Een klant stuurde je een security-vragenlijst
Grote klanten willen een recent pentestrapport zien voordat ze tekenen. Je krijgt het rapport en een getekende verklaring die je aan ze kunt doorsturen.
Inbraaktests (pentests) voor webapps en API's
Een pentest die je aan je klant of auditor kunt geven.
We proberen elke gebruikersrol op elk onderdeel van je app en API, bewijzen elke bevinding met de hand en laten precies zien wat we hebben gecontroleerd. Vaste prijs, hertest inbegrepen.
Vraag een vaste prijsWat er in het rapport staat
- 1 werkdag
- tot je vaste offerte
- 5-15
- werkdagen tot het rapport
- 90 dagen
- om je reparaties te hertesten, inbegrepen
Wanneer teams ons bellen
Je auditor vraagt om een pentest
SOC 2, ISO 27001, PCI DSS, NIS2. Het rapport noemt scope, data, methode, tester en hertest: de punten die auditors controleren.
Hoe het rapport aansluit op je auditJe lanceert een AI-functie
We testen prompt injection, gegevens die via het model weglekken en misbruik van de tools die het model kan aanroepen, volgens de OWASP Top 10 voor LLM-toepassingen.
Je doet mee aan een grote opdracht of aanbesteding
Overheid en grote bedrijven vragen om een recente onafhankelijke test. Die heb je binnen een tot drie weken, tegen een prijs die je vooraf kent.
Wat je krijgt
Een rapport dat mensen kunnen lezen
Een samenvatting in gewone taal voor het management. Per bevinding: het bewijs (verzoek, antwoord, schermafbeelding), de impact, de oplossing en een risicoscore.
Een dekkingsmatrix
Elk onderdeel en elke rol tegen elke OWASP ASVS-eis op het niveau van je pakket, gemarkeerd als geslaagd, gefaald, niet van toepassing of niet getest, met de reden. Een schoon rapport zegt wat er getest is, niet alleen dat er niets gevonden is.
Een getekende verklaring
Eén pagina voor klanten en auditors: scope, data, methode, tester, resultaten per ernst. We werken hem bij na de hertest.
Dezelfde dag bericht bij kritieke bevindingen
Vinden we iets kritieks, dan hoor je het dezelfde dag, niet pas in het eindrapport.
| Onderdeel | Bezoeker | Gebruiker | Beheerder |
|---|---|---|---|
GET /api/invoices/{id} | Geslaagd | Gefaald | Geslaagd |
POST /api/invoices | Geslaagd | Geslaagd | Geslaagd |
DELETE /api/users/{id} | Geslaagd | Gefaald | Geslaagd |
POST /api/assistant/chat | Niet van toepassing | Geslaagd | Niet getest, met reden |
Drie niveaus van diepgang, elk met een vaste prijs
Basis
De basisnorm die elke app moet halen.
- Scope
- 1 webapp of API, tot 25 onderdelen (endpoints), 2 gebruikersrollen
- Diepgang
- OWASP ASVS niveau 1, elke rol
- Rapport klaar
- 5 werkdagen
Aanbevolen
Standaard
Voor apps met persoonsgegevens of bedrijfsdata.
- Scope
- 1 webapp en de API, tot 75 onderdelen, 3 gebruikersrollen
- Diepgang
- OWASP ASVS niveau 2; elke rol op elk onderdeel; je AI-functies
- Rapport klaar
- 10 werkdagen
Diepgaand
Voor apps waar veel van afhangt.
- Scope
- Tot 2 apps, 150 onderdelen, 5 gebruikersrollen
- Diepgang
- OWASP ASVS niveau 3 waar het van toepassing is; broncode gelezen naast de test van de draaiende app; eerst een sessie over wat er mis kan gaan
- Rapport klaar
- 15 werkdagen
Zo werkt het
Scopegesprek
Twintig minuten. We spreken af wat er getest wordt en sturen je een vaste prijs.
Opdracht en toestemming
Je tekent de opdracht en een schriftelijke toestemming (vrijwaring) van de eigenaar van het systeem. We spreken het testvenster en het aantal verzoeken per seconde af.
Test
Vijf, tien of vijftien werkdagen, afhankelijk van het pakket. Kritieke bevindingen melden we dezelfde dag.
Rapport en hertest
Je krijgt het rapport en de verklaring. We hertesten je reparaties binnen 90 dagen en werken de verklaring bij.
Je praat met degene die test
Geen accountmanager ertussen. De tester die je app doorneemt, test hem ook, schrijft het rapport en loopt het door met je developers.
Vragen die kopers stellen
Waarom geen automatische scan of AI-pentesttool?
Een scan meldt wat er mis zou kunnen zijn. Wij bewijzen wat er mis is, voor elke rol, en laten zien wat we hebben gecontroleerd. Auditors en grote klanten vragen om dat bewijs.
Waarom geen groot bureau?
Dezelfde openbare norm (OWASP ASVS), een vaste prijs, resultaat binnen een tot drie weken, en je praat met degene die test.
Zijn jullie gecertificeerd?
De wet vraagt geen certificaat om je app te testen, in Nederland niet en voor SOC 2 ook niet. Beoordeel ons op de methode, het voorbeeldrapport met de dekkingsmatrix en onze referenties.
Is het legaal?
Alleen met schriftelijke toestemming van de eigenaar van elk systeem in scope. Die toestemming hoort bij de opdracht, en zonder beginnen we niet.
Gebruiken jullie AI?
Ja, als gereedschap onder onze leiding. Elke bevinding is door een mens nagespeeld en bewezen. De modelleveranciers staan in de verwerkersovereenkomst, en je kunt zonder meerkosten bezwaar maken.
Kunnen jullie productie testen?
Liever een test- of acceptatieomgeving. Testen we productie, dan spreken we een venster en een tempo af, doen we niets destructiefs en stoppen we direct als je dat vraagt.
Werken jullie ook buiten Nederland?
Ja. We testen op afstand en schrijven rapporten in het Nederlands of Engels.
Pentest nodig voor een datum?
Vertel wat we moeten testen en wanneer je het rapport nodig hebt. Binnen een werkdag krijg je een vaste prijs.