Een pentestrapport gemaakt voor je audit

Wij leveren de pentest. Je auditor of certificerende instelling geeft het SOC 2-rapport of het certificaat af. Zo past ons rapport bij elk kader.

SOC 2

Wat het vraagt: SOC 2 maakt een pentest niet verplicht, maar auditors accepteren er vaak een als bewijs voor de criteria over monitoring en kwetsbaarhedenbeheer (zoals CC4.1 en CC7.1). Veel grote klanten vragen er een naast het SOC 2-rapport.
Wat wij leveren: Een pentestrapport en verklaring gedateerd binnen je auditperiode. Het SOC 2-rapport zelf mag alleen een erkend Amerikaans accountantskantoor (CPA) afgeven.

ISO 27001

Wat het vraagt: Annex A-maatregel 8.8 (beheer van technische kwetsbaarheden) en 8.29 (beveiligingstesten bij ontwikkeling en acceptatie). Auditors zoeken regelmatige onafhankelijke tests en bewijs dat bevindingen zijn opgelost.
Wat wij leveren: Het rapport, de hertest en de bijgewerkte verklaring laten beide zien: wat er gevonden is en dat het is opgelost.

PCI DSS 11.4

Wat het vraagt: Een penetratietest op applicatieniveau door een gekwalificeerde tester die organisatorisch onafhankelijk is, minstens eens per jaar en na grote wijzigingen.
Wat wij leveren: Een test van app en API, met de onafhankelijkheid van de tester in het rapport. De kwartaalscans van buitenaf (11.3.2) vragen een Approved Scanning Vendor; dat zijn wij niet.

NIS2 (Cyberbeveiligingswet)

Wat het vraagt: Geen uitdrukkelijke pentestplicht, wel de plicht om te beoordelen of je beveiligingsmaatregelen werken (artikel 21). Klanten die onder NIS2 vallen, controleren ook hun leveranciers.
Wat wij leveren: Onafhankelijk bewijs dat de maatregelen in je app werken, voor je bestuur en je klanten.

DigiD-assessment

Wat het vraagt: Het jaarlijkse DigiD-assessment doet een IT-auditor (RE). Een recente pentest van de applicatie met DigiD is daarbij meestal onderdeel van het bewijs.
Wat wij leveren: Een pentest van die applicatie, in het Nederlands of Engels, met de scope en data die de auditor nodig heeft.

Wat auditors controleren in een pentestrapport

Auditors controleren	Waar ons rapport het afdekt
Onafhankelijkheid	Wij bouwen of beheren je systemen niet. Staat in het rapport en de verklaring.
Kwalificaties	De tester staat erin met naam en achtergrond.
Scope	Geteste onderdelen, omgeving, gebruikersrollen en versies staan erin.
Moment	De testdata staan op het rapport en de verklaring.
Methode	OWASP ASVS op een genoemd niveau, met de OWASP-testgids.
Bevindingen	Elke bevinding heeft een ernst, bewijs en een oplossing.
Herstel	Het resultaat van de hertest, en een verklaring die daarna is bijgewerkt.

Auditor of compliance-adviseur? Zo werken we samen