English
Pentesten worden bij voorkeur uitgevoerd op een acceptatie- of testomgeving in plaats van op productie. Dit beschermt uw bedrijfsvoering en maakt tegelijk grondiger testen mogelijk. Deze pagina beschrijft waarom, wat een geschikte testomgeving is, en wat te doen als u er geen heeft.
Vijf redenen om op acceptatie- of testomgeving te pentesten
1. Bescherming van productie-systemen
Pentesten gebruiken technieken die live-systemen kunnen belasten. Een SQL injection-test die duizenden test-records aanmaakt, een geautomatiseerde scan die rate-limits triggert, of een payload die een applicatie doet crashen: op acceptatie is dat oplosbaar, op productie leidt het tot downtime en klant-impact.
2. Data-integriteit en klantgegevens beschermen
Tijdens een pentest kunnen gegevens worden gewijzigd, aangevuld of verwijderd. Op acceptatie werken wij met testdata. Op productie zou dit betekenen dat echte klantgegevens worden verstoord, wat naast operationele impact ook AVG-implicaties heeft (integriteit-beginsel).
3. Onbedoelde bijeffecten vermijden
Een test kan onbedoelde acties triggeren: e-mails naar echte klanten, betalingen via payment gateway, orders in externe systemen, of workflows die worden geactiveerd. Op acceptatie zijn deze integraties gemockt of verbonden met sandbox-omgevingen, op productie zouden echte transacties plaatsvinden.
4. Compliance en verantwoording
Compliance-frameworks zoals ISO 27001, NIS2 en NEN 7510 raden aan of vereisen dat security-testing in een niet-productieomgeving gebeurt om invloed op bedrijfsvoering en gevoelige gegevens te vermijden. Voor DigiD-assessments is dit onderdeel van het normenkader.
5. Efficiënte remediation-cyclus
Bevindingen kunnen op acceptatie direct worden verholpen en getest voordat ze naar productie worden uitgerold. Uw ontwikkelteam kan patches maken, hertesten uitvoeren en dan pas deployen. Dit is de gebruikelijke DevOps-workflow en past logisch bij pentesting.
Wat maakt een goede acceptatie-omgeving voor een pentest
Niet elke acceptatie-omgeving is direct geschikt. Voor een effectieve pentest moet uw acceptatie-omgeving:
- Recente productie-code hebben. Idealiter deployed vanuit dezelfde branch als productie of een release-branch.
- Alle functionaliteit werkend hebben. Uitgeschakelde features leveren blinde vlekken op.
- Testdata bevatten. Geanonimiseerde of dummy-data die alle scenario's dekt (verschillende gebruikersrollen, edge cases, multi-tenant).
- Vergelijkbare configuratie hebben. Zelfde security-instellingen, dezelfde headers, dezelfde authenticatie-flow als productie.
- SSL/HTTPS gebruiken. Certificaten kunnen self-signed of Let's Encrypt-based zijn, maar HTTPS is verplicht om realistische scenario's te testen.
- Werkende integraties hebben. Externe API-koppelingen aangesloten op sandbox-omgevingen van de betreffende partij (bijvoorbeeld iDEAL test-endpoint).
- Voorzien zijn van back-ups. Volledige back-up voordat de pentest start, zodat u kunt herstellen bij onverwachte issues.
Wat als u geen acceptatie-omgeving heeft
Voor kleinere organisaties of oudere applicaties is een acceptatie-omgeving niet altijd beschikbaar. Wij bespreken dan de volgende opties met u:
- Tijdelijke staging-omgeving opzetten. Voor de duur van de pentest, met een kopie van productie. Wij kunnen adviseren over minimale configuratie.
- Gecontroleerde productie-testing. Onder strikte voorwaarden en met beperkte scope: geen destructieve tests, alleen lees-operaties, en test-window buiten piekmomenten. Alleen geschikt voor lage-risico applicaties.
- Read-only productie-assessment. Passieve inventarisatie zonder actieve exploitation. Vindt configuratie-fouten en bekende kwetsbaarheden, maar geen business logic-fouten.
- Uitstel van pentest. Eerst investeren in het opzetten van een acceptatie-omgeving. Wij kunnen adviseren over de minimale eisen voor pentest-doeleinden.
De juiste optie hangt af van uw compliance-eisen, risico-tolerantie en beschikbare middelen. Bespreek dit tijdens het scope-gesprek.
Meer weten over voorbereiden op een pentest? Zie de FAQ over hoe u zich voorbereidt op een pentest. Neem contact op voor een kosteloos scope-gesprek, of bekijk onze pentestpakketten.