Themabijeenkomst Pentesting by the Crowd

Van alle securitytesten is de penetratietest (pentest) waarschijnlijk de bekendste. Dat gaat vaak zo: je belt je favoriete pentestleverancier, maakt afspraken over onder andere scope, tijdsduur, onderzoeksvraag, white, black, dan wel grey box en uiteraard prijs. De pentester of klein team van pentesters gaat aan de slag en binnen afgesproken tijd volgt een rapport met bevindingen en aanbevelingen.

Tijdens deze themabijeenkomst gaan we jullie laten zien dat het ook anders kan. Waarom niet een grote pentestgemeenschap (‘the crowd’) inzetten om de beveiliging van jouw applicatie, infrastructuur of ander informatiesysteem aan de tand te laten voelen? Je kan dan gebruik maken van een enorme pool aan kennis, vaardigheden en specialisaties. En de beloning gaat per bevinding, geen uurtje-factuurtje. Maar dat vergt wel een heel andere aanpak dan de traditionele pentest.

Edwin van Andel van Zerocopter en Stijn Jans van Intigriti laten tijdens deze bijeenkomst zien hoe zij hun dienst ‘pentesting by the crowd’ aanbieden aan de markt. Waar moet je aan denken bij de organisatie van zo’n dienst en wat zijn de voordelen? Maar misschien kent ‘pentesting by the crowd’ ook nadelen? Dat Edwin van Andel zijn presentatie 'Pentesting is dead' heeft genoemd, zegt iets over hoe hij erover denkt.

De laatste presentatie van de avond wordt verzorgd door Brenno de Winter. Brenno brengt de Methodiek voor Informatiebeveiligingsonderzoek met Audit Waarde (MIAUW) voor het voetlicht en zal ons meenemen in hoe hij over de auditwaarde van ‘pentesting by the crowd’ denkt. De Tweede Kamer heeft eind vorig jaar ingestemd met een motie om pentestopdrachten overheidsbreed te standaardiseren, bijvoorbeeld volgens MIAUW...