ISO 27001-penetratietest

ISO 27001 schrijft niet met zoveel woorden een penetratietest voor, maar vraagt wel dat u technische kwetsbaarheden beheerst en de werking van uw maatregelen toetst (o.a. A.8.8 en A.8.29). Een penetratietest is de breed geaccepteerde manier om dat aan te tonen, en doorgaans wat een auditor als bewijs verwacht.

Vooral de beheersmaatregelen rond technische kwetsbaarheden (A.8.8) en beveiligingstesten (A.8.29) in de 2022-versie — in de oudere 2013-norm A.12.6.1 en A.14.2.8. Een pentest levert het objectieve bewijs dat deze maatregelen in de praktijk werken.

Idealiter 2 tot 4 maanden vóór uw Stage 2- of hercertificeringsaudit, zodat u tijd heeft om bevindingen op te lossen en een hertest te laten doen. Zo gaat u met aantoonbaar opgeloste risico’s de audit in.

De praktijk en de meeste certificerende instellingen gaan uit van minimaal een jaarlijkse test, plus een test na belangrijke wijzigingen aan uw systemen. Het exacte ritme hangt af van uw risicoprofiel en de scope van uw ISMS.

Er is geen vaste prijs. De kosten volgen uit de scope, de diepgang van het onderzoek en of een hertest en auditklare rapportage nodig zijn. We bepalen eerst samen de scope en geven u dan een heldere, vaste prijs.

Ja. Na een ISO 27001-penetratietest ontvangt u een auditbestendig rapport met alle bevindingen, hun risico en concrete oplossingen, opgesteld om direct als bewijs richting uw auditor of certificerende instelling te dienen.

Wij zijn onafhankelijk en testen handmatig op red team-niveau, geen geautomatiseerde scan met een logo. U krijgt echt bewijs waar u iets aan heeft, en advies dat u meteen kunt toepassen.