ISO 27001 en pentest: is een pentest verplicht voor uw certificering?
Bijgewerkt op · 4 minuten lezen · door Enes
In het kort
ISO 27001 schrijft geen pentest letterlijk voor. De norm vraagt wel dat u technische kwetsbaarheden tijdig vindt en aanpakt (Annex A 8.8). En dat u beveiliging test tijdens ontwikkeling en vóór ingebruikname (Annex A 8.29). Voor de meeste mkb-bedrijven volstaat een periodieke scan plus een pentest op de belangrijkste applicatie. Dat is het bewijs dat een auditor wil zien.
In dit artikel (6 delen)
Wat zegt ISO 27001 over pentesten?
ISO/IEC 27001:2022 is de internationale norm voor een managementsysteem voor informatiebeveiliging (ISMS). In de bijlage, Annex A, staan 93 beheersmaatregelen. Het woord “penetratietest” is geen eis op zich. Wel staan er twee maatregelen in die in de praktijk vaak tot een pentest leiden.
Maatregel 8.8 gaat over beheer van technische kwetsbaarheden. U verkrijgt tijdig informatie over kwetsbaarheden in uw systemen en beoordeelt hoe blootgesteld u bent. Daarna neemt u passende maatregelen. Maatregel 8.29 gaat over beveiligingstesten bij ontwikkeling en acceptatie. U definieert beveiligingstests en voert ze uit als deel van de ontwikkeling, vóór een systeem in gebruik gaat.
Wat wil een auditor zien?
Een auditor kijkt niet of u een pentest heeft gekocht. Hij kijkt of u aantoonbaar weet waar uw zwakke plekken zitten en of u ze oplost. Dat bewijs bestaat uit drie delen. Eén: hoe u kwetsbaarheden vindt, zoals scans, meldingen van leveranciers en tests. Twee: wat u met de bevindingen doet, met prioriteit, eigenaar en termijn. Drie: dat u controleert of het opgelost is.
Een pentestrapport helpt daarbij. Maar alleen als het bij uw risico’s past en u kunt laten zien wat u met de bevindingen heeft gedaan. Een hertest na het oplossen is daarom vaak belangrijker voor de audit dan de test zelf.
Scan, pentest of allebei?
Het NCSC adviseert te beginnen met een kwetsbaarhedenscan en die bevindingen op te lossen. Daarna laat u een pentest doen voor de diepte. Voor ISO 27001 werkt die volgorde ook goed. Een periodieke scan laat zien dat u kwetsbaarheden doorlopend volgt (8.8). Een pentest op uw belangrijkste applicatie laat zien dat u ook test wat een scan mist. Denk aan uw webshop of klantportaal.
Bouwt of wijzigt u zelf software, dan vraagt 8.29 dat beveiligingstesten in het ontwikkelproces zitten, met een test vóór livegang. Bij een grote nieuwe release is een pentest dan een logisch moment.
Hoe vaak moet u testen voor ISO 27001?
De norm noemt geen vaste frequentie. U bepaalt die zelf op basis van uw risicoanalyse, en u moet die keuze kunnen uitleggen. In de praktijk zien auditors graag een jaarlijkse pentest op kritieke applicaties. Aangevuld met scans en een test na grote wijzigingen. Leg in uw ISMS vast waarom u voor die frequentie kiest. Dat is wat de auditor toetst. Stelt een klant, verzekeraar of PCI DSS een eigen eis? Dan geldt die er nog bovenop.
Zo voorkomt u dat u te veel koopt
Vraag niet om “een ISO-pentest”, maar beschrijf wat u wilt aantonen. Welke systemen zijn kritiek in uw risicoanalyse? Wat is uw scope voor de certificering? Laat precies die onderdelen testen. Een pentest op uw hele netwerk terwijl uw scope één webapplicatie is, is weggegooid geld.
Bij Blackbox Cyber test De Inbraaktest uw website of webshop van buitenaf, vanaf € 2.950 excl. btw. Moeten ook het deel achter de inlog en uw API’s mee? Dan past De Inbraaktest Totaal, vanaf € 4.950 excl. btw. In beide zit een hertest binnen 60 dagen. Het rapport beschrijft de methode en de scope. Per bevinding staan het risico en de oplossing erin: precies wat een auditor wil lezen. Wij testen alleen na schriftelijke toestemming van de eigenaar van het systeem.
ISO 27001, NIS2 en het mkb
ISO 27001 is voor de meeste mkb-bedrijven niet verplicht. Vaak komt de vraag van een klant. Bijvoorbeeld een grote opdrachtgever of een overheid die eist dat leveranciers gecertificeerd zijn. Valt die klant onder de Cyberbeveiligingswet (NIS2)? Dan moet hij ook naar de beveiliging van zijn leveranciers kijken. Zo komt de vraag bij u terecht.
Wilt u eerst weten waar u staat zonder volledig ISO-traject? Het NCSC heeft gratis hulpmiddelen voor het mkb, zoals de CyberVeilig Check en de Risicoklassenindeling Digitale Veiligheid. Die helpen u bepalen welke maatregelen bij uw bedrijf passen.
Veelgestelde vragen
Wat moet er in een pentestrapport staan voor de auditor?
De scope en wat erbuiten viel, plus de testperiode en methode. Per bevinding het risico, het bewijs en de oplossing. En na de hertest welke bevindingen zijn opgelost. Bewaar ook wat u met elke bevinding heeft gedaan.
Telt een pentest van een leverancier mee voor mijn certificering?
Alleen voor het deel dat die leverancier voor u beheert. En alleen als het rapport recent is en uw gebruik dekt. Voor uw eigen applicaties en instellingen heeft u eigen bewijs nodig.
Is een pentest verplicht voor ISO 27001?
Niet letterlijk. ISO 27001 vraagt dat u technische kwetsbaarheden beheert (Annex A 8.8) en beveiliging test bij ontwikkeling en acceptatie (8.29). Een pentest is de gebruikelijke manier om dat aan te tonen voor uw belangrijkste applicaties.
Hoe vaak moet een pentest voor ISO 27001?
De norm noemt geen frequentie. U bepaalt die op basis van uw risicoanalyse. Gebruikelijk is een jaarlijkse pentest op kritieke applicaties, plus een test na grote wijzigingen.
Is een kwetsbaarheidsscan genoeg voor ISO 27001?
Een periodieke scan is goed bewijs voor het volgen van kwetsbaarheden. Voor kritieke applicaties verwachten auditors vaak ook een handmatige test, omdat een scan logicafouten en onbekende kwetsbaarheden mist.
Moet de pentester ISO-gecertificeerd zijn?
ISO 27001 stelt die eis niet aan de tester. Let vooral op een duidelijke scope, een rapport met methode en bevindingen, een hertest en afspraken over vertrouwelijkheid.