Wat is het CCV-keurmerk?
Het Centrum voor Criminaliteitspreventie en Veiligheid beheert een certificatieschema voor pentests. Een pentestleverancier met dit certificaat wordt periodiek beoordeeld door een onafhankelijke certificatie-instelling. De huidige versie 2.0 geldt sinds 1 april 2024. Het schema is privaatrechtelijk: er is geen wettelijke plicht om een gecertificeerde pentester in te schakelen. Overheden en grotere opdrachtgevers vragen er wel steeds vaker om.
Het certificaat geldt voor elke test
Een gecertificeerde leverancier voert al zijn pentests en kwetsbaarheidsbeoordelingen uit volgens het schema, en het rapport draagt het keurmerk. Dat geldt voor black-, grey- en white-boxtests, interne tests, tests van mobiele apps, wifi en DigiD-toetsen. Geautomatiseerde kwetsbaarhedenscans vallen er niet onder, net als korte deeltests en steekproeven.
Eisen aan de test en het rapport
Het schema legt vast wat er vooraf, tijdens en na de test moet gebeuren.
- De scope is vooraf eenduidig vastgelegd in IP-adressen, hostnamen of applicaties en komt overeen met het rapport.
- Er zijn afspraken en contactgegevens voor het geval er tijdens de test een incident optreedt.
- De tester werkt volgens een vastgelegde methodiek en legt vast welke tests op welke onderdelen zijn uitgevoerd.
- Bevindingen uit tools worden altijd handmatig gecontroleerd en er worden ook handmatige tests uitgevoerd.
- Het rapport bevat onder meer een managementsamenvatting, de scope, de gebruikte IP-adressen, conclusies en per bevinding een risico-inschatting en een advies.
- Bevindingen zijn zo beschreven dat uw ICT-medewerker zelf kan nagaan dat ze kloppen.
Eisen aan de pentesters
Pentesters moeten een praktijkgericht certificaat hebben met een examen in een labomgeving. Instapcertificaten tellen niet mee; het CCV publiceert de lijst met erkende certificaten. Daarnaast is minimaal een jaar ervaring nodig, waarbij een stage niet meetelt, en een Verklaring Omtrent het Gedrag die niet ouder is dan drie jaar. Medewerkers die nog niet gekwalificeerd zijn, werken onder begeleiding van een gekwalificeerde tester die het grootste deel van de testtijd zelf uitvoert.
Gebruik het schema als checklist
Ook als u geen gecertificeerde leverancier kiest, kunt u de eisen uit het schema gebruiken om offertes te vergelijken. Vraag hoe de scope wordt vastgelegd, of bevindingen handmatig worden geverifieerd, welke kwalificaties de testers hebben en hoe het rapport is opgebouwd. Een leverancier die daar helder antwoord op geeft, levert meestal ook een bruikbaar rapport.