31 oktober 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Pentest as a service (PTaaS): wat u krijgt, wat u opgeeft en hoe u het goed inkoopt
PTaaS verpakt penetratietesten in een platform met een abonnement, een dashboard en hertests op afroep. Goed uitgevoerd geeft het een engineeringteam met veel releases doorlopende zekerheid. Slecht uitgevoerd is het een kwetsbaarheidsscanner met een nieuwe naam. Deze gids legt het model uit, waar het past, waar een gescopete opdracht nog altijd wint en hoe u het verschil ziet voordat u tekent.
Wat pentest as a service is
Pentest as a service, meestal afgekort tot PTaaS, is een leveringsmodel en geen testsoort. In plaats van één gescopete opdracht die eindigt in een pdf-rapport, neemt de afnemer een abonnement op een platform waarin testen wordt aangevraagd, gevolgd en verwerkt. Bevindingen verschijnen in een dashboard zodra ze zijn bevestigd, elke bevinding kan via een koppeling naar Jira, GitHub of ServiceNow worden gestuurd, een ontwikkelaar kan vanuit hetzelfde scherm een hertest van één bevinding aanvragen, en het testen zelf loopt óf doorlopend (een vast team dat blijft testen terwijl releases uitkomen) óf op afroep (een gescopete cyclus die u start wanneer u die nodig heeft). Het rapport bestaat nog steeds, maar wordt een export van actuele gegevens in plaats van de oplevering zelf.
Het model is ontstaan omdat de traditionele jaarlijkse penetratietest slecht aansluit op de manier waarop software tegenwoordig wordt uitgebracht. Een SaaS-platform dat meerdere keren per dag naar productie uitrolt, kan zes weken na de test een wezenlijk ander aanvalsoppervlak hebben dan tijdens de test. PTaaS beantwoordt dat met kortere cycli, snellere terugkoppeling naar de mensen die de code schrijven en een doorlopend overzicht van wat wanneer is getest. Dat zijn echte voordelen, en de reden dat het model is gegroeid van een nicheaanbod in 2018 tot een standaard inkoopcategorie in 2026.
De complicatie is dat de term twee heel verschillende zaken dekt. Sommige PTaaS-leveranciers leveren via een platform handmatig testwerk door gecertificeerde testers. Andere leveren geautomatiseerd scannen met een dunne laag menselijke triage en noemen dat penetratietesten. Het platform ziet er in beide gevallen hetzelfde uit. Het verschil zit in wie het werk doet, hoeveel ervan handmatig is en of een auditor de uitkomst accepteert. Dit artikel gaat over het inkopen van de eerste soort zonder per ongeluk voor de tweede te betalen. Voor de onderliggende vraag wat automatisering wel en niet kan vinden, verwijzen wij naar onze aparte gids over handmatige versus geautomatiseerde pentesten.
Wat een PTaaS-platform doorgaans omvat
De onderdelen zijn bij elke leverancier vergelijkbaar. De kwaliteit van elk onderdeel niet.
Doorlopende cycli of cycli op afroep
Óf een vaste toewijzing van testerdagen verspreid over het jaar, óf gescopete cycli die u start per release, per kwartaal of per compliancedeadline. Het commerciële model is meestal een abonnement van twaalf maanden.
Dashboard met bevindingen
Kwetsbaarheden verschijnen zodra ze zijn bevestigd, met ernst (meestal CVSS v3.1 of v4.0), bewijs, reproductiestappen en herstelaanwijzingen. De status wordt per bevinding gevolgd: open, in herstel, hertest aangevraagd, gesloten.
Koppeling met ticketing en pipeline
Koppelingen met Jira, Azure DevOps, GitHub Issues, ServiceNow, Slack en Teams brengen bevindingen naar de plek waar engineers al werken. Sommige platforms bieden een API zodat bevindingen een deploymentpipeline kunnen blokkeren.
Hertests op afroep
Een ontwikkelaar markeert een bevinding als opgelost en een tester verifieert dat, meestal binnen enkele werkdagen, zonder nieuwe opdrachtbevestiging. Dit is de functie die engineeringteams het meest waarderen.
Toegang tot de testers
Rechtstreeks contact met de testers tijdens de cyclus, zodat een vraag over een bevinding wordt beantwoord door degene die haar vond en niet door een accountmanager.
Compliance-exports
Attestatiebrieven, scopeverklaringen en rapportexports in het formaat van SOC 2, ISO 27001, PCI DSS of klantvragenlijsten, gegenereerd uit de actuele dataset in plaats van eenmalig geschreven.
PTaaS versus een gescopete handmatige opdracht
Geen van beide modellen is in het algemeen beter. Ze optimaliseren voor verschillende dingen, en de meeste volwassen programma's gebruiken uiteindelijk beide.
| Aspect | PTaaS (abonnement, platform) | Gescopete handmatige opdracht |
|---|---|---|
| Frequentie | Doorlopend of meerdere cycli per jaar | Eén opdracht, doorgaans jaarlijks of per grote release |
| Diepte per cyclus | Ondieper per cyclus, breder over het jaar; sterk afhankelijk van toegewezen testerdagen | Diep op de afgesproken scope; de dagen zijn geconcentreerd |
| Scopebepaling | Rollend; assets worden via het platform toegevoegd en verwijderd | Vastgelegd in een opdrachtbevestiging vóór de test begint |
| Oplevering van bevindingen | Realtime, per bevinding, in ticketing | Rapport aan het einde, soms met escalatie van kritieke bevindingen tijdens de test |
| Hertest | Op afroep, bij de meeste abonnementen inbegrepen | Ingepland, vaak een aparte regel |
| Wie test | Wisselt: gecertificeerde testers bij naam, een roulerende pool, of vooral automatisering met triage | Testers bij naam, meestal senior, vooraf afgesproken |
| Past het best bij | SaaS- en productteams met frequente releases; meerdere applicaties; doorlopende zekerheid voor klanten | Complexe of gereguleerde systemen, eerste tests, interne netwerken, doelen die aan red teaming grenzen |
| Auditbewijs | Sterk als de leverancier de handmatige dekking per cyclus vastlegt; zwak als het scanneruitvoer is | Sterk: een gedateerd, gescopet, ondertekend rapport met testers bij naam |
Hoe u platformscanning van menselijk testen onderscheidt
Het dashboard vertelt het u niet. Deze vijf controles wel.
1. Vraag de soorten bevindingen uit de laatste drie cycli op
Autorisatiefouten tussen tenants, misbruik van bedrijfslogica, aaneengeschakelde bevindingen van gemiddelde ernst die samen accountovername opleveren, verkeerd geconfigureerde SSO en race conditions worden door mensen gevonden. Ontbrekende headers, verouderde bibliotheken, TLS-configuratie en reflected cross-site scripting op een parameter worden door scanners gevonden. Bestaat de steekproef alleen uit de tweede categorie, dan kijkt u naar een scanner met een menselijk filter.
2. Vraag hoeveel testeruren elke cyclus bevat, en wie ze levert
Een geloofwaardige leverancier noemt de handmatige inspanning per cyclus in uren of dagen en noemt de testers en hun certificeringen (OSCP, OSWE, OSEP, CREST CRT of CCT, GXPN). Is het antwoord een naam van een platformtier in plaats van een getal, dan is de handmatige component waarschijnlijk klein. Vraag of dezelfde testers elke cyclus terugkeren; continuïteit is wat doorlopend testen in de loop van de tijd diepere problemen laat vinden.
3. Vraag welke methodiek het handmatige werk volgt
Menselijk testen is georganiseerd rond een methodiek: de OWASP Web Security Testing Guide (WSTG) en de OWASP API Security Top 10 2023 voor applicaties, PTES of NIST SP 800-115 voor het totale proces, OWASP MASTG voor mobiel. Een leverancier wiens handmatige werk een methodiek volgt, kan u per cyclus laten zien welke testgevallen wel en niet zijn gedekt. Een leverancier die dat niet kan, draait tools.
4. Lees het bewijs bij een voorbeeldbevinding
Een door een mens gevonden kwetsbaarheid komt met een verhaal: wat de tester probeerde, waarom het werkte, wat de impact voor de organisatie is en hoe een aanvaller het zou aaneenschakelen. Een scannerbevinding komt met een sjabloonbeschrijving en een request-response-paar. De kwaliteit van de herstelaanwijzing is het tweede signaal; generiek advies betekent dat niemand die uw applicatie begrijpt het heeft geschreven.
5. Controleer wat de attestatiebrief werkelijk attesteert
Vraag een voorbeeld van de attestatiebrief op en lees de alinea over scope en methode. Daar moet staan dat handmatig penetratietesten is uitgevoerd, door wie, op welke assets, in welke periode en volgens welke methodiek. Staat er dat de assets zijn 'beoordeeld' of 'gemonitord' en worden er geen testers genoemd, dan valt uw SOC 2-auditor of enterpriseklant over hetzelfde als u zojuist.
Vragen aan een PTaaS-leverancier voordat u tekent
Neem ze op in de offerteaanvraag. Schriftelijke antwoorden zijn gemakkelijker af te dwingen dan een demo.
- Wie voert het testen uit: medewerkers bij naam, een gescreende freelancepool of offshorepartners, en welke certificeringen hebben de mensen die aan ons account worden toegewezen
- Hoeveel handmatige testeruren of -dagen zijn per cyclus en per jaar inbegrepen, en wat gebeurt er met ongebruikte toewijzing
- Wat valt per cyclus binnen de scope, hoe wordt de scope gewijzigd en hoe wordt de dekking van elke asset vastgelegd zodat wij een auditor kunnen laten zien wat wanneer is getest
- Welke methodiek stuurt het handmatige werk (OWASP WSTG, API Top 10, MASTG, PTES, NIST SP 800-115) en kunnen wij de testgevaldekking per cyclus inzien
- Wat staat er in de attestatiebrief, wie ondertekent haar, en voldoet zij aan bewijsverzoeken voor SOC 2 CC4.1 en CC7.1, de ISO 27001:2022-maatregelen A.8.8 en A.8.29 en PCI DSS v4.0.1 Requirement 11.4 als die op ons van toepassing zijn
- Waar worden onze gegevens opgeslagen en verwerkt: de hostingregio van het platform, de locatie van de testers, de bewaartermijn na afloop van het abonnement, en of bewijs met gegevens van onze klanten ooit de EU verlaat
- Hoe worden hertests afgehandeld: doorlooptijd, of ze onbeperkt zijn en of een hertest door een tester wordt uitgevoerd in plaats van een herscan
- Hoe worden kritieke bevindingen tijdens een cyclus geëscaleerd, en wat is de reactietijd op een vraag aan de testers
- Hoe ziet de exit eruit: kunnen wij bij afloop van het abonnement elke bevinding met bewijs in een bruikbaar formaat exporteren
Wanneer PTaaS past, en wanneer een diepe gescopete test beter past
PTaaS past bij organisaties waarvan het aanvalsoppervlak sneller verandert dan een jaarlijkse cyclus kan volgen. Een SaaS-bedrijf dat wekelijks uitrolt, een productteam dat meerdere klantgerichte applicaties en API's onderhoudt, of een scale-up die prospects elk kwartaal een actuele attestatiebrief moet kunnen tonen, heeft baat bij testen dat gelijke tred houdt met de releases. Alleen al de hertest op afroep kan de tijd dat een bevestigde kwetsbaarheid openstaat terugbrengen van maanden naar dagen, en de koppeling met ticketing schrapt de stap waarin bevindingen handmatig uit een pdf worden overgenomen. Voor die teams is de vraag niet óf ze het model gebruiken, maar hoe ze zeker weten dat de handmatige component echt is.
Een gescopete handmatige opdracht past beter wanneer diepte zwaarder weegt dan frequentie. Interne netwerk- en Active Directory-tests, assumed-breach-scenario's, OT en hardware, complexe autorisatiemodellen, gereguleerde omgevingen waar een toezichthouder de scopeverklaring leest, en alles wat aan red teaming grenst (doelgericht testen tegen detectie en respons) vragen geconcentreerde senior inzet op een vaste, afgesproken scope. Ook een allereerste penetratietest is meestal beter als gescopete opdracht: de organisatie leert hoe een grondige test eruitziet voordat zij een abonnement neemt op een lichtere versie ervan.
Volwassen programma's combineren beide. Doorlopend testen dekt de applicaties die voortdurend veranderen; een jaarlijkse diepe opdracht dekt de infrastructuur, de identiteitslaag en alles wat de doorlopende cycli niet bereiken, en een red-team-oefening elke een tot twee jaar toetst of het geheel standhoudt tegen een tegenstander met doelen. Onze gids over hoe vaak u een pentest laat uitvoeren beschrijft de frequentie per type asset.
Wat auditors en enterpriseklanten als bewijs accepteren
SOC 2 schrijft penetratietesten niet bij naam voor, maar auditors vragen het standaard op als bewijs voor CC4.1 (monitoringactiviteiten) en CC7.1 (detectie van kwetsbaarheden en configuratiewijzigingen), en de meeste Type II-rapporten beschrijven een jaarlijkse penetratietest als maatregel. De ISO 27001:2022 Annex A-maatregelen A.8.8 (beheer van technische kwetsbaarheden) en A.8.29 (beveiligingstesten bij ontwikkeling en acceptatie) worden ingevuld met gedocumenteerd, herhaalbaar testen van systemen binnen de scope. PCI DSS v4.0.1 Requirement 11.4 is het strengst: een gedocumenteerde methodiek (11.4.1), interne en externe penetratietesten minimaal elke twaalf maanden en na significante wijzigingen (11.4.2 en 11.4.3), herstel en hertest van exploiteerbare kwetsbaarheden (11.4.4) en segmentatietesten (11.4.5). In elk geval wil de auditor hetzelfde zien: scope, data, methode, gekwalificeerde testers bij naam, bevindingen en bewijs van herstel.
PTaaS kan dat allemaal leveren, en soms gemakkelijker dan een traditioneel rapport, omdat het gedateerde overzicht van wat per cyclus is getest automatisch ontstaat. Het faalt wanneer de leverancier niet kan zeggen welk deel van een cyclus handmatig was, of wanneer de attestatiebrief scannen beschrijft. Inkoopteams van enterprises die het trust center van een leverancier beoordelen, vragen steeds vaker een samenvattende brief van het testbureau waarin de testers en de methodiek worden genoemd; zorg dat uw PTaaS-aanbieder er een kan opstellen die uw grootste klant accepteert.
Hoe HackersHub doorlopend testen levert
Wij bieden doorlopend penetratietesten aan als retainer: een afgesproken aantal senior testerdagen per kwartaal, geleverd door OSCP-gecertificeerde testers bij naam die aan uw omgeving toegewezen blijven, op een rollende scope die u beheert. Bevindingen worden opgeleverd zodra ze zijn bevestigd, in uw ticketingsysteem als u dat wenst, met bewijs geschreven door degene die het probleem vond. Hertests worden door een tester uitgevoerd, niet door een herscan, en kritieke bevindingen worden dezelfde dag geëscaleerd. Elke cyclus sluit af met een gedateerde scopeverklaring en een ondertekende attestatiebrief die de testers, de methodiek (OWASP WSTG, OWASP API Security Top 10, PTES, NIST SP 800-115 waar van toepassing) en de geleverde handmatige inspanning benoemt, zodat uw auditor en uw klanten erop kunnen vertrouwen.
Heeft een klant daarnaast de diepte van een gescopete opdracht nodig, voor het interne netwerk, de identiteitslaag of een red-team-oefening, dan voeren wij die naast de retainer uit met hetzelfde team. De prijs wordt bepaald op scope en toewijzing en schriftelijk vastgelegd na een scopinggesprek; wij publiceren geen tarievenkaart. Michael van Mameren leidt de praktijk voor doorlopend testen en wordt genoemd in elke attestatie die wij afgeven.
Veelgestelde vragen
Doorlopend testen met testers bij naam, geen scanner met een dashboard
Een scopinggesprek van 30 minuten bepaalt de assets, de frequentie en de testertoewijzing die bij uw releasecyclus passen. U ontvangt een schriftelijk voorstel met OSCP-testers bij naam, de methodiek en de attestatievoorwaarden. Praat met een expert.