Hoe ziet een pentest rapport eruit?
Een pentest rapport legt vast welke zwakke plekken een tester in je omgeving vond, hoe zwaar het risico weegt en hoe je het herstelt. Een sterk rapport bevat altijd een managementsamenvatting, de scope en aanpak, een risicoclassificatie, de detailbevindingen met bewijs en herstel-advies, en een hertest. Hieronder loop je elk onderdeel langs. Onderaan download je een volledig voorbeeldrapport.
De test zelf duurt een paar dagen. Het rapport gebruik je maanden. Het is het document waarmee je je team aanstuurt, je herstel plant en je richting auditors laat zien dat je grip hebt. Toch weten veel organisaties vooraf niet wat ze mogen verwachten. Deze pagina helpt je het rapport te lezen en een sterk rapport te herkennen.
Pentest rapport voorbeeld (PDF)
Waarom het rapport het belangrijkste onderdeel van je pentest is
Een pentester kan de scherpste bevindingen vinden. Zonder heldere vastlegging blijft daar weinig van over. Je team weet dan niet waar het risico zit, hoe zwaar het weegt of wat de eerste stap is. Het rapport vertaalt technisch onderzoek naar keuzes die je kunt maken.
Daarnaast is het rapport je bewijsstuk. Bij een audit voor NIS2, ISO 27001 of een klantvraag over je beveiliging laat je met het rapport zien dat je je risico’s toetst en aanpakt. Een losse lijst met meldingen dekt die vraag zelden. Een rapport met onderbouwing, bewijs en herstel wel.
De opbouw van een pentest rapport, onderdeel voor onderdeel
Vrijwel elk sterk rapport volgt dezelfde opbouw. Zo vind je snel de informatie die je zoekt.
1. Managementsamenvatting
Dit deel schrijf je zonder technische termen. Het geeft in een paar alinea’s het risico-oordeel, het aantal bevindingen per niveau en de kern van wat er speelt. Een bestuurder leest hier in twee minuten of er actie nodig is. Let op een heldere conclusie: waar sta je, en wat verandert er na herstel.
2. Scope en aanpak
Hier lees je wat is getest en wat niet. De scope benoemt de systemen, de testperiode en de vorm van de test, zoals black box, grey box of white box. Twijfel je over die vormen, lees dan de uitleg over black box, grey box en white box. De aanpak verwijst naar kaders zoals de OWASP Web Security Testing Guide en PTES. Zo weet je dat de test een vaste methodiek volgde en niet willekeurig verliep.
3. Risicoclassificatie
Dit onderdeel legt uit hoe de tester het risico weegt, meestal met CVSS. De score combineert de kans op misbruik met het gevolg voor jouw organisatie. Verderop op deze pagina lees je hoe je de niveaus leest.
4. Detailbevindingen
Het hart van het rapport. Elke bevinding hoort deze vijf elementen te bevatten:
- Beschrijving: wat de zwakke plek is en waar die zit.
- Gevolg: wat een aanvaller ermee kan, vertaald naar jouw situatie.
- Bewijs: een schermafbeelding of vastlegging die de bevinding aantoont.
- Aanbeveling: de concrete stap om het risico te herstellen.
- Status: open, in behandeling of hersteld.
Zonder bewijs blijft een bevinding een bewering. Zonder aanbeveling weet je team niet wat de volgende stap is. Beide horen er dus in te staan.
5. Herstel en hertest
Een sterk rapport zet de bevindingen op volgorde van prioriteit en geeft een advies voor de doorlooptijd. Daarna volgt de hertest: nadat je de zwakke plekken hebt aangepakt, toetst de tester of het herstel werkt. Het hertestrapport is je bewijs richting bestuur en auditors.
6. Bijlagen
In de bijlagen staan de methodiek, de ingezette gereedschappen en soms een uitgebreide technische onderbouwing. Handig voor je DevOps-team, terwijl de rest van het rapport leesbaar blijft voor iedereen.
Zo lees je de risiconiveaus (CVSS)
De risiconiveaus vertellen je in welke volgorde je aan de slag gaat. Pak de kritieke en hoge bevindingen eerst op.
| Niveau | CVSS-score | Wat het betekent |
|---|---|---|
| Kritiek | 9.0 tot 10.0 | Direct misbruik mogelijk, groot gevolg. Nu handelen. |
| Hoog | 7.0 tot 8.9 | Reëel misbruik, gevoelige gegevens in het geding. |
| Middel | 4.0 tot 6.9 | Misbruik onder voorwaarden, beperkt gevolg. |
| Laag | 0.1 tot 3.9 | Klein risico, vaak informatie die een aanvaller helpt. |
Wat een sterk rapport onderscheidt van een zwak rapport
De ene rapportage is de andere niet. Aan deze signalen herken je een zwak rapport:
- Het rapport bestaat vooral uit ruwe scanneroutput, zonder handmatige controle. Veel meldingen zijn dan vals alarm.
- Bevindingen missen bewijs, waardoor je ze zelf moet natrekken.
- Er staat geen herstel-advies bij, alleen een opsomming van risico’s.
- De samenvatting geeft geen conclusie, dus je weet na het lezen nog steeds niet waar je staat.
- Een hertest ontbreekt, waardoor je herstel niet kunt aantonen.
Een sterk rapport doet het omgekeerde. Handmatig geverifieerde bevindingen, bewijs per punt, een concreet herstel-advies en een heldere conclusie. Wil je het verschil tussen een test en een scan verder begrijpen, lees dan over pentest en vulnerability scan.
Wat je met het rapport doet
Na ontvangst zet je drie stappen. Eerst herstel je de bevindingen op volgorde van prioriteit. Daarna laat je een hertest uitvoeren, zodat je zwart op wit hebt dat de risico’s weg zijn. Ten slotte gebruik je het rapport en het hertestrapport als onderbouwing bij audits en bij vragen van klanten over je beveiliging.
Zo wordt het rapport meer dan een momentopname. Het laat een cyclus zien van testen, herstellen en opnieuw toetsen. Precies wat auditors onder NIS2 verwachten: bewijs dat je maatregelen werken, niet alleen dat ze bestaan.
Bekijk het voorbeeldrapport
Wil je zien hoe dit er in de praktijk uitziet? Het voorbeeldrapport laat een volledige rapportage zien van een fictieve klant, met een managementsamenvatting, zes uitgewerkte bevindingen, een herstelplan en een bijlage met de methodiek. Zo weet je vooraf precies wat je van pentestingservice.nl ontvangt.
Download het voorbeeldrapport (PDF). Vragen over de opzet of wil je een test bespreken? Neem contact op, we denken graag met je mee.
Veelgestelde vragen
Wat staat er in een pentest rapport?
Een pentest rapport bevat een managementsamenvatting, de scope en aanpak, een risicoclassificatie, de detailbevindingen met bewijs en herstel-advies, en een hertest. De bijlagen beschrijven de methodiek en de ingezette gereedschappen.
Hoe snel krijg ik het rapport na de test?
Bij pentestingservice.nl ontvang je doorgaans binnen een paar werkdagen na afronding een concept, gevolgd door de definitieve versie na jouw terugkoppeling. De exacte doorlooptijd hangt af van de omvang van de test.
Wat betekent de CVSS-score in het rapport?
CVSS is een methodiek die het risico van een bevinding weegt op een schaal van 0 tot 10. De score combineert de kans op misbruik met het gevolg. Hoe hoger de score, hoe eerder je de bevinding oppakt.
Krijg ik een hertest na het herstellen van de bevindingen?
Bij een sterke rapportage hoort een hertest. Nadat je de zwakke plekken hebt aangepakt, toetst de tester of het herstel werkt. Het hertestrapport dient als bewijs richting je bestuur en auditors.
Mag ik het rapport delen met klanten of auditors?
Ja, binnen de afspraken uit je opdracht. Het rapport is vertrouwelijk, dus je deelt het gericht met betrokkenen die de bevindingen herstellen of die de onderbouwing nodig hebben, zoals een auditor.
Over de auteur. {{AUTEUR: naam + certificeringen, bijvoorbeeld OSCP}} voert bij pentestingservice.nl penetratietesten uit en stelt de rapportages op voor webapplicaties, API’s en netwerken. {{Vul eventueel jaren ervaring en een korte bio in.}}
