de effectiviteit van hun beveiligingsmaatregelen te testen. Geautoriseerde penetratests en IT-audits leveren de gedocumenteerde bewijsstukken die toezichthouders, auditors en zakenpartners verwachten.
Europa
De Europese wetgeving beschouwt beveiligingstests als onderdeel van de plicht van een organisatie om persoonsgegevens en essentiële diensten te beschermen.
GDPR, artikel 32
Vereist technische en organisatorische maatregelen die passen bij het risico, inclusief een proces voor het regelmatig testen, beoordelen en evalueren van de doeltreffendheid van beveiligingsmaatregelen.
NIS2-richtlijn
Verplicht essentiële en belangrijke entiteiten om cyberrisico's te beheersen en maatregelen te verifiëren; penetratesten zijn een erkende manier om aan te tonen dat beveiligingsmaatregelen daadwerkelijk werken.
DORA
Stelt voor financiële entiteiten in de EU tests van de digitale operationele weerbaarheid verplicht, waaronder penetratietests op basis van dreigingsinformatie voor aangewezen instellingen.
Nationale kaders
Sectorale en nationale regels (bijvoorbeeld in de zorg, de energiesector en bij de overheid) verwijzen regelmatig naar onafhankelijke beveiligingstests als bewijs van zorgvuldigheid.
Verenigde Staten
Verplichtingen in de Verenigde Staten vloeien voort uit federale regelgeving, branchenormen en privacywetgeving van de afzonderlijke staten. Veel hiervan noemen penetratietests expliciet.
PCI DSS
Vereiste 11 verplicht elke organisatie die betaalkaartgegevens opslaat, verwerkt of verzendt om regelmatig penetratietests uit te voeren op de omgeving voor kaarthoudergegevens.
HIPAA Security Rule
Verplicht entiteiten die onder de regelgeving vallen om technische beveiligingsmaatregelen te evalueren; penetratietests kunnen deze evaluatie ondersteunen, maar worden niet expliciet verplicht door HIPAA.
GLBA / SOX
Financiële en beursgenoteerde organisaties moeten aantonen dat beheersmaatregelen voor financiële systemen en klantgegevens zijn getest.
Privacywetgeving van Amerikaanse staten
Wetgeving zoals de CCPA/CPRA vereist redelijke beveiligingsprocedures; gedocumenteerde tests zijn essentieel om aan te tonen dat aan die norm wordt voldaan.
Internationale raamwerken
De keuze van het raamwerk hangt af van de systemen, contractuele verplichtingen en risico's.
ISO/IEC 27001
Een norm voor informatiebeveiligingsmanagement. Technisch testen kan risicobehandeling en de evaluatie van beheersmaatregelen ondersteunen.
SOC 2
Een attestatiekader voor beheersmaatregelen bij dienstverlenende organisaties, geen algemene verplichting tot penetratietests.
NIST CSF
Een raamwerk voor het beheer van cyberbeveiligingsrisico's dat richting kan geven aan beoordelingsdoelstellingen en verbeterplanning.
Dit overzicht biedt algemene informatie en vormt geen juridisch advies. Welke verplichtingen precies van toepassing zijn, hangt af van uw sector, de gegevens die u verwerkt en de rechtsgebieden waarin u actief bent. DIGITPOL bevestigt de toepasselijke vereisten bij het vaststellen van de scope van de opdracht.