IoT- en OT-pentest laten uitvoeren

Met een exemplaar in handen zien wij het meeste: hardware, firmware en fysieke interfaces zijn anders niet te testen. Kan het apparaat niet weg, dan werken wij met de documentatie, een image van de firmware, een simulator en de delen van de oplossing die wel bereikbaar zijn.

Dat hangt af van de scope en van de complexiteit van het apparaat. Eén apparaat kost doorgaans 5 tot 10 werkdagen, een volledige IoT- of OT-omgeving 1 tot 3 weken. De scope bepaalt ook de prijs, dus die leggen wij vast voordat wij een offerte sturen.

Continuïteit hoort bij de scope. In een draaiend OT-netwerk beginnen wij passief; actieve handelingen voeren wij uit tijdens een gepland onderhoudsmoment of op een kopie in het lab. Elke stap stemmen wij vooraf af met uw technici en beheerders, en de test kan op elk moment worden stilgelegd.

Ja, als die deel uitmaken van de oplossing. De API's, de mobiele applicatie, de cloudomgeving en de beheertoegang van leveranciers nemen wij in dezelfde test mee.

Nee. De Cyberbeveiligingswet vraagt om een risicoanalyse en om passende en evenredige maatregelen; penetratietesten worden er niet in genoemd. Een pentest is wel de gebruikelijke manier om aan te tonen dat die maatregelen werken. De AVG komt er dichter bij: artikel 32 lid 1 sub d vraagt, waar passend, om 'een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid' van de beveiligingsmaatregelen. Voor financiële entiteiten geldt de Cyberbeveiligingswet niet; voor hen is DORA het kader.

Een rapport waarin bij elke bevinding een reproduceerbaar bewijs (PoC), een risiconiveau en een concrete herstelstap staan, met daarnaast een managementsamenvatting. Na het herstel kunt u een hertest laten uitvoeren, zodat op papier staat dat de kwetsbaarheden zijn verholpen.