De prijs van een security audit: geen eenvoudig antwoord
"Wat kost een pentest?" is een veelgestelde vraag waarvoor het eerlijke antwoord is: "Dat hangt af van een aantal factoren." In dit artikel leggen we uit welke factoren de prijs bepalen, wat u kunt verwachten voor uw budget, en hoe u de ROI berekent.
Factoren die de prijs bepalen
1. Scope: wat wordt er getest?
Dit is de grootste prijsbepalende factor:
| Scope | Indicatieve prijs | |---|---| | Quick Scan (website + basis infra) | €1.500 - €2.500 | | Web Application Pentest | €2.000 - €5.000 | | Network Infrastructure Audit | €2.500 - €6.000 | | Full Business Pentest | €3.500 - €8.000 | | Advanced Security Audit (alles) | €7.500 - €15.000 | | Enterprise / Custom | Op maat |
2. Complexiteit van de omgeving
Een webshop met 10 pagina's en een standaard CMS is fundamenteel anders dan een complex SaaS-platform met microservices, meerdere API's en custom authentication. Complexiteit = meer tijd = hogere prijs.
3. Black box vs. grey box vs. white box
- Black box: Tester heeft geen informatie, simuleert externe aanvaller. Meest realistisch, maar ook tijdsintensief.
- Grey box: Tester heeft beperkte informatie (bijv. testaccount). Balans tussen realisme en diepgang.
- White box: Tester heeft volledige toegang, inclusief broncode. Meest diepgaand, beste prijs-kwaliteitsverhouding voor webapplicaties.
4. Rapportage en natraject
Een professioneel rapport kost tijd: executive summary, technische details, CVSS-scores, reproductiestappen, remediatie-advies. Sommige aanbieders leveren ook een re-test om te verificeren of kwetsbaarheden correct zijn verholpen.
Wat u NIET mag kopen
Wees voorzichtig met aanbieders die:
- Geautomatiseerde scans verkopen als "pentest"
- Geen NDA ondertekenen
- Geen senior-level expertise kunnen aantonen
- Prijzen hanteren van €300-500 voor een "volledige pentest"
Een tool als Nessus of OpenVAS kan automatisch scannen, maar dat is geen pentest. Een echte pentest vereist menselijke expertise, creatief denken en het chaining van bevindingen.
De ROI van een security audit
Bereken het zelf:
Kost van een datalek:
- Gemiddeld €120.000 - €180.000 voor een KMO (GDPR-boetes, IT-herstel, reputatieschade, verloren omzet)
- Mogelijke GDPR-boetes: tot 4% van jaarlijkse wereldwijde omzet
- Downtime: gemiddeld €5.000/uur voor e-commerce
Kost van een pentest: €1.500 - €7.500
ROI bij één voorkomen incident: 10x - 100x
Conclusie
Een security audit is geen kostenpost — het is een investering met meetbare ROI. Het enige wat een pentest kost, is geld. Het enige wat een datalek kost, is alles.