Ik voer kwetsbaarheidsscans en penetratietests uit op jouw systeem

Nee. Ik volg gecontroleerde, niet-destructieve testmethoden en stem altijd vooraf een testvenster en regels van engagement af. Voor alles wat mogelijk riskant is (bijvoorbeeld DoS-achtige tests), vraag ik eerst expliciete toestemming of sluit ik het volledig uit van de scope.

Staging/testomgevingen hebben de voorkeur om risico voor live gebruikers of data te vermijden. Als alleen productie beschikbaar is, neem ik extra voorzorgsmaatregelen en licht ik de risico’s duidelijk toe voordat ik begin.

Alleen je target URL(s) of IP-bereik, schriftelijke toestemming waarin bevestigt wordt dat jij eigenaar bent of toestemming hebt om het systeem te testen, en alle relevante context (technische stack, inloggegevens voor geauthenticeerd testen, specifieke aandachtspunten).

Alleen als je geauthenticeerd testen wilt (wat kan inhouden dat je kijkt wat een ingelogde gebruiker kan doen of misbruiken) — dit wordt sterk aanbevolen omdat veel echte kwetsbaarheden pas na login zichtbaar worden. Ongeauthenticeerd testen is ook mogelijk, maar dekt minder terrein.

Een gedetailleerd rapport met een samenvatting voor niet-technische stakeholders, technische bevindingen met CVSS-severity ratings, bewijs van concept voor elke kwetsbaarheid, en duidelijke stappen voor herstel.

Absoluut. Ik ben bereid een NDA te ondertekenen voordat ik begin, en alle testgegevens en bewijzen worden veilig behandeld en na de engagementperiode op jouw verzoek verwijderd of teruggegeven.

Nee, geen enkele ethische tester kan dat beloven — security is een doorlopend proces, geen eenmalige oplossing. Wat ik wel garandeer is een grondige, eerlijke beoordeling van je huidige risico en duidelijke richtlijnen om dat aanzienlijk te verminderen.

Ja, zolang jij eigenaar bent van het systeem of expliciete schriftelijke toestemming hebt om het te testen. Ik vraag deze bevestiging voordat ik begin — dat beschermt ons allebei.