Het CCV Keurmerk Pentesten: wat het is, en wat het niet is

Wat is het CCV Keurmerk Pentesten?

Iedereen mag zich pentester noemen; het is geen beschermd beroep. Daarom heeft Het CCV een certificatieschema voor pentesten ontwikkeld. Zo kunnen aanbieders laten zien dat hun dienst aan vastgestelde kwaliteitseisen voldoet. Het CCV is een onafhankelijke Nederlandse stichting die zich bezighoudt met criminaliteitspreventie en veiligheid.

Op de site van Het CCV staat een openbaar register van gecertificeerde bedrijven. Wilt u weten wie daar nu in staat, kijk er dan zelf in. Wij noemen hier geen aantal: dat verandert, en een getal van vorige maand helpt u niet.

Wie toetst de aanbieders?

Het CCV beheert het schema, maar toetst niet zelf. Dat doet een certificatie-instelling, bijvoorbeeld Kiwa. Volgens Kiwa is het keurmerk gebaseerd op de normen NEN-EN-ISO/IEC 17021 en 17065. Die normen beschrijven hoe certificatie-instellingen zelf moeten werken. De audits worden gedaan door auditors met ervaring in informatiebeveiliging, zoals ISO 27001.

Welke eisen het schema precies stelt aan werkwijze, testers en rapportage, leest u in het schema zelf bij Het CCV. Wij vatten het hier niet samen, om geen eisen te noemen die niet kloppen.

Wat zegt het keurmerk wel, en wat niet?

Wel: een onafhankelijke partij heeft de aanbieder getoetst volgens een vast schema, en blijft dat doen zolang het certificaat geldt. Dat geeft u houvast als u een aanbieder niet kent.

Niet: het keurmerk is geen garantie dat een test alle zwakke plekken vindt, of dat uw webshop daarna veilig is. Het is ook geen wettelijke verplichting. De waarde van een test hangt nog steeds af van de scope en het aantal testdagen. En van de tester die het werk doet.

Wanneer heeft u een gecertificeerde aanbieder nodig?

Als iemand het van u eist. Eist een aanbesteding, een klantcontract of uw verzekering een aanbieder met het CCV Keurmerk? Dan is dat een harde eis. Kies dan een aanbieder uit het register van Het CCV.

Eist niemand het, dan is het keurmerk één van de dingen waarop u kunt letten. Andere zijn een duidelijke scope op papier, een voorbeeldrapport en een vaste prijs. Ook een hertest en de mogelijkheid om de tester zelf te spreken tellen mee. Zie ons artikel over pentest offertes vergelijken.

Hoe controleert u een certificaat?

Zoek de bedrijfsnaam op in het register van gecertificeerde bedrijven op de site van Het CCV. Vraag de aanbieder om een kopie van het certificaat. Kijk of het nog geldig is en of het de dienst dekt die u afneemt. Een logo op een website alleen is geen bewijs.

Waarom heeft Blackbox Cyber dit keurmerk niet?

Blackbox Cyber is een klein bedrijf en heeft het CCV Keurmerk Pentesten nu niet. Ook beroepscertificeringen zoals OSCP of CREST hebben wij niet. Dat zeggen we liever zelf, dan dat u het later ontdekt.

Wat we wel bieden: Enes voert de testen zelf uit en heeft 5,5 jaar praktijkervaring met websites en webshops. Hij rondde trainingen af bij Qualys, Centri en Fortinet. Dat zijn certificaten van afronding, geen beroepscertificeringen. We werken volgens de openbare OWASP Web Security Testing Guide en ons voorbeeldrapport staat online. U krijgt een vaste scope en prijs op papier. Bij elke pentest is een hertest inbegrepen. Wij testen alleen na schriftelijke toestemming van de eigenaar van het systeem.

Heeft u een gecertificeerde aanbieder nodig? Dan zeggen we dat eerlijk in de intake. Zo koopt u niet voor niets bij ons.