Pentestoffertes vergelijken: waar let u op?
U vraagt drie offertes aan voor een pentest van dezelfde applicatie en krijgt €2.500, €6.000 en €14.000 terug. Alle drie heten ze "penetratietest". Het verschil zit bijna nooit in de naam, maar in drie dingen die niet altijd even duidelijk op een offerte staan: hoeveel er getest wordt, door wie, en wat er na de test gebeurt. Hieronder leest u hoe u offertes vergelijkbaar maakt, en hoe u de offerte herkent die goedkoop lijkt maar het niet is.
Vergelijk niet de eindbedragen, maar het aantal testdagen, wie er test, hoeveel handwerk erin zit, hoe precies de scope is omschreven en of de hertest inbegrepen is. Staat een van die punten niet op de offerte, vraag er dan naar. Een offerte die daar geen antwoord op geeft, kunt u niet eerlijk vergelijken.
Waar het prijsverschil vandaan komt
Een pentest is werk van een specialist, en dat werk wordt uitgedrukt in tijd. Of de offerte nu een vaste prijs is of op uurbasis: de prijs komt uiteindelijk neer op het aantal testdagen maal een dagtarief. Drie dingen verklaren het meeste verschil.
- Het aantal testdagen. Een grondige test van een applicatie met meerdere rollen kost doorgaans vier tot vijf testdagen. Een offerte van €2.500 voor dezelfde applicatie gaat dus uit van minder dagen, of van minder handwerk.
- Hoeveel handwerk erin zit. Een geautomatiseerde scan is in een uur gedraaid. Een offerte waarin het grootste deel van de "test" door een scanner wordt gedaan, kan goedkoop zijn en toch te duur.
- Overhead. Bij een groot bureau betaalt u mee aan accountmanagers, kantoor en planning. Dat is niet per se slecht, want u krijgt er capaciteit voor terug. Maar het verklaart waarom dezelfde testdag bij verschillende partijen een ander prijskaartje heeft.
De praktische les: reken elke offerte om naar testdagen. Staat het aantal er niet op, vraag het dan. Het is het getal dat het meest zegt over wat u koopt.
Tien vragen die u bij elke offerte stelt
Stel deze vragen aan elke partij, en vergelijk de antwoorden in plaats van de eindbedragen.
| Vraag | Waarom het ertoe doet |
|---|---|
| 1. Hoeveel testdagen zitten erin? | Het getal achter de prijs. Zonder dit getal vergelijkt u bedragen, geen werk. |
| 2. Welk deel is handwerk en welk deel scanner? | Een scanner vindt bekende kwetsbaarheden. Logicafouten, autorisatieproblemen en IDOR's vindt alleen een mens. |
| 3. Wie test er? | Vraag een naam en certificeringen, zoals OSCP, OSWE of eWPTX. Is dat dezelfde persoon als bij de intake, of gaat het werk naar een junior? |
| 4. Wat staat er precies in scope? | "Webapplicatie" is geen scope. Welke URL's, API's, rollen en omgevingen worden getest, en wat niet? |
| 5. Wordt er ingelogd getest, en met welke rollen? | Het meeste risico zit achter de inlog. Een test die alleen van buitenaf kijkt, mist het grootste deel van de applicatie. |
| 6. Is de hertest inbegrepen? | Zonder hertest heeft u geen bewijs dat de problemen echt zijn opgelost. Bij sommige partijen is het een aparte offerte. |
| 7. Vaste prijs of nacalculatie? | Bij nacalculatie weet u pas achteraf wat het kost. Vraag in dat geval naar een maximum. |
| 8. Hoe ziet het rapport eruit? | Vraag een voorbeeldrapport. Staan er reproductiestappen in, concrete oplossingen, en een samenvatting die uw bestuur of klant kan lezen? |
| 9. Wanneer start de test, en wanneer is het rapport er? | Belangrijk als een audit of klant erop wacht. Een lage prijs met drie maanden wachttijd helpt u dan niet. |
| 10. Hoe gaat de partij om met uw gegevens? | NDA, waar testdata en bevindingen worden opgeslagen, en wanneer ze worden verwijderd. |
Vraag 3 wordt vaak overgeslagen, terwijl hij veel zegt. De kwaliteit van een pentest hangt grotendeels af van de persoon die hem uitvoert. Een bureau met een sterke naam kan een ervaren tester sturen, of iemand die net begonnen is. U mag vooraf weten wie het wordt.
Heeft u al een offerte liggen en twijfelt u of die redelijk is? Neem hem mee naar een gratis intake. U krijgt een eerlijk antwoord, ook als dat antwoord is dat de offerte die u heeft prima is.
Plan een gratis intake →Rode vlaggen in een pentestofferte
Sommige offertes verdienen een extra vraag voordat u tekent.
- Geen aantal testdagen en geen naam. U weet niet hoeveel werk u koopt, en niet van wie.
- "Geautomatiseerde pentest" of "pentest binnen 24 uur". Dat is een scan. Nuttig, maar geen pentest, en het hoort ook niet als pentest geprijsd te worden.
- Een prijs per IP-adres of per endpoint, zonder vragen over de applicatie. Het werk in een pentest zit in de logica, de rollen en de koppelingen, niet in het aantal endpoints. Een partij die niet vraagt hoe uw applicatie werkt, kan niet weten hoeveel tijd er nodig is.
- Geen voorbeeldrapport. Wie trots is op zijn rapporten, laat er graag een zien, geanonimiseerd.
- Garanties als "100% veilig". Een pentest laat zien wat er op het moment van testen binnen de scope te vinden was. Wie meer belooft, overdrijft.
- Een scope die pas tijdens de test wordt ingevuld. Dan weet u vooraf niet wat u krijgt, en achteraf niet wat er niet getest is.
Zo maakt u offertes vergelijkbaar
Drie stappen, en de vergelijking wordt een stuk eerlijker.
Stap 1: stuur alle partijen dezelfde uitgangspunten. Een korte omschrijving is genoeg: welke applicatie, welke omgevingen, welke gebruikersrollen, hoeveel klantomgevingen bij multi-tenant software, en wat de aanleiding is. Verschillende uitgangspunten leveren onvergelijkbare offertes op.
Stap 2: zet de antwoorden naast elkaar. Gebruik de tien vragen hierboven en vul per partij in:
| Partij A | Partij B | Partij C | |
|---|---|---|---|
| Testdagen | |||
| Tester (naam, certificering) | |||
| Handwerk of scanner | |||
| Ingelogd, met welke rollen | |||
| Hertest inbegrepen | |||
| Voorbeeldrapport gezien | |||
| Start en oplevering | |||
| Prijs (excl. btw) | |||
| Prijs per testdag |
Stap 3: kijk naar de onderste regel. Ligt de prijs per testdag bij één partij veel lager, dan zit er ergens minder handwerk of minder ervaring in. Ligt hij veel hoger, vraag dan wat u daarvoor extra krijgt. Soms is dat het waard, soms betaalt u voor een logo.
Een lagere prijs is prima, zolang hij eerlijk is over wat u krijgt. Een test van twee dagen op de onderdelen met het hoogste risico, zoals inloggen, autorisatie tussen gebruikers en de gevoeligste functies, is beter besteed geld dan vijf dagen scanneroutput. Het probleem is niet een korte test, maar een korte test die zich voordoet als een grondige. Meer over hoe testtijd en prijs samenhangen leest u in wat een penetratietest kost.
Groot bureau of zelfstandige tester?
Beide hebben hun plek, en de keuze hangt af van wat u nodig heeft.
- Een groot bureau past goed bij grote scopes die in korte tijd klaar moeten zijn, waarvoor meerdere testers tegelijk nodig zijn, en bij specialistisch werk zoals red teaming. U krijgt capaciteit en vaak een breed dienstenpakket.
- Een zelfstandige tester past goed als u wilt weten wie er test, direct contact wilt zonder tussenpersoon en snel wilt kunnen starten. U betaalt geen overhead, en de persoon die de intake doet, schrijft ook het rapport.
Voor welke u ook kiest: de tien vragen hierboven gelden voor allebei.
Conclusie
Pentestoffertes lijken moeilijk te vergelijken omdat ze vaak verschillende dingen beschrijven onder dezelfde naam. Maak ze vergelijkbaar door te vragen naar testdagen, de tester, het handwerk, de scope, de hertest en het rapport, en reken alles om naar een prijs per testdag. Dan ziet u snel welke offerte een grondige test beschrijft, welke een eerlijke korte test, en welke een scan met een mooi voorblad. Twijfelt u? Een tweede mening kost niets.
Veelgestelde vragen
Wat kost een pentest gemiddeld?
Dat hangt af van de scope. Een grondige pentest van een applicatie met meerdere rollen kost doorgaans vier tot vijf testdagen, zo'n €5.000 tot €6.000. Kleinere scopes zijn korter en goedkoper. Een uitgebreide uitleg vindt u op wat kost een penetratietest.
Is een goedkope pentest altijd een slechte pentest?
Nee. Een kortere test die zich eerlijk richt op de onderdelen met het hoogste risico kan prima zijn. Het wordt pas een probleem als een korte test of een scan wordt gepresenteerd als een grondige pentest.
Waarom wil een pentester eerst een intake voordat er een offerte komt?
Omdat de benodigde tijd afhangt van hoe de applicatie werkt: de rollen, de logica, de koppelingen en de omgeving. Zonder dat gesprek is een prijs een gok, en een gok gaat meestal ten koste van de dekking of van uw budget.
Hoeveel testdagen heeft mijn applicatie nodig?
Als richtlijn: een eenvoudige applicatie of API met beperkte rollen ongeveer twee tot drie testdagen, een SaaS-product of portaal met meerdere rollen vier tot vijf, en een complex platform met meerdere applicaties of multi-tenant architectuur zes of meer. De exacte inschatting volgt na een intake.
Weet vooraf wat u koopt.
Bij Resync weet u vooraf wie er test, wat er in scope is en wat het kost. Altijd dezelfde OSCP-gecertificeerde tester, een vaste prijs en de hertest inbegrepen.
Plan gratis intake →