Test systemen die van jou zijn of waarvoor je toestemming hebt
We leggen eerst vast welke domeinen, applicaties, API’s, accounts en omgevingen je toestemming geeft om te testen. Samen spreken we testvensters, aanvraaglimieten, toegestane technieken, uitgesloten systemen, een noodcontact en stopvoorwaarden af. Dat je een applicatie bezit, geeft niet automatisch toestemming om de hostingprovider of andere diensten van derden te testen. Productietests vereisen aparte toestemming en operationele limieten; een representatieve QA-omgeving heeft de voorkeur als startpunt.
Wat de beoordeling kan omvatten
- Inloggen, wachtwoordherstel, sessies, rechten en scheiding tussen gebruikers, teams of klantaccounts.
- Invoer in webapplicaties en API’s, bestandsuploads, blootgestelde configuratie en onbedoelde openbaarmaking van gevoelige gegevens.
- Bedrijfslogica en beheerprocessen, met afgesproken testaccounts en representatieve data.
- Voor AI-producten: prompt injection, rechten bij het ophalen van informatie, lekken van gevoelige gegevens en toolacties die de bevoegdheden van de gebruiker overschrijden.
- Review van broncode en afhankelijkheden als toegang binnen de scope valt, gevolgd door hersteladvies en een afgesproken hertest.
Een privaat model ondersteunt de engineers
We kunnen een model inzetten op speciale fysieke computers of binnen je goedgekeurde infrastructuur om broncode te inspecteren, bevindingen te groeperen en testbewijs te analyseren. De modelkeuze hangt af van de hardware, workload en evaluatie met representatieve voorbeelden. Engineers keuren testacties goed en valideren bevindingen: modeloutput alleen bewijst geen kwetsbaarheid. We documenteren waar code, prompts, inloggegevens, bewijs, logs en back-ups worden opgeslagen en spreken toegangs- en verwijderafspraken af. Bij een volledig lokaal traject zijn externe modelaanroepen, telemetrie en cloudsynchronisatie uitgeschakeld; elke uitzondering moet vooraf worden goedgekeurd.
- Schriftelijke scope
- Gecontroleerde tests
- Menselijke validatie
- Rapport & oplossingen
- Hertest
Tests blijven binnen de goedgekeurde systemen en operationele grenzen. Bevindingen bevatten bewijs en een praktische route naar herstel.
Een praktisch voorbeeld
Bij een klantenportaal kunnen we beoordelen of een testgebruiker gegevens van een andere testorganisatie kan bekijken, of accountherstel de bedoelde controles volgt en of een AI-assistent alleen toegestane documenten ophaalt. We gebruiken goedgekeurde testdata, verzamelen alleen het benodigde bewijs en rapporteren reproduceerbare bevindingen zonder echte klantgegevens bloot te leggen.
Wat je ontvangt
- Een overeengekomen scope en testplan met benoemde systemen, omgevingen, beperkingen en verantwoordelijken.
- Een rapport met gevalideerde bevindingen, ernst en bedrijfsimpact, bewijs, reproductievoorwaarden en aanbevolen oplossingen.
- Een technische bespreking met je ontwikkelaars en een op risico geordende backlog voor herstel.
- Een hertest van de afgesproken bevindingen, met de status van opgeloste punten, openstaande punten en onderdelen buiten de beoordeling.
- Een gedocumenteerde configuratie van private AI, gegevensgrens en overdracht als een dedicated modeldeployment deel uitmaakt van de opdracht.
Alleen white hat. We testen geen systemen zonder schriftelijke toestemming, verstoren geen diensten en raadplegen niet meer gegevens dan nodig is voor het afgesproken bewijs. Tests beperken risico binnen een vastgelegde scope en periode; ze kunnen niet aantonen dat een systeem geen kwetsbaarheden heeft.
Integraties zonder vaste catalogus
Slack, Telegram, WhatsApp, e-mail, Jira, CRM, ERP en je eigen software: we bouwen integraties op maat, zonder vaste catalogus of vooraf bepaald aantal koppelingen. De scope hangt af van beschikbare API’s, toegangsrechten en de voorwaarden van elke aanbieder.
Stuur goedgekeurde bevindingen en herstelacties naar Jira, Slack, Telegram, WhatsApp of e-mail. Inloggegevens, gevoelig bewijs en modelverwerking blijven binnen de afgesproken private grens; elke externe koppeling vereist je goedkeuring.
Bespreek een geautoriseerde beveiligingsbeoordeling, bekijk Private AI Computing of combineer dit met een technische code-audit. AI Factory-projecten op maat starten bij € 10.000; afgebakende huur van private capaciteit begint bij € 1.000 per maand. Dit zijn vanafprijzen, geen onbeperkte pentestdienst: de offerte bepaalt de testscope, modelconfiguratie, hardware, hertest en eventuele herstelwerkzaamheden. Externe kosten en toepasselijke belastingen zijn apart.
FAQ
Kunnen jullie een propriëtaire website testen?
Ja, als je eigenaar bent of expliciete schriftelijke toestemming hebt van de eigenaar. Vooraf spreken we de exacte systemen, accounts, technieken en testperiode af. Ook voor platforms en infrastructuur van derden is de juiste toestemming nodig.
Gaat onze code naar een openbare AI-dienst?
Bij een volledig lokaal traject blijven modelverwerking, bewijs en logs binnen de afgesproken private grens; externe modelaanroepen, telemetrie en cloudsynchronisatie zijn uitgeschakeld. Externe koppelingen of diensten worden apart gedocumenteerd en goedgekeurd.
Testen jullie productiesystemen?
We geven de voorkeur aan een representatieve QA-omgeving als startpunt. Productietests vereisen expliciete toestemming, afgesproken verkeerslimieten, stopvoorwaarden en een operationeel contact. We doen geen destructieve tests of tests die de beschikbaarheid beïnvloeden, tenzij die apart zijn goedgekeurd en afgebakend.
Zijn oplossingen inbegrepen?
De offerte bepaalt de scope van het rapport, de ontwikkelaarsbespreking en de hertest. Codewijzigingen, deployment en uitgebreider herstel kunnen inbegrepen zijn of apart worden geoffreerd. Een AI-waarschuwing wordt door een engineer gevalideerd voordat die als bevinding wordt gerapporteerd.
Kunnen jullie garanderen dat we niet gehackt kunnen worden?
Nee. Een pentest onderzoekt afgesproken systemen en technieken gedurende een bepaalde periode. Het rapport legt de dekking en beperkingen vast; doorlopend onderhoud, toegangscontroles, monitoring en vervolgtests blijven nodig.