# Pentest voor een audit

# Toon je auditor aan dat je applicatie getest is.

Voor ISO 27001, NEN 7510 of NIS2 wil een auditor zien wat er getest is, wanneer, wat er gevonden is en of het is opgelost. Een pentest van HackIndex levert dat op papier, met een hertest en op verzoek een verklaring voor je auditor.

**Vanaf € 1.950 excl. btw**. Web- en API-pentest, vaste prijs na de scope

- **Rapport**: Binnen 10 werkdagen na de test
- **Hertest**: Binnen 90 dagen, inbegrepen vanaf Standaard
- **Ernst**: CVSS 4.0 en 3.1
- **Verklaring**: Één pagina, zonder bevindingen
- **Vooraf**: NDA, en een verwerkersovereenkomst waar nodig

[Pentest aanvragen](https://hackindex.nl/contact)

## Wanneer je een pentest nodig hebt voor een audit

- **ISO 27001** Je moet aantonen dat je de beveiliging van je applicatie test en dat je gevonden zwakheden oplost.
- **NEN 7510** In de zorg moet je laten zien dat systemen met patiëntgegevens getest zijn.
- **NIS2** Val je onder NIS2, dan moet je laten zien dat je je systemen test en risico's beheerst.
- **Een klant of aanbesteding** Een klant of aanbesteding vraagt om een recent pentestrapport als bewijs.

HackIndex doet zelf geen ISO-audits en geeft geen oordeel over je compliance.

## Wat je auditor wil zien, staat in het rapport

Een rapport binnen 10 werkdagen na de test, met alles wat een auditor vraagt.

1. **Scope en verantwoording**: Wat er getest is, op welke dagen, vanaf welke IP-adressen en met welke aanpak.
2. **Bevindingen met ernst**: Elke bevinding met een CVSS-score in versie 4.0 en 3.1.
3. **Status na de hertest**: Per bevinding opgelost, deels opgelost, niet opgelost of bewust geaccepteerd.
4. **Wat niet getest is**: Met de reden, zodat duidelijk is waar de grenzen liggen.
5. **Verklaring van één pagina**: Op verzoek: datum, scope en de status na de hertest, zonder bevindingen. Zo hoef je het rapport zelf niet te delen.

[Bekijk het voorbeeldrapport](https://hackindex.nl/downloads/hackindex-voorbeeldrapport.pdf)

## Na het oplossen wordt elke bevinding opnieuw getest

Een auditor wil niet alleen zien wat er gevonden is, maar ook wat ermee is gedaan.

- **Inbegrepen**: In Standaard en Uitgebreid. Bij Basis los te bestellen.
- **Binnen**: 90 dagen na het rapport
- **Resultaat**: Bijgewerkt rapport met de status per bevinding

- **Opgelost**: De fout is weg en de oplossing werkt.
- **Deels opgelost**: Het risico is kleiner, maar niet weg. In het rapport staat wat er nog nodig is.
- **Niet opgelost**: De fout werkt nog. Je krijgt uitleg waarom de oplossing niet werkte.
- **Risico geaccepteerd**: Je kiest er bewust voor om dit niet op te lossen. Het blijft zichtbaar in het rapport, met jouw reden.

## Plan terug vanaf je audit

Plan de test zo dat er voor de audit nog tijd is om op te lossen en te hertesten. Anders laat het rapport alleen open bevindingen zien.

1. **Scope**: Wat er getest moet worden, met een vaste prijs.
2. **Start**: In overleg, meestal binnen twee weken nadat de scope vastligt.
3. **Test**: Binnen het afgesproken testvenster, op avonden en in het weekend. Kritieke bevindingen hoor je meteen.
4. **Rapport**: Binnen 10 werkdagen na de test.
5. **Oplossen**: De tijd die je eigen team nodig heeft.
6. **Hertest**: Binnen 90 dagen, met een bijgewerkt rapport voor je auditor.

## Wat een pentest wel en niet aantoont

### Wel

- Dat je applicatie handmatig getest is
- Wat er gevonden is en hoe ernstig het is
- Wat er na de hertest is opgelost
- Waar de grenzen van de test lagen

### Niet

- **Een certificering**, HackIndex doet geen ISO-audits en geeft geen oordeel over je compliance.
- **Een garantie**, Een pentest is een momentopname van een afgesproken scope.
- **Een eindpunt**, Test vaak jaarlijks en na grote wijzigingen. Een jaarlijkse afspraak kan, met een prijs in overleg.

## Veelgestelde vragen

### Mag ik het rapport met mijn auditor delen?

Ja. Het rapport mag je delen met je accountant, auditor, toezichthouder of de leverancier die de bevindingen oplost.

### Telt een scan ook?

Meestal niet. Een auditor die om een pentest vraagt, wil zien dat er met de hand naar rechten en logica is gekeken.

### Kan de test op een vaste datum, vlak voor de audit?

Ja, in overleg. Plan wel tijd in om op te lossen en te hertesten, anders laat het rapport alleen open bevindingen zien.

### Wat gebeurt er met persoonsgegevens tijdens de test?

Vertrouwelijkheid wordt vooraf vastgelegd in een NDA. Kunnen er persoonsgegevens geraakt worden, dan komt er ook een verwerkersovereenkomst.

## Plan je pentest voor de audit.

Vertel wanneer de audit is en wat er getest moet worden. Je ontvangt een voorstel met een vaste prijs.

- [Pentest aanvragen](https://hackindex.nl/contact)

## Woordenlijst

- **Hertest**: Na het oplossen wordt elke bevinding opnieuw getest, zodat vaststaat dat de oplossing werkt.

Bron: https://hackindex.nl/pentest-voor-audit