De kern van het verschil draait om de vraag die je beantwoord wilt krijgen: wil je weten welke kwetsbaarheden er zijn, of wil je weten of iemand ze ook echt kan misbruiken? Hieronder lopen we de drie smaken securitytest voor het mkb één voor één langs, kijken we naar de volgorde die werkt, en sluiten we af met realistische doorlooptijden en investeringen.
De drie smaken op een rij
Een vulnerability scan is geautomatiseerd en breed. Een scanner doorloopt je externe assets en vergelijkt versies van software met bekende kwetsbaarheden. Elke dag levert hij een lijst op van wat hij vindt. Dat doe je al met NetCaptain: dagelijkse scans van je firewalls, webservers en andere netwerkapparaten, met real-time alerts wanneer er een kritieke bevinding tussenzit. De scanner ziet bekende kwetsbaarheden, maar oordeelt niet over wat een aanvaller ermee kan.
Een pentest, of penetratietest, is een gerichte, handmatige test. Een tester krijgt een afgebakende scope en een vast aantal dagen. Daarin gaat hij actief op zoek naar wat hij kan bereiken. Hij leest configuraties en ketent kwetsbaarheden aan elkaar, waarna hij een rapport schrijft. Het resultaat is een lijst met concrete bevindingen en een advies per bevinding. Een netwerk pentest blijft meestal binnen een paar dagen tot twee weken.
Een red team traject is een simulatie van een echte aanvaller, zonder afgebakende scope en zonder einddatum vooraf. Het team mag meerdere aanvalsroutes proberen: een netwerk pentest, social engineering, fysieke toegang, soms een phishing campagne. Het doel is niet om een netjes geformatteerde lijst met kwetsbaarheden te produceren, maar om te testen of jouw organisatie de aanval ook opmerkt.
Wanneer is een periodieke test voldoende?
Voor het merendeel van de mkb-organisaties is het antwoord op die vraag ja, mits je basis op orde is. NIS2 verwacht dat je in staat bent om kwetsbaarheden te vinden en op te volgen, maar de richtlijn vraagt niet om een red team traject. De NIS2-richtlijn vraagt om een combinatie van maatregelen. Dagelijkse monitoring, periodieke tests en een manier om bevindingen op te volgen horen daarbij. Een jaarlijkse pentest past in dat plaatje, naast je doorlopende scans.
Een pentest is de juiste keuze wanneer je wilt weten welke concrete risico’s er in een specifieke omgeving aanwezig zijn. Denk aan een nieuwe webapplicatie die net live staat, of een nieuwe klantomgeving die je hebt overgenomen. De tester levert binnen een vast aantal dagen een rapport, en je weet precies wat hij heeft gevonden en wat je eraan kunt doen.
Twijfel je of een pentest genoeg is, stel jezelf dan twee vragen. Hebben we onze dagelijkse vulnerability scanning al langere tijd op orde? En weten we zeker dat onze monitoring en respons werken? Als het antwoord op een van beide onzeker is, los dat eerst op voordat je een red team traject inplant. Een red team op een onvolwassen basis is een dure manier om te ontdekken dat het probleem niet bij de aanvaller ligt.
De meerwaarde van een aanvalssimulatie
Een red team test het complete detectie- en responsproces, terwijl een pentest vooral een technische momentopname is. Tijdens een pentest stopt de tester meestal zodra hij een kritieke kwetsbaarheid vindt, schrijft dat op en gaat door naar de volgende. Een red team doet dat niet. Het team probeert zo lang mogelijk onder de radar te blijven en test hoe jouw organisatie reageert.
Concreet levert een red team drie dingen die een pentest niet kan. Het laat zien of jouw SIEM of monitoring de aanvaller opmerkt. Het laat zien hoeveel tijd er zit tussen de eerste detectie en het moment dat iemand ingrijpt. En het laat zien welke data een aanvaller kan bereiken voordat er iemand in actie komt. Een pentest rapport vertelt je welke deuren openstaan, een red team rapport vertelt je of iemand ze al open heeft gemaakt.
De keerzijde is dat een red team traject duurder en intensiever is dan een pentest. Reken op een doorlooptijd van vier tot acht weken, en op een project dat de nodige aandacht vraagt van je eigen IT-team. Voor een mkb zonder volwassen detectieproces is het geen verstandige eerste stap. Het is pas zinvol als je basismaatregelen op orde hebt en bewust wilt zien hoe goed je detectie en respons in de praktijk werken.
De volgorde die werkt voor het mkb
De meeste mkb-organisaties beginnen met geen van deze drie, en dat is het probleem waar je later de meeste schade van ondervindt. De volgorde die werkt, begint bij dagelijkse vulnerability scanning. Daarmee krijg je een doorlopende stroom van bekende kwetsbaarheden en kun je je CyberRisk in de gaten houden, wat de basis legt voor een gesprek met auditors. NetCaptain doet dat automatisch, met alerts via dashboard en e-mail. Persoonlijke begeleiding bij de installatie zorgt dat je niet zelf hoeft uit te vogelen welke assets je in scope wilt hebben.
Stap twee is een jaarlijkse pentest op je meest kritieke systemen. Dat geeft je handmatige diepgang op de plekken die er het meest toe doen, en het levert een rapport op dat je kunt gebruiken richting bestuur of auditor. Wie de ISO 27001 Annex A controls naleeft, weet dat een periodieke pentest daar expliciet in past.
Stap drie is een red team traject, en alleen als je basis op orde is. Doe dit niet in jaar een van je securityprogramma. Doe het pas wanneer je monitoring, je patchproces en je incident response plan getest zijn en werken.
Wat kost een pentest en een red team voor het mkb?
Een pentest voor een mkb-omgeving begint doorgaans bij een paar duizend euro voor een eenvoudige webapplicatie of een kleine netwerk pentest, en loopt op naarmate de scope groter wordt. Voor een gemiddeld mkb-netwerk met meerdere segmenten, een webapplicatie en wat workstations mag je rekenen op een bedrag in de orde van tienduizend euro. De variabele zit hem vooral in het aantal testdagen dat nodig is.
Een red team traject is een andere schaal. Reken op doorlooptijden van vier tot acht weken, met een team van meerdere specialisten. De investering ligt een factor tot tien hoger dan een pentest, afhankelijk van hoe lang het team actief blijft en welke scenario’s je wilt laten testen. Dat maakt het geen product dat je elk jaar inplant.
Vulnerability scanning is verreweg de goedkoopste laag. Een gratis CyberScan geeft je een eerste beeld, en een volledige doorlopende scan via NetCaptain is bedoeld voor het mkb-prijsmodel, niet voor de enterprise-suite die andere partijen aanbieden. Het is de laag die je elke dag draait, terwijl de andere twee laag in frequentie maar hoog in intensiteit zijn.
Veelgestelde vragen over pentest en red team
Wat is het grootste verschil tussen een pentest en een red team?
Een pentest is een gerichte test binnen een afgebakende scope en een vast aantal dagen, en levert een rapport met bevindingen. Een red team simuleert een realistische aanvaller over een langere periode. Hij combineert technische aanvallen met social engineering en test of je organisatie de aanval ook detecteert en erop reageert. Het verschil zit hem in scope, doorlooptijd en de vraag die wordt beantwoord.
Heeft een mkb altijd een aanvalssimulatie nodig?
In de meeste gevallen niet als eerste stap. Begin met dagelijkse vulnerability scanning via NetCaptain en een jaarlijkse pentest op kritieke applicaties. Een red team wordt pas zinvol als je basis op orde is, of wanneer je een specifiek scenario wilt onderzoeken.
Is een jaarlijkse pentest voldoende voor NIS2?
Nee, NIS2 vraagt om doorlopende maatregelen, niet om een enkel rapport per jaar. Een pentest kan onderdeel zijn van je aanpak, maar je hebt daarnaast continue monitoring nodig, een patchproces en een manier om bevindingen op te volgen. De combinatie van dagelijkse scans en periodieke pentest trajecten is wat toezichthouders verwachten.
Kan een vulnerability scan een pentest vervangen?
Nee, beide vullen elkaar aan. Een scan vindt bekende kwetsbaarheden op grote schaal, snel en automatisch. Een pentest zoekt daarnaast naar logica-fouten en ketens van kleine issues, plus scenariocombinaties die een scanner niet kan beoordelen. Ze zijn twee complementaire lagen in je beveiligingsaanpak.
Wat levert een red team op dat een pentest niet kan?
Een red team test het complete detectie- en responsproces. Het laat zien of jouw organisatie een aanvaller tijdens de aanval ook opmerkt en hoe lang dat duurt. Daarnaast laat het zien welke data een aanvaller kan bereiken voordat iemand ingrijpt. Een pentest levert die informatie niet, omdat een tester meestal netjes stopt zodra hij een kritieke bevinding doet.
De volgende stap voor jouw organisatie
De keuze tussen een pentest en een red team traject is geen kwestie van budget alleen. Het is een keuze die past bij hoe volwassen je securityprogramma vandaag is. Wie dagelijks scant en weet welke assets er in scope zijn, kan gericht een pentest inplannen op de plekken die er het meest toe doen. Wie daar bovenop ook wil zien of detectie en respons in de praktijk werken, kan een red team overwegen. Wie nog geen van beide heeft, begint met NetCaptain als basis.
Twijfel je waar jouw organisatie staat, dan is een gratis CyberScan een laagdrempelige eerste stap. Je krijgt binnen vijf minuten een eerste beeld van je kwetsbaarheden, en je weet meteen of je klaar bent voor een pentest of dat de basis eerst nog aandacht nodig heeft.
Plan een vrijblijvend kennismakingsgesprek met een NetCaptain-expert als je wilt sparren over welke combinatie van maatregelen bij jouw mkb past.
