Pentesten voor gemeenten 

Waarom pentesten voor gemeenten cruciaal is

De risico's van onvoldoende beveiliging

Gemeenten beheren gevoelige gegevens van burgers en slaan ze op in systemen. Denk aan BSN-nummers, inkomensgegevens, zorgdossiers en persoonlijke informatie die via DigiD toegankelijk zijn. Een datalek of cyberaanval raakt niet alleen je organisatie, maar ook het vertrouwen van inwoners. Een aantal van de risico’s:

• Datalekken met gevoelige burgergegevens: BSN-nummers, financiële data en zorgdossiers op straat

• Verstoorde dienstverlening: burgers kunnen niet inloggen of aanvragen indienen

• Boetes en juridische consequenties bij non-compliance met BIO en AVG-wetgeving

• Reputatieschade: verlies van vertrouwen bij inwoners, gemeenteraad en toezichthouders

• Opschorting DigiD-aansluiting door Logius bij geconstateerde beveiligingsrisico's

Daarnaast stelt wetgeving zoals de BIO (Baseline Informatiebeveiliging Overheid) en NIS2 concrete eisen aan de beveiliging van je systemen. Vooral applicaties met een DigiD-koppeling moeten voldoen aan de technische beveiligingsrichtlijnen van het NCSC. Een pentest is dé manier om aan te tonen dat je systemen bestand zijn tegen aanvallen.

Dit testen we specifiek:

• Webapplicatiebeveiliging: kunnen aanvallers inloggegevens onderscheppen of sessies overnemen?

• DigiD-koppelingen: zijn de authenticatiestromen waterdicht ingericht?

• Infrastructuur en netwerk: zijn er zwakke plekken in je DMZ, firewalls of webservers?

• Gegevensopslag en -transport: worden BSN-nummers en persoonsgegevens correct versleuteld?

• Toegangsbeheer: kunnen gebruikers bij gegevens die niet voor hen bedoeld zijn?

We werken volgens de methodiek die past bij jouw situatie: black box (zonder voorkennis), grey box (met beperkte toegang) of white box (met volledige inzage in de systemen). Zo simuleren we realistische aanvalsscenario's en vinden we de verborgen risico's.

Hoe een pentest bij Cyber Cloud werkt

We doorlopen een vast proces in vijf stappen. Zo weet je precies wat je kunt verwachten en blijft je dagelijkse bedrijfsvoering gewoon doordraaien.

1. Scoping
We bepalen samen wat we gaan testen. Gaat het om een specifieke DigiD-applicatie, je hele netwerk of een combinatie? We stemmen de planning af op jouw werkzaamheden, zodat de pentest geen verstoring veroorzaakt.

2. Onderzoek
Onze pentesters starten met een grondige scan van je systemen. We zoeken naar bekende kwetsbaarheden zoals verouderde software, verkeerde configuraties en open poorten. Dit geeft een eerste beeld van de staat van je beveiliging.

3. Aanvallen
Nu gaan we dieper. We voeren handmatige hacks uit om te kijken hoe ver we komen. Kunnen we rechten verhogen? Bij gevoelige gegevens komen? Dit doen we altijd gecontroleerd, zonder schade aan te richten.

4. Rapportage
Alle bevindingen bundelen we in een helder rapport. Geen technisch jargon, maar concrete risico's en werkbare aanbevelingen. Je krijgt direct toegang via ons PentestPortal.io, zodat je real-time de status kunt volgen en het rapport eenvoudig kunt delen met collega's, de gemeenteraad of auditors.

5. Verbeteren
Een rapport alleen lost niets op. Daarom denken we actief mee over oplossingen. Onze pentesters geven praktisch advies over hoe je de gevonden lekken dicht. En als je hulp nodig hebt bij de uitvoering, staan we voor je klaar.

Security awareness: de menselijke factor

Systemen kun je beveiligen, maar je medewerkers blijven de grootste risicofactor. Een phishingmail met een nep-DigiD-pagina, een telefoontje van een zogenaamde ICT-medewerker of een onbevoegde bezoeker die zomaar doorloopt: het gebeurt vaker dan je denkt.

Cyber Cloud helpt je om niet alleen je systemen, maar ook je mensen digitaal weerbaar te maken. We combineren pentesten met security awareness, zodat je organisatie van binnen en buiten beschermd is.

Onze security awareness-modules:

Phishing-tests
We sturen realistische phishingmails naar je medewerkers. Wie klikt er? Wie voert inloggegevens in? Je krijgt direct inzicht in hoe kwetsbaar je organisatie is voor deze aanvalsvorm.

Mystery guest
We lopen onuitgenodigd en met een verborgen camera je kantoor binnen om te kijken hoe ver we komen. Kunnen we bij computersystemen? Worden we aangesproken? Dit geeft inzicht in fysieke beveiligingsrisico's.

Awareness-training
We trainen je medewerkers om phishing te herkennen en om te gaan met verdachte situaties. Zo bouw je een menselijke firewall op die de organisatie van binnenuit beschermt.

√ Door heel het land, maar ook op locatie
Onze pentesters werken door heel het land. We komen naar jouw gemeente toe, zodat we je interne netwerk ter plekke kunnen testen. Dit maakt dat we de meest realistische resultaten kunnen bieden.

√ Real-time inzicht via PentestPortal.io
Geen weken wachten op een rapport. Via ons eigen portaal zie je de voortgang en bevindingen in real-time. Je kunt tussentijds al aan de slag met de eerste verbeterpunten en het eindrapport direct delen met stakeholders.

√ Heldere communicatie, geen technisch jargon
We leggen uit wat we doen in begrijpelijke taal. Ons rapport is toegankelijk voor zowel IT-specialisten als beleidsmedewerkers en bestuurders. Heb je vragen? Je bereikt ons snel en direct.

√ Gecertificeerd en erkend
Cyber Cloud is CCV-gecertificeerd en beschikt over het ISO27001-keurmerk en het NIS2 Quality Mark. We werken volgens de NCSC-richtlijnen en leveren rapportages die voldoen aan de eisen van Logius en andere toezichthouders.

√ Persoonlijk en betrokken
Geen trage tussenlagen of callcenters. Je hebt direct contact met de pentester die jouw systemen test. We zijn een no-nonsensebedrijf dat zegt waar het op staat en je ontzorgt in elke stap.

√ Pentesten én security awareness
Wij kijken niet alleen naar je techniek, maar ook naar je mensen. Door pentesten te combineren met security awareness krijg je een complete beveiligingsaanpak.

Onze klanten