De pentest ligt er, en niemand werkt de bevindingen weg.
De pentest was verplicht voor een klant, een certificering of de verzekeraar, en het rapport is eerlijk: dertig bevindingen, waarvan zes hoog. Daarna gebeurt wat altijd gebeurt: het ontwikkelteam heeft een roadmap, de beheerders hebben de dag, en bij de hertest van volgend jaar staan dezelfde zes er weer. Binnen twee dagen heb je een ervaren security engineer of AppSec-specialist op gesprek die de bevindingen oplost met het team en zorgt dat de volgende test korter is. Zoek je iemand voor vast, dan werven we die net zo goed, al gaat dat niet in twee dagen.
Het moment
Het rapport komt binnen met een managementsamenvatting die de directie leest en een bijlage van zestig pagina's die niemand leest. De hoge bevindingen gaan naar het ontwikkelteam, dat ze op de backlog zet onder de features die al beloofd zijn aan klanten. De infrastructuurbevindingen gaan naar de beheerders, die er twee van oplossen en de rest doorschuiven naar "na de migratie". Drie maanden later vraagt de klant die de pentest eiste om de hertest, en blijkt dat van de zes hoge bevindingen er vier open staan. Dat is het moment waarop iemand van buiten, die bevindingen oplost in plaats van ze te beheren, het verschil maakt.
Waarom bevindingen blijven liggen
Niet omdat ze onbelangrijk zijn, maar omdat ze in een andere valuta betaald worden dan de rest van het werk: ze leveren geen feature op en geen uptime, alleen het wegnemen van een risico dat zich nog niet heeft voorgedaan. Daar komt bij dat een pentestrapport beschrijft wát er mis is, niet hoe je het in jullie codebase of jullie infrastructuur oplost zonder iets anders te breken. Een engineer die dit vaker heeft gedaan, vertaalt de bevindingen naar concrete wijzigingen, werkt ze samen met het team weg, en bouwt ondertussen de controles in die voorkomen dat dezelfde categorie bevindingen volgend jaar terugkomt: afhankelijkheden scannen, geheimen uit de code, veilige standaardconfiguraties, een securityreview in de pipeline.
Wat er nu moet gebeuren
- Prioriteren op echt risico. Niet elke hoge bevinding is even urgent in jullie context, en sommige middels zijn samen erger dan een hoge. De engineer, met de pentester en het team, in de eerste week.
- Oplossen met het team. De bevindingen omzetten in wijzigingen die het ontwikkelteam en de beheerders kunnen uitvoeren, en waar nodig zelf meebouwen. De AppSec- of security engineer.
- Herhaling voorkomen. De controles inbouwen die de categorie bevindingen afvangen: afhankelijkheidsscans, geheimenbeheer, veilige configuraties, een lichte securityreview bij elke release. DevSecOps-engineer met het team.
- De hertest voorbereiden. Bewijs per bevinding, zodat de hertest kort is en het rapport naar de klant schoon. De engineer.
- Overdragen. Een werkwijze die het team zelf volhoudt, en een eerlijk advies over wat er structureel aan security-capaciteit nodig is.
Wie dit trekt
Organisaties zoeken hier een application security engineer als de bevindingen vooral in de software zitten, een security engineer voor hardening van infrastructuur en cloud, en een DevSecOps-engineer als het doel is de controles in de pipeline te krijgen. Welke van die rollen het bij jou wordt hangt af van het rapport; daar beginnen we mee in de intake. Zoek je iemand voor vast, bijvoorbeeld een AppSec-engineer die in het ontwikkelteam blijft, dan is dat gewoon werving & selectie; voor het wegwerken is het interim. Allebei doen we al jaren.
Interim: binnen twee dagen, en wat het kost
Snel betekent bij ons niet slordig. We beginnen met een echte intake: wat staat er in het rapport, welke techniek, wanneer is de hertest, wie moet deze persoon meekrijgen. Daarna zoeken we in een netwerk van interimmers die we meestal al jaren kennen, en zo heb je bij een interim-opdracht binnen twee dagen je eerste kandidaat op gesprek. Zoek je iemand voor vast, dan werkt het anders en duurt het langer. De beste vaste kandidaten zijn zelden actief op zoek: ze zitten ergens goed en komen alleen in beweging voor de juiste argumenten, van iemand die hen kent en weet wat hen drijft. Dat is precies ons werk, en het levert de beste match op, maar niet in twee dagen. Interimmers zijn ondernemers: commerciëler, flexibeler naar beide kanten, en daardoor sneller voor te stellen vanuit het netwerk dat we actief onderhouden. Hebben we niemand die écht past, dan zeggen we dat. Het tarief van de professional en onze marge zie je altijd apart, en die marge is nooit meer dan € 15 per uur bij een fulltime opdracht. Contracteren kan rechtstreeks met de zzp'er of via je eigen broker, waarbij wij alleen onze marge factureren, of volledig via Gruzzy met één factuur. Wie er nu beschikbaar is, en in welke tariefband, staat anoniem bij de beschikbare interimmers.
Zzp, en de Wet DBA
Bevindingen wegwerken en controles inbouwen vóór een hertest is een opdracht met een kop en een staart: er is een resultaat, de professional bepaalt zelf hoe het werk gebeurt, en er is geen gezagsverhouding zoals bij een werknemer. Dat is wat de Belastingdienst wil zien sinds de handhaving op schijnzelfstandigheid in 2025 weer is begonnen, en dus past zzp hier goed, met een modelovereenkomst. Blijkt dat het ontwikkelteam structureel een AppSec-engineer nodig heeft, dan zeggen we dat. Meestal is dat een vaste rol via werving; wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern. We adviseren hier graag over, vóór je tekent.
Vandaag bellen?.
Bel, of plan zelf een moment. Dan weet je binnen een kwartier of we kunnen helpen en wie daarvoor de juiste persoon is.
Bellen: 020 399 1●●●
Nu beschikbaar voor interim.
Een greep uit de interimmers die op dit moment kunnen starten. Anoniem tot je contact opneemt; tarief en beschikbaarheid staan erbij.
NIS2 / Cyberbeveiligingswet · DORA · SOX (ITGC)
- interim · €95k–100k bruto per jaar
ISO 27001 · ISO 27002 · NIS2 / Cyberbeveiligingswet
- Interim / ZZP · €120–130 per uur
ISO 27001 · NIS2 / Cyberbeveiligingswet · AVG/GDPR
- Arnhem-Nijmegen
- interim / zzp · €120–130 per uur
Veelgestelde vragen.
Doen jullie zelf ook pentests?
Nee. Voor de test zelf zijn er gespecialiseerde partijen, en het is beter als die niet dezelfde zijn als wie de bevindingen oplost. Wij leveren de engineer die het rapport omzet in wijzigingen, ze met het team wegwerkt en zorgt dat de hertest kort is. Zoek je een vaste pentester voor een eigen red team, dan werven we die wel.
Hoe snel kunnen jullie een engineer leveren?
Voor interim geldt: binnen twee dagen heb je je eerste kandidaat op gesprek; voor een vaste rol duurt het langer, omdat de beste kandidaten zelden actief zoeken en met de juiste argumenten in beweging moeten komen; wat realistisch is, bespreken we bij de intake. We beginnen met een intake over het rapport, de techniek en de datum van de hertest, en zoeken daarna in een netwerk van interimmers die we meestal al jaren kennen. Hebben we niemand die echt past, dan zeggen we dat ook.
Ons ontwikkelteam heeft geen tijd. Kan de engineer de bevindingen zelf oplossen?
Voor een deel wel, zeker infrastructuur- en configuratiebevindingen. Bevindingen in de code vragen samenwerking met het team dat de code kent; de engineer vertaalt het rapport naar concrete wijzigingen, bouwt mee waar dat kan en reviewt de rest. Belangrijker nog: hij bouwt de controles in die voorkomen dat dezelfde categorie volgend jaar terugkomt.
Zzp'er, detachering of vast: wat past bij het wegwerken van pentest-bevindingen?
Bevindingen wegwerken en controles inbouwen vóór een hertest is een opdracht met een kop en een staart, en dan past een zzp'er met een modelovereenkomst goed. Blijkt dat het ontwikkelteam structureel een AppSec-engineer nodig heeft, dan zeggen we dat en werven we die voor vast. Wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern.
Wat kost een interim AppSec- of security engineer?
Dat hangt af van de persoon, de techniek en de opdracht, en je ziet het tarief van de professional altijd los van onze marge. Die marge is nooit meer dan € 15 per uur bij een fulltime opdracht. De tariefbanden van wie nu beschikbaar is staan anoniem bij de interimmers op deze site.
Welke techniek moet de engineer kennen?
Die van jullie. Een AppSec-engineer die jaren in .NET heeft gewerkt is niet automatisch snel in een Node- of Java-omgeving, en voor infrastructuurbevindingen telt het platform. Zeg bij de intake welke talen, frameworks en cloud er in het rapport voorkomen; we stellen alleen mensen voor die daar aantoonbaar mee hebben gewerkt.
Hoe voorkomen we dat de volgende pentest weer dezelfde bevindingen oplevert?
Door de categorie aan te pakken in plaats van het geval: afhankelijkheden automatisch scannen, geheimen uit de code, veilige standaardconfiguraties, en een lichte securityreview bij elke release. Dat is het DevSecOps-deel van de opdracht, en het is wat de hertest van volgend jaar korter maakt dan die van dit jaar.
Kan dit ook parttime?
Vaak wel, zeker het review- en pipelinewerk. Het wegwerken van een lange lijst voor een hertest met een harde datum gaat sneller fulltime. Bij een parttime opdracht kan onze marge per uur hoger liggen dan bij fulltime; dat zie je vooraf, net als het tarief.
Rapport binnen, hertest in zicht?
Vertel wat de pentester vond en wanneer de hertest is. Zoek je een interimmer, dan zit je eerste kandidaat binnen twee dagen op gesprek — en hebben we niemand die past, dan zeggen we dat ook.