Naar de inhoud
NEN 7510
Hoofdstuk 06

Pentesten en technische security testing

NEN 7510 vraagt om beheer van technische kwetsbaarheden en om het beoordelen of maatregelen effectief zijn. Dit hoofdstuk legt uit wat een pentest is, hoe die zich verhoudt tot andere testvormen, wat een onderzoek moet opleveren en welke rol AI daarbij speelt.

Onderwerp
Technische toetsing
Raakt
Kwetsbaarhedenbeheer
Positie
Onderdeel van het ISMS

Wat is een pentest?

Een penetratietest, kortweg pentest, is een gecontroleerd onderzoek waarbij specialisten proberen kwetsbaarheden in systemen, applicaties of netwerken daadwerkelijk te misbruiken, binnen vooraf afgesproken grenzen. Het doel is niet binnenkomen om het binnenkomen, maar vaststellen welke risico's echt bestaan en wat de gevolgen zouden zijn.

NEN 7510 schrijft geen pentest voor met een vaste frequentie. De norm vraagt wel om beheer van technische kwetsbaarheden en om het beoordelen of maatregelen effectief zijn. Een pentest is één van de manieren om dat te doen, naast interne audits, monitoring, configuratiebeoordelingen en oefeningen. Een pentest vervangt de norm dus niet: hij toetst een deel ervan, op een moment in de tijd.

Wanneer een test waardevol is

  • Voor ingebruikname van een systeem dat gezondheidsgegevens verwerkt of van buitenaf bereikbaar is.
  • Na een ingrijpende wijziging, zoals een nieuwe koppeling, een migratie of uitbreiding van een patiëntportaal.
  • Periodiek op de omgevingen met het hoogste risico, waarbij jaarlijks in de zorg een gangbaar uitgangspunt is.
  • Bij twijfel over de kwaliteit van een leverancier of een overgenomen omgeving.

Scan, assessment, pentest of red teaming

Deze termen worden vaak door elkaar gebruikt, terwijl ze verschillende vragen beantwoorden. De keuze hangt af van wat u wilt weten en hoe volwassen uw beveiliging al is.

  • Vulnerability scanGeautomatiseerd zoeken naar bekende kwetsbaarheden en verouderde softwareContinu of periodiek, breed over de omgevingVindt bekende patronen, geen logica- of autorisatiefouten, en levert ruis op
  • Security assessmentBeoordeling van configuratie, architectuur en inrichting tegen een referentiekaderBij ontwerpkeuzes, migraties of beoordeling van een leverancierToetst de opzet, niet altijd of misbruik in de praktijk mogelijk is
  • PentestHandmatig onderzoek waarbij kwetsbaarheden worden geverifieerd en gecombineerd tot aanvalspadenOp systemen met gezondheidsgegevens, portalen en koppelingenMomentopname binnen een afgebakende scope en periode
  • Red teamingRealistische aanvalssimulatie gericht op een doel, inclusief detectie en respons van de organisatieBij een volwassen beveiligingsorganisatie met eigen monitoringIntensief, en niet bedoeld om volledige dekking van kwetsbaarheden te geven

Wat een onderzoek moet opleveren

Een rapport is pas nuttig als een beheerder ermee aan de slag kan en een auditor eruit kan opmaken wat er is getoetst.

  • 01

    Een bruikbaar rapport

    Met scope en methode, de gevonden kwetsbaarheden, hoe die zijn geverifieerd, de mogelijke gevolgen en een advies per bevinding. Zonder reproduceerbare stappen kan een beheerder er weinig mee.

  • 02

    Prioritering op risico

    Een technische score zoals CVSS zegt iets over de kwetsbaarheid, niet over uw situatie. Weging naar context bepaalt of iets vandaag of volgend kwartaal moet worden opgelost.

  • 03

    Opvolging en hertest

    Bevindingen krijgen een eigenaar en een termijn in het behandelplan. Een hertest bevestigt dat de oplossing werkt en levert het bewijs dat u bij een audit nodig heeft.

De plaats binnen het managementsysteem

Technische testing staat niet los van NEN 7510. De uitkomsten voeden de cyclus van beoordelen en verbeteren.

  • Input voor de risicobeoordeling

    Bevindingen laten zien welke risico's zich werkelijk voordoen en corrigeren aannames in uw risicoanalyse.

  • Bewijs bij beheersmaatregelen

    Rapport en hertest onderbouwen de maatregelen rond technische kwetsbaarheden en het beoordelen van beveiliging.

  • Toets op de keten

    Koppelingen en portalen laten zien of contractuele beveiligingseisen bij leveranciers in de praktijk worden waargemaakt.

  • Onderwerp voor de directiebeoordeling

    Terugkerende bevindingen zeggen iets over processen, niet alleen over systemen, en horen daarom op tafel bij het bestuur.

Randvoorwaarden in een zorgomgeving

Onderzoek mag de zorgverlening niet verstoren. Dat vraagt afspraken vooraf in plaats van improvisatie tijdens.

  1. 01

    Bepaal vooraf de scope, de periode en wat expliciet buiten het onderzoek valt.

  2. 02

    Test productieomgevingen alleen binnen afgesproken tijdvensters en werk waar mogelijk op een representatieve testomgeving.

  3. 03

    Betrek bij medische apparatuur altijd de leverancier en de klinisch fysicus voordat er getest wordt.

  4. 04

    Leg vast wie tijdens het onderzoek bereikbaar is en wie mag besluiten te stoppen.

  5. 05

    Gebruik geen echte patiëntgegevens in testomgevingen en maak afspraken over gegevens die tijdens het onderzoek zichtbaar worden.

  6. 06

    Plan de hertest direct mee, anders blijft het rapport een momentopname.

AI-assisted security testing

AI-assisted security testing betekent dat een tester taalmodellen en andere AI-technieken inzet als hulpmiddel binnen een onderzoek dat door mensen wordt gestuurd. Het gaat om ondersteuning bij verkenning, het herkennen van patronen, het combineren van signalen en het opstellen van rapportage. Het is geen geautomatiseerde aanval die zichzelf uitvoert en het verandert niets aan de verantwoordelijkheid voor de uitkomst.

Daarnaast bestaat een tweede onderwerp dat vaak door elkaar loopt: het testen van AI-systemen zelf. Zorgorganisaties nemen chatassistenten, spraakverslaglegging en beslisondersteuning in gebruik. Die systemen brengen eigen risico's mee en vragen om een eigen manier van toetsen.

Waar menselijke expertise nodig blijft

  • Scopebepaling en de afweging wat veilig getest kan worden in een zorgomgeving.
  • Fouten in bedrijfslogica en autorisatie, waarbij kennis van het zorgproces nodig is om te zien dat iets niet klopt.
  • Beoordelen of een bevinding daadwerkelijk misbruikt kan worden en wat de gevolgen voor de patiënt zijn.
  • De eindverantwoordelijkheid voor het rapport en het advies waarop de organisatie besluiten baseert.

Verkenning en inventarisatie

Informatie over domeinen, applicaties en gebruikte technologie wordt sneller samengebracht, waardoor meer tijd overblijft voor het onderzoek zelf.

Correlatie van signalen

Losse observaties uit verschillende bronnen worden sneller met elkaar in verband gebracht, wat helpt bij het herkennen van een mogelijk aanvalspad.

Analyse en prioritering

Bevindingen kunnen worden gewogen naar context, zodat een kwetsbaarheid in een koppeling met het dossier zwaarder telt dan dezelfde melding op een geïsoleerde testomgeving.

Rapportage

Concepten van beschrijvingen en adviezen komen sneller tot stand. De inhoudelijke beoordeling blijft mensenwerk, omdat een onjuist advies duurder is dan een traag advies.

Risico's van AI-gebruik zelf

AI inzetten binnen security testing brengt eigen aandachtspunten mee. Die zijn ook relevant voor uw eigen risicobeoordeling wanneer u AI-tooling in de organisatie gebruikt.

Gegevens die weglekken naar modellen

Testgegevens kunnen persoonsgegevens bevatten. Bij gebruik van externe AI-diensten moet duidelijk zijn welke gegevens worden verzonden, waar die worden verwerkt en of dat past binnen de AVG en de afspraken met de opdrachtgever.

Onjuiste of verzonnen bevindingen

Taalmodellen kunnen plausibel klinkende maar onjuiste uitkomsten geven. Elke bevinding hoort geverifieerd te zijn voordat die in een rapport verschijnt.

Vals gevoel van volledigheid

Snelheid is geen dekking. Een breed uitgevoerd onderzoek zegt nog niets over de diepte waarmee een specifieke applicatie is bekeken.

Herleidbaarheid

Voor een audit moet navolgbaar zijn hoe een bevinding tot stand kwam. Leg daarom vast welke hulpmiddelen zijn gebruikt en welke stappen handmatig zijn geverifieerd.

AI-systemen zelf testen

Een AI gebruiken als hulpmiddel is iets anders dan een AI-systeem in gebruik nemen. Zorgorganisaties die chatassistenten, spraakverslaglegging of beslisondersteuning inzetten, krijgen met een eigen categorie risico's te maken.

Prompt injection

Instructies die via gebruikersinvoer of via meegelezen documenten en e-mails in het model terechtkomen en het gedrag sturen. In een zorgomgeving kan dat betekenen dat een assistent gegevens toont of acties uitvoert die niet de bedoeling waren.

Ongewenste gegevensontsluiting

Systemen die documenten of dossiers doorzoeken kunnen informatie tonen waarvoor de gebruiker geen grondslag heeft. Autorisatie hoort in de bron te zitten, niet in de prompt.

AI-agents en gekoppelde acties

Zodra een systeem zelf acties uitvoert, zoals opzoeken, versturen of aanmaken, verschuift het risico van informatie naar handeling. Beperk rechten, log elke actie en houd een mens in de keten bij onomkeerbare stappen.

API- en integratiebeveiliging

Veel AI-functionaliteit hangt aan koppelingen met bestaande systemen. Authenticatie, autorisatie per verzoek, invoervalidatie en logging zijn daar even belangrijk als bij elke andere API.

Technische validatie

Een informatiebeveiligingsbeleid beschrijft welke maatregelen een organisatie heeft ingericht. Technische securitytests kunnen helpen vaststellen of die maatregelen in de praktijk daadwerkelijk effectief zijn. AssistSec voert technische security assessments en pentests uit en onderzoekt daarnaast de toepassing van AI binnen security testing.

De onderliggende eisen staan in hoofdstuk 02, en de plaats van testen binnen een implementatietraject leest u in hoofdstuk 05.

Vorige, hoofdstuk 05←Implementatie in vier fasenVolgende, hoofdstuk 07Veelgestelde vragen→
Volgende hoofdstuk

Korte antwoorden op veelgestelde vragen

Van de vraag of NEN 7510 verplicht is tot het verschil met een vulnerability scan en de frequentie van testen: hoofdstuk 07 verzamelt de vragen die het vaakst terugkomen.

  • Verplichting
  • Certificering
  • Testfrequentie
Naar de veelgestelde vragen→

Veertien vragen met feitelijke antwoorden.