AI-pentest of een gecertificeerde pentester: wanneer kies je voor welke aanpak?

Een AI-pentest is een penetratietest waarbij een AI-agent zelf je applicatie onderzoekt. De agent zoekt kwetsbaarheden, probeert ze uit te buiten en kiest op basis van wat hij vindt de volgende stap. Een paar jaar geleden kon alleen een securityspecialist dat werk doen.

Is een AI-pentest dan genoeg, of schakel je een gecertificeerde pentester in? Hieronder lees je wat AI wel en niet kan in een pentest, welke risico’s een autonome test heeft en welke aanpak bij welke situatie past. Budget speelt mee. Je applicatie, je risico’s en de eisen van klanten of normen wegen zwaarder.

Kort samengevat

• Een AI-pentest vindt bekende kwetsbaarheden snel en kan doorlopend testen, bijvoorbeeld bij elke nieuwe release. Voor een eenvoudige website met weinig gevoelige gegevens is dat vaak voldoende.
• Een menselijke pentester vindt fouten in bedrijfsprocessen, combineert kleine zwakke plekken tot een aanvalsroute en vertaalt bevindingen naar bedrijfsimpact.
• ISO 27001 verplicht geen menselijke pentester. PCI DSS en DORA stellen wel eisen aan de deskundigheid en onafhankelijkheid van de tester.
• De beste keuze hangt af van het risico van je applicatie en de eisen waaraan je moet voldoen, niet van de grootte van je bedrijf.

Wat kan AI tijdens een pentest?

AI ondersteunt pentesters al bij een groot deel van het werk, en neemt delen ervan over:

• Kwetsbaarheden ontdekken.
  AI analyseert systemen, API’s en applicaties op mogelijke beveiligingsproblemen.
• Aanvallen uitvoeren.
  Sommige AI-agents kiezen zelf een aanvalstechniek, voeren die uit en bepalen op basis van het resultaat de volgende stap.
• Resultaten analyseren.
  AI verwerkt grote hoeveelheden technische informatie en legt verbanden tussen losse bevindingen.
• Rapporteren.
  Bevindingen worden automatisch vastgelegd en vertaald naar aanbevelingen.

Vooral bij herhalend werk en bekende aanvalspatronen scheelt dat veel tijd. Hetzelfde resultaat als een ervaren pentester is het nog niet.

Een AI-pentest is ook iets anders dan een kwetsbaarheidsscan. Een scan zoekt bekende kwetsbaarheden en stopt daar. Een AI-agent probeert ze ook uit te buiten en zoekt verder op basis van wat lukt. Hoe een scan en een pentest zich tot elkaar verhouden, lees je in onze blog kwetsbaarheidsscan of pentest.

Waar is een menselijke pentester beter in?

Een pentest gaat over de vraag hoe een aanvaller schade kan aanrichten, en wat dat voor jouw bedrijf betekent. Kwetsbaarheden vinden is daar een onderdeel van. Op vier punten heeft een mens voorlopig een voorsprong.

1. Begrijpen hoe een bedrijf werkt

Een pentester achterhaalt in een intake welke processen belangrijk zijn, waar gevoelige informatie zit en welke scenario’s het meeste risico geven. Een AI-agent kan die informatie ook gebruiken, maar alleen als iemand hem die context geeft.

2. Fouten in bedrijfsprocessen herkennen

Stel: in je applicatie bereidt een medewerker een betaling voor en keurt een manager die goed. Technisch werkt alles. Maar wat als de medewerker door een onverwachte volgorde van handelingen zijn eigen betaling kan goedkeuren?

Zulke fouten heten business logic vulnerabilities. Je vindt ze alleen als je weet hoe het proces bedoeld is. AI herkent ze steeds beter, maar een pentester onderzoekt gerichter of de applicatie doet wat het bedrijf verwacht.

3. Creatief denken en aanvallen combineren

Veel kwetsbaarheden zijn los bekeken onschuldig. Het echte risico ontstaat soms pas als je er drie combineert.

Een ervaren pentester zoekt onverwachte routes, stelt aannames ter discussie en past zijn aanpak aan als een standaardtechniek niet werkt. AI-agents kunnen dat tot op zekere hoogte, maar lopen bij complexe situaties nog regelmatig vast.

4. Risico’s vertalen naar bedrijfsimpact

Een kwetsbaarheid met een hoge technische score hoeft niet je grootste probleem te zijn. Een klein lek dat toegang geeft tot klantgegevens of je betaalproces kan zwaarder wegen. Een pentester weegt die context mee in zijn advies over wat je eerst oplost.

Wat zijn de risico’s van een volledig autonome AI-pentest?

Laat je zelf een AI-agent los op je applicatie, houd dan rekening met vijf dingen.

• Gemiste kwetsbaarheden.
  Veel controles zijn nog niet alle aanvalsscenario’s. Complexe autorisatieproblemen en afwijkende bedrijfsprocessen blijven vaak buiten beeld.
• Onjuiste bevindingen.
  AI meldt soms kwetsbaarheden die in werkelijkheid niet te misbruiken zijn. Andersom kan een test ten onrechte de indruk wekken dat alles veilig is. Iemand moet de bevindingen dus controleren.
• Onbedoelde verstoring.
  Een autonome agent kan gegevens aanpassen, beveiligingsmaatregelen activeren of onderdelen overbelasten. Dat raakt de beschikbaarheid van je applicatie.
• Gevoelige gegevens bij een externe dienst.
  Afhankelijk van de tool gaan applicatiegegevens of API-verzoeken naar een externe AI-dienst. Zoek vooraf uit waar die gegevens terechtkomen. Zitten er persoonsgegevens tussen, dan is dat ook een privacyvraag.
• Onduidelijke testdekking.
  Een automatisch rapport zegt niet welke onderdelen echt getest zijn. Zonder afspraken vooraf en een log van de controles weet je niet hoe volledig de test was.

Met toezicht, een goede configuratie en duidelijke afspraken vang je deze risico’s grotendeels op.

Wanneer is een AI-pentest een verstandige keuze?

In vier situaties past een grotendeels geautomatiseerde aanpak goed.

• Een eenvoudige applicatie met weinig gevoelige gegevens.
  Een simpele website met weinig gebruikers heeft een ander risico dan een systeem met betaalgegevens of medische dossiers. Is het budget beperkt, dan is een AI-pentest een praktische eerste stap.
• Regelmatige releases.
  Verandert je applicatie voortdurend, dan vindt geautomatiseerd testen kwetsbaarheden vroeg, bijvoorbeeld bij elke nieuwe release of als vast onderdeel van je ontwikkelproces.
• Een eerste beeld van je beveiliging.
  Wil je vooral weten of er bekende kwetsbaarheden in je applicatie zitten, dan is geautomatiseerd testen een betaalbare start. Laat de resultaten wel beoordelen door iemand met verstand van beveiliging.
• Beveiligingstesten voor ISO 27001.
  ISO 27001:2022 verplicht geen menselijke pentester. De norm vraagt dat je je risico’s beheerst, met maatregelen voor het beheer van technische kwetsbaarheden en voor beveiligingstesten. Een AI-pentest kan daar deel van zijn, zolang je kunt onderbouwen wat er getest is, hoe je de resultaten hebt beoordeeld en waarom die aanpak bij je risico’s past. Een AI-rapport alleen is voor een auditor geen bewijs. Hoe wij een ISO 27001-certificering aanpakken, lees je op onze dienstenpagina.

Wanneer is een menselijke pentester verstandiger?

In deze situaties adviseren wij een pentest die een mens begeleidt.

• Complexe gebruikersrollen.
  Hebben verschillende gebruikers toegang tot verschillende gegevens, dan neemt de kans op autorisatiefouten toe. Een pentester test gericht of die scheiding echt wordt afgedwongen.
• Bedrijfskritische applicaties.
  Heeft een incident direct grote financiële of operationele gevolgen, dan is alleen geautomatiseerd testen meestal te weinig. Denk aan een financieel platform, een zorgapplicatie of het systeem waar je orderverwerking op draait.
• Veel gevoelige gegevens.
  Verwerkt een applicatie veel persoonsgegevens, medische informatie of vertrouwelijke bedrijfsgegevens, dan wil je ook de minder voor de hand liggende aanvalsroutes onderzocht hebben.
• Eisen van normen of klanten.
  Bij ISO 27001 kies je de testvorm op basis van risico. Andere kaders zijn strenger. PCI DSS vraagt voor bepaalde penetratietesten een gekwalificeerde tester die organisatorisch onafhankelijk is. DORA stelt voor bepaalde financiële instellingen eisen aan de deskundigheid en onafhankelijkheid van wie de geavanceerde penetratietesten uitvoert. Een autonoom AI-rapport zonder aantoonbare betrokkenheid van een gekwalificeerde tester volstaat dan niet.

Ook klanten eisen soms contractueel een onafhankelijke pentest, ook als geen norm dat voorschrijft. Vraag daarom vooraf na welke testvorm er verwacht wordt en of een AI-pentest daarvoor telt.

Wat zegt een CPENT-certificering over een pentester?

CPENT staat voor Certified Penetration Testing Professional, een certificering van EC-Council. Het examen is volledig praktisch: 24 uur testen in een afgeschermde oefenomgeving, in één sessie of in twee sessies van 12 uur. Het verschil met een theorie-examen is dat je laat zien dat je het kunt. Dat raakt precies de punten waar een mens het verschil maakt: een aanpak bijsturen als iets niet werkt, en de bevindingen opschrijven zodat een opdrachtgever er iets mee kan.

Onze pentests worden uitgevoerd door een CPENT-gecertificeerde specialist. Dat geldt ook voor onze AI-pentests: de agent doet het brede werk, onze specialist stelt de test in, controleert de bevindingen en schrijft het advies.

Is de grootte van je bedrijf bepalend?

Nauwelijks. Een startup met een betaalplatform loopt meer risico dan een middelgroot bedrijf met een informatieve website. En een klein bedrijf dat betaalkaartgegevens verwerkt, krijgt via PCI DSS strengere testeisen dan een grotere organisatie met een eenvoudige applicatie.

Als vuistregel hanteren wij:

Het aantal medewerkers zegt dus weinig. Het risico van een kwetsbaarheid en de eisen waaraan je moet voldoen bepalen de keuze.

Moet je kiezen tussen AI en een mens?

Nee, de combinatie werkt het best. Een AI-agent onderzoekt grote aantallen endpoints en spoort bekende kwetsbaarheden op.

Een pentester onderzoekt daarna de complexe aanvalsscenario’s, controleert de bevindingen en beoordeelt wat ze voor je bedrijf betekenen.

Dat scheelt ook geld: de pentester besteedt zijn uren aan het werk waar een mens het verschil maakt. Hij blijft wel verantwoordelijk voor de kwaliteit van het onderzoek. Zo werken wij bij onze security scans en pentests.

Dus: AI-pentest of een menselijke pentester?

• Is een AI-pentest soms voldoende? Ja.
  Voor een eerste controle, het opsporen van bekende kwetsbaarheden of het testen van elke nieuwe release is AI een goede keuze.
• Vervangt een autonome AI-agent een menselijke pentest in alle situaties? Nee.
  Bij complexe applicaties, bedrijfskritische processen en eisen aan onafhankelijke zekerheid blijft een mens nodig.

Begin daarom bij drie vragen. Welke risico’s wil je onderzocht hebben, hoeveel zekerheid heb je nodig en aan welke eisen moet je voldoen?

Daaruit volgt hoeveel je kunt automatiseren en waar een pentester nodig blijft. De prijs komt pas daarna.