2 november 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Pentest voor MSP's: Waarom Uw Klanten Ernaar Vragen, Wat U Test en Hoe U Het Levert Zonder Zelf een Red Team te Bouwen
Managed service providers krijgen de pentestvraag inmiddels van twee kanten: van klanten van wie de verzekeraar, auditor of afnemer een test eist, en van aanvallers die hebben geleerd dat één MSP de deur is naar honderd netwerken. Deze gids behandelt beide. Wat een MSP op zijn eigen stack moet testen, wat u klanten aanbiedt, en de vier manieren om het te leveren, van doorverwijzen tot een eigen team.
Twee betekenissen van pentesten voor MSP's
Pentesten voor MSP's betekent twee verschillende dingen, en een provider heeft op beide een antwoord nodig. Het eerste is het testen van de MSP zelf: het remote monitoring en management-platform, de identiteitstenant met gedelegeerde toegang tot elke klant, de back-upinfrastructuur, de tools voor ondersteuning op afstand en de documentatiekluis met klantwachtwoorden. Het tweede is pentesten aanbieden aan klanten, als dienst die de MSP zelf levert of als iets dat hij via een gespecialiseerde partner regelt. Het eerste beschermt het bedrijf; het tweede laat het groeien en wordt steeds vaker een voorwaarde om klanten te behouden die door derden om testrapporten worden gevraagd.
Een MSP is geen MSSP. Een managed service provider beheert IT: werkplekken, netwerken, identiteit, back-up, servicedesk. Een managed security service provider beheert security operations: monitoring, detectie, respons. Veel MSP's verkopen beveiligingsdiensten zonder MSSP te zijn, en pentesten valt buiten beide, omdat de partij die een omgeving bouwt en beheert per definitie niet onafhankelijk van die omgeving is. Onze gids over MSP versus MSSP en onze uitleg over wat een MSSP doet, beide hieronder gelinkt, trekken die lijn in detail. Deze pagina gaat over de testvraag.
Waarom klanten van MSP's nu om pentesten vragen
Vijf jaar geleden vroeg een klein of middelgroot bedrijf zijn MSP zelden om een penetratietest. Vandaag komt het verzoek meestal met een formulier erbij. Dit zijn de aanjagers, en elk vertelt de MSP waaraan het rapport moet voldoen.
Aanvragen en verlengingen van cyberverzekeringen
Vragenlijsten van verzekeraars vragen naar MFA, EDR, onveranderbare back-ups en of er in de afgelopen twaalf maanden een onafhankelijke penetratietest is uitgevoerd. Een 'nee' verhoogt de premie of het eigen risico, of leidt tot een uitsluiting; een 'ja' moet bij een claim met een rapport worden onderbouwd.
Compliancekaders die het mkb bereiken
PCI DSS v4.0.1 Requirement 11.4 voor iedereen die kaartbetalingen accepteert, de periodieke technische evaluatie van de HIPAA Security Rule in 164.308(a)(8) voor zorgpartijen en hun business associates, SOC 2 voor iedereen die software verkoopt, de jaarlijkse test van de FTC Safeguards Rule (16 CFR 314.4(d)(2)) voor autodealers met financiering, hypotheekbemiddelaars en andere niet-bancaire kredietverstrekkers, en CMMC 2.0 Level 2 voor defensieonderaannemers, waar de MSP zelf als external service provider in scope valt.
Due diligence van afnemers en in de toeleveringsketen
Grote afnemers duwen beveiligingsvragenlijsten door naar hun leveranciers. Een fabrikant, advocatenkantoor of logistiek bedrijf met veertig medewerkers wordt door een afnemer met veertigduizend medewerkers om een actuele penetratietest gevraagd, en wendt zich tot zijn MSP.
Na een incident of een bijna-incident
Een ransomware-aanval bij een branchegenoot, een business email compromise die bijna werd uitbetaald, of de voorwaarden van een verzekeraar na een claim. De klant wil weten wat er nog meer openstaat, en wil dat van iemand anders dan de MSP horen.
Overnames, financiering en druk vanuit het bestuur
Kopers en kredietverstrekkers vragen om cyber due diligence; besturen van middelgrote bedrijven hebben de krantenkoppen gelezen. Een testrapport is het document dat beide beantwoordt.
De MSP als aanvalspad
Aanvallers hadden de rekensom eerder gemaakt dan de meeste MSP's: compromitteer één provider en erf bevoorrechte toegang tot elke klant. Vanaf 2019 misbruikten ransomwaregroepen de beheertools van MSP's om in één keer versleuteling naar tientallen klanten te duwen, en in juli 2021 werd een kwetsbaarheid in een on-premises RMM-serverproduct gebruikt om in één weekend ransomware uit te rollen bij ongeveer 1.500 organisaties via hun providers. In mei 2022 publiceerden CISA en haar Five Eyes-partners een gezamenlijk advies over het beschermen van MSP's en hun klanten, dat verwachtingen vastlegde die verzekeraars en grote afnemers sindsdien in hun vragenlijsten hebben opgenomen. In februari 2024 werd een authenticatie-omzeiling in een veelgebruikt product voor ondersteuning op afstand binnen dagen na bekendmaking opgenomen in de Known Exploited Vulnerabilities-catalogus van CISA, met MSP-installaties onder de eerste doelwitten.
Het patroon is telkens hetzelfde: de aanvaller hoeft de klant niet binnen te dringen, alleen de tool die de klant al vertrouwt. Daarom weegt de eigen penetratietest van een MSP zwaarder dan die van welke individuele klant ook, vragen auditors van klanten steeds vaker wie de provider test, en moet een provider die pentesten aan klanten aanbiedt eerst zijn eigen rapport kunnen tonen.
Wat een MSP op zijn eigen stack moet testen
Zes onderdelen waar een bevinding bij de MSP een bevinding bij elke klant wordt. Beschreven op maatregelniveau; de test stelt vast of elke maatregel standhoudt tegen een vastberaden aanvaller.
RMM- en automatiseringsplatform
Wie kan inloggen, met welke tweede factor, vanaf waar; hoe scripts en beleid worden goedgekeurd voordat ze op klantwerkplekken draaien; of een technicusaccount of API-sleutel naar elke tenant kan pushen; en hoe het patchniveau van het platform zelf wordt beheerd.
Identiteit en gedelegeerd beheer
De eigen Microsoft 365- en Entra ID-tenant van de MSP, de granular delegated admin privileges in klanttenants, conditional access op technicusaccounts, privileged access workstations, en het uitdienstproces van vertrokken technici, waar verouderde toegang zich ophoopt.
Back-upinfrastructuur
Aparte inloggegevens los van de productie-identiteit, onveranderbaarheid of een logische air gap, of een gecompromitteerde RMM-sessie de back-upconsole kan bereiken, en of herstel bij klanten daadwerkelijk is getest in plaats van aangenomen.
Toegang en ondersteuning op afstand
VPN-concentrators, schermdeel- en remote-supportproducten, jump hosts en de blootstelling van hun beheerinterfaces aan het internet. Dit zijn de producten die het vaakst in de catalogus van uitgebuite kwetsbaarheden staan.
PSA, documentatie en wachtwoordkluis
Het ticketsysteem en het documentatieplatform bevatten samen het netwerkschema, het beheerderswachtwoord en de herstelsleutel van elke klant. Toegangsbeheer, MFA, exportbeperkingen en auditlogging op deze systemen worden getest als de kroonjuwelen van een klant, want dat zijn ze.
E-mailtenant en werkplekken van technici
Phishingweerbaarheid van medewerkers die overal bevoorrechte toegang hebben, het pad van één gecompromitteerde mailbox naar een RMM- of kluissessie, hardening van technicuswerkplekken, en het detectieverslag van wat de eigen tooling van de MSP tijdens de test zag.
Wat u klanten aanbiedt
Een testaanbod voor kleine en middelgrote organisaties heeft geen catalogus nodig. Het heeft de vijf opdrachten nodig die verzekeraars, auditors en afnemers beantwoorden, en een duidelijke uitleg van wat elke opdracht niet is.
- Externe penetratietest van de internet-facing perimeter, VPN en externe toegang en gepubliceerde applicaties: de test waar de meeste verzekerings- en leveranciersvragenlijsten naar vragen
- Interne assumed-breach-test vanaf een standaardwerkplek, met Active Directory of Entra ID, privilegepaden, segmentatie en wat ransomware zou bereiken: de test die weerspiegelt hoe incidenten werkelijk verlopen
- Configuratiereview van Microsoft 365 en identiteit, vaak gecombineerd met de interne test, omdat de meeste mkb-incidenten in de mailbox beginnen
- Webapplicatie- of API-test voor klanten die eigen klantgerichte software bouwen of draaien, gescopet op OWASP WSTG en de API Security Top 10
- Phishingsimulatie en social-engineeringtest van medewerkers met betaal- of beheerrechten, gekoppeld aan de awarenesstraining van de klant
- Continue kwetsbaarheidsscans als hygiënelaag tussen tests, eerlijk verkocht als scannen en nooit gepresenteerd als penetratietest
- Een verificatiehertest na herstel, zodat de klant sluitingsbewijs heeft voor verzekeraar of auditor
Vier manieren om pentesten te leveren: doorverwijzen, white-label, samen leveren of zelf bouwen
Elk model ruilt controle in voor inspanning en onafhankelijkheid. De kolom onafhankelijkheid weegt zwaarder dan de meeste MSP's verwachten: PCI DSS 11.4.1 en de meeste auditors eisen dat de tester organisatorisch onafhankelijk is van wie de omgeving beheert, en dat kan een MSP die zijn eigen beheerde klanten test niet claimen.
| Aspect | Doorverwijzen naar specialist | Doorverkopen of white-label | Samen leveren | Zelf bouwen |
|---|---|---|---|---|
| Wie de klantrelatie heeft | Specialist, na introductie door MSP | MSP; specialist onzichtbaar of genoemd als onderaannemer | MSP, met specialist aanwezig | MSP |
| Wie de test uitvoert | Gecertificeerde testers van de specialist | Gecertificeerde testers van de specialist | Specialist test; MSP verzorgt scoping, logistiek en herstel | Eigen medewerkers van de MSP |
| Onafhankelijkheid voor auditors en PCI DSS 11.4.1 | Volledig | Volledig, als het rapport de onafhankelijke testers noemt | Volledig voor het testen; herstel door de MSP blijft gescheiden | Geen voor de eigen beheerde klanten van de MSP |
| Branding van het rapport | Van de specialist | Van de MSP of co-branded, testers blijven genoemd | Co-branded | Van de MSP |
| Aansprakelijkheid en verzekering | Beroepsaansprakelijkheid van de specialist | Gedeeld; contract bepaalt de verantwoordelijkheid | Gedeeld; contract bepaalt de verantwoordelijkheid | Van de MSP, inclusief beroepsfouten bij het testen |
| Tijd tot de eerste opdracht | Dagen | Weken: contract, prijsmodel, proces | Weken | Twaalf maanden of meer: werving, certificering, tooling, methodiek |
| Past wanneer | Incidentele vragen, compliancegedreven klanten | Stabiele vraag, MSP wil een securitylijn zonder extra personeel | MSP heeft een securitypraktijk en wil het vak al doende leren | Grote MSP met een aparte securitydivisie en een klantenbestand buiten het eigen beheer |
Een pentest scopen voor kleine en middelgrote klanten
Een klant met vijftig medewerkers heeft geen enterpriseprogramma nodig. Hij heeft de juiste vier of vijf testdagen nodig op de systemen waar zijn geld en gegevens staan, ingepland zodat de MSP met het resultaat aan de slag kan.
Begin bij het geld en de identiteit
Scope eerst de perimeter, de externe toegang, de Microsoft 365-tenant en een interne assumed-breach-test vanaf één werkplek. Deze vier dekken hoe de grote meerderheid van mkb-incidenten begint en eindigt.
Scope vanuit de verplichtingen van de klant, niet vanuit de assetlijst
Is PCI DSS de aanleiding, dan moeten de cardholder data environment en haar segmentatie in scope. Is het HIPAA, dan de systemen met beschermde gezondheidsgegevens. Is het een verzekeraar, lees dan de vragenlijst en scope om die te beantwoorden.
Plan klanten gegroepeerd in
MSP's met meerdere klanten die in hetzelfde kwartaal aan de beurt zijn, kunnen testvensters aaneensluitend inplannen, met één scopinggesprek per klant en een gedeeld logistiek proces. De rapporten blijven gescheiden en klantspecifiek.
Stel de spelregels vast met de MSP aan tafel
De MSP kent de omgeving, heeft de inloggegevens en beheert de detectietooling. Hij neemt deel aan het scopinggesprek, levert de testwerkplek en de VPN, en ontvangt kritieke bevindingen tijdens de test in plaats van aan het einde.
Vervang nooit door een scanrapport
Een kwetsbaarheidsscan uit de eigen tooling van de MSP is geen penetratietest en overleeft geen auditor, geen schade-expert van een verzekeraar en geen securityteam van een afnemer. Verkoop scannen als scannen.
Rapportage waar een MSP mee aan de slag kan
Het rapport moet voor drie lezers tegelijk werken: de eigenaar van de klant, de verzekeraar of auditor van de klant, en de engineers van de MSP die de bevindingen oplossen.
- Een managementsamenvatting in bedrijfstermen voor de leiding van de klant, zonder afkortingen, die zegt wat een aanvaller had kunnen bereiken en wat eerst moet
- Bevindingen gekoppeld aan de maatregelen die de MSP werkelijk beheert (identiteit, endpoint, patching, back-up, firewall, e-mail), zodat elke bevinding een ticket met een eigenaar wordt
- CVSS v4-ernst plus een begrijpelijke kans en impact, met reproduceerbaar bewijs dat de MSP kan verifiëren
- Een herstelplan geordend naar risicoreductie per uur MSP-inspanning, want zo wordt het budget van een kleine klant werkelijk besteed
- Een scopeverklaring en methodieksectie die de verzekeraar of auditor zonder verdere vragen kan archiveren
- Een detectieverslag dat laat zien wat de monitoring van de MSP zag en wanneer, en dat tegelijk dient als afstemlijst voor de eigen tooling
- Een hertestbrief zodra de oplossingen staan, zo geschreven dat hij als sluitingsbewijs kan worden doorgestuurd naar verzekeraar, auditor of afnemer
Vragen die MSP's stellen vóór een samenwerking rond pentesten
De vragen hieronder komen in bijna elk eerste gesprek met een MSP naar voren. Stel ze aan elke testpartner, ook aan ons.
- Wie voert de test werkelijk uit, welke certificeringen hebben zij, en worden zij in het rapport bij naam genoemd
- Is de test handmatig, of een geautomatiseerde scan met een door mensen geschreven samenvatting
- Kan het rapport ons merk dragen of co-branded zijn, en blijven de testers genoemd zodat de auditor van de klant het accepteert
- Hoe wordt een klant met dertig gebruikers en één server gescopet, en hoe is de prijsstructuur opgebouwd (per scope, per dag, per klant)
- Wat gebeurt er als halverwege de test een kritieke bevinding opduikt: wie wordt geïnformeerd, hoe snel, en hoort de klant het van ons
- Kunnen meerdere klanten samen worden ingepland, en hoe blijft de vertrouwelijkheid tussen hun rapporten gewaarborgd
- Is een hertest inbegrepen, en binnen welke termijn
- Heeft de partner een beroepsaansprakelijkheidsverzekering die testactiviteiten dekt, en wat zegt het contract over schade tijdens een test
- Gaat de partner daarna rechtstreeks aan onze klant verkopen, en staat dat op papier
Hoe HackersHub met MSP's samenwerkt
HackersHub werkt met managed service providers samen als de hands-on testpartner voor hun klanten. De provider behoudt de klantrelatie; wij scopen, testen en rapporteren. Opdrachten kunnen worden doorverwezen, doorverkocht of op verzoek white-label geleverd, met onze testers bij naam in het rapport zodat de auditor, verzekeraar of afnemer van de klant het als onafhankelijk accepteert. Wij testen ook de eigen stack van MSP's, wat vaak het begin van de samenwerking is. Elke tester heeft minimaal OSCP, met OSWE- en CREST-gecertificeerde testers in het team; de methodiek volgt PTES, OWASP WSTG en MASTG en NIST SP 800-115; en een verificatiehertest van bevindingen vanaf medium binnen 90 dagen is in elke opdracht inbegrepen.
Rapporten zijn evenzeer geschreven voor de engineers van de MSP als voor de leiding van de klant: bevindingen gekoppeld aan de maatregelen die u beheert, een herstelvolgorde die het budget van een kleine klant respecteert, en een hertestbrief die de klant kan doorsturen. HackersHub is gevestigd in Amsterdam en test Amerikaanse klanten op afstand binnen afgesproken vensters en Amerikaanse kantooruren, met dagen op locatie waar een interne opdracht dat vraagt; Nederlandse MSP's en hun klanten bedienen wij vanuit Amsterdam. Met 10+ jaar offensieve beveiliging en een waardering van 4,9/5 over 127 reviews zijn wij vertrouwd met de rol van testers achter de klantrelatie van iemand anders.
Veelgestelde vragen
Gerelateerde gidsen
- Penetratietest laten uitvoeren door HackersHub
- MSP vs MSSP: wat is het verschil?
- Wat is een MSSP en wat doet hij?
- Pentest as a service: continu testen uitgelegd
- Wat een pentestrapport moet bevatten
- Pentest door een externe partij en onafhankelijkheid van de tester
- Penetratietest vs kwetsbaarheidsscan
- Phishingsimulatie voor de medewerkers van uw klanten
- Pentest voor banken en credit unions
Vragen uw klanten u om een pentest?
Behoud de relatie, voeg de capaciteit toe. Wij scopen, testen en rapporteren voor uw klanten, via doorverwijzing of white-label, met gecertificeerde testers bij naam en een hertest inbegrepen. Praat met een expert.