Wie wil weten of zijn computersysteem goed beveiligd is, kan het laten pentesten. Om te borgen dat aanbieders van pentesten kwalitatief goed werk leveren is het CCV-keurmerk Pentesten ontwikkeld. Deze week sloten Dekra en Kiwa, als eerste certificatie-instellingen, een licentieovereenkomst met het Centrum voor Criminaliteitspreventie en Veiligheid (het CCV).

Zowel grote als kleine bedrijven krijgen in toenemende mate te maken met cybercriminaliteit, zoals ransomware-aanvallen en datalekken. Veel bedrijven maken gebruik van een pentest (ook wel ethisch hacken genoemd). Bij een pentest kruipen onderzoekers in de huid van een kwaadwillende hacker om zo zwakke plekken van een website, applicatie of gehele IT-infrastructuur bloot te leggen. De kwaliteit van de in Nederland uitgevoerde pentesten kent echter grote verschillen. Met het nieuwe CCV-keurmerk Pentesten tonen bedrijven aan dat hun uitgevoerde pentesten voldoen aan een onafhankelijk kwaliteitskeurmerk.

Gerechtvaardigd vertrouwen
“Certificatie is een belangrijk instrument voor afnemers die niet zelf kunnen beoordelen wat de kwaliteit van de uitgevoerde dienst is”, licht Joop Ruijgers, CCV-adviseur Keurmerken, toe. “De beoordeling van de dienst door de certificatie-instelling, en hierna het toezicht, geeft afnemers gerechtvaardigd vertrouwen dat de geleverde dienst voldoet aan de vooraf gestelde kwaliteitseisen.”
Dagelijks starten nieuwe bedrijven en initiatieven, zonder een verplichte check op de kwaliteit. Gezien de digitale kwetsbaarheid van ondernemend Nederland brengt dit grote risico’s met zich mee.

Extra zekerheid
De roep om een keurmerk voor pentesten was dan ook groot. Niet voor niets is bij de totstandkoming van het CCV-keurmerk Pentesten een groot aantal partijen betrokken, waaronder VNO-NCW, MKB-Nederland, het Verbond van Verzekeraars, de Nationale Politie, Cyberveilig Nederland, NLdigital, het CIO Platform Nederland, Online Trust Coalitie en de rijksoverheid.
“Het is van belang dat afnemers meer waarborgen krijgen over de kwaliteit van cybersecurity-diensten”, benadrukt Petra Oldengarm, directeur Cyberveilig Nederland. “Dit keurmerk geeft extra zekerheid voor wat betreft de kwaliteit van de penetratietest. We stimuleren daarom zoveel mogelijk dienstverleners om het keurmerk te behalen, zodat afnemers een ruime keuze hebben uit gecertificeerde bedrijven als zij een pentest willen laten uitvoeren.”