Cyberdreigingen veranderen snel. Organisaties verwachten daarom dat pentesten niet alleen kwetsbaarheden laten zien, maar ook duidelijk maken hoe weerbaar zij echt zijn tegen moderne aanvallen. In deze blog zetten we op een begrijpelijke manier de belangrijkste trends op een rij inclusief het MIAUW-model van Brenno de Winter, de opkomst van AI in pentesten en het werken met teams van specialisten.
Dit overzicht geldt voor alle vormen van beveiligingsonderzoeken: infrastructuur, webapplicaties, cloud, API’s, mobiele apps en social engineering. Deze onderzoeken worden onderscheiden in twee types: kwetsbaarhedenonderzoek, waarbij zo veel mogelijk kwetsbaarheden worden gevonden en voorzien worden van een score en bijbehorende oplossing, en penetratietesten waarbij een weg gevonden wordt door technische aspecten van een organisatie om de vooraf besproken doelen te bereiken. Deze doelen zijn bijvoorbeeld de kroonjuwelen van een bedrijf, maar ook bewijs dat een ongeoorloofde financiële transactie kan worden gedaan.
Het MIAUW-model: waarom weerbaarheid belangrijker is dan een lijstje bevindingen
Security-expert Brenno de Winter introduceerde het MIAUW-model, een handig kader om de staat van informatiebeveiliging te beoordelen. Het helpt organisaties om niet alleen naar technische kwetsbaarheden te kijken, maar vooral naar weerbaarheid in de praktijk.
MIAUW staat voor:
- Mensen – Zijn medewerkers voorbereid, opgeleid en alert?
- Interventies – Worden incidenten vroegtijdig gesignaleerd en goed opgepakt?
- Afstemming – Werken teams en afdelingen samen in de aanpak van beveiliging?
- Uitrusting – Zijn systemen, tooling en beveiligingsmiddelen op orde?
- Werkwijzen – Zijn processen duidelijk, worden ze gevolgd en regelmatig verbeterd?
Bij penetratietesten wordt dit model steeds vaker gebruikt om resultaten te duiden. Een penetratietest laat bijvoorbeeld zien dat een kritieke kwetsbaarheid kan worden misbruikt maar MIAUW laat zien waarom dat kan: denk aan ontbrekende processen, onvoldoende monitoring of gebrek aan samenwerking tussen teams.
Hierdoor ontstaat een completer beeld: niet alleen “wat gaat er mis?”, maar vooral “hoe wordt de organisatie sterker?”
AI-ondersteunde beveiliging onderzoeken: sneller, slimmer en beter gedocumenteerd
De afgelopen jaren is er veel vooruitgang geboekt in het gebruik van kunstmatige intelligentie tijdens beveiliging onderzoeken. De rol van AI is niet om hackers te vervangen, maar om het werk slimmer en efficiënter te maken.
Moderne onderzoekers gebruiken AI bijvoorbeeld voor:
het automatiseren van repeterend werk
Denk aan reconnaissance, het doorzoeken van grote hoeveelheden data of het analyseren van API-responscodes.
het krijgen van een snellere analyse
AI kan helpen patronen te herkennen die normaal veel handwerk kosten.
betere exploitatievoorstellen
AI-agents kunnen suggesties doen voor mogelijke aanvalspaden.
onderbouwing en documentatie
AI helpt bij het genereren van technische uitleg, bewijsvoering en reproduceerbare stappen.
Belangrijk is dat AI altijd wordt gecontroleerd door menselijke experts. Het is een versneller, geen vervanger.
Multidisciplinaire onderzoek-teams: specialisten die samenwerken als een team
Moderne cyberaanvallen zijn veelzijdig en beveiligingsonderzoeken worden dat ook. Waar vroeger een onderzoeker een heel onderzoek uitvoerde, werken teams tegenwoordig vaker multidisciplinair. Een goed onderzoekteam bestaat uit specialisten met elk hun eigen focus, zoals:
- Infra-specialisten (netwerken, firewalls, AD-structuren)
- Cloud-experts (Azure, AWS, IAM-configuraties, misconfiguraties)
- Webapplicatie-testers (OWASP Top 10, moderne frameworks)
- API-specialisten
- Mobiele app-testers
- Reverse engineers / exploit-developers
- Social-engineering specialisten
Door deze expertise te combineren ontstaat een realistischer beeld van het aanvalspad, omdat het team complexe ketens kan testen. Bijvoorbeeld: de combinatie van een zwakke API, verkeerde Azure-instellingen en een phishingsimulatie kan leiden tot totale compromittatie.
Met deze multidisciplinaire aanpak sluiten de onderzoeken beter aan op de diversiteit van moderne dreigingen.
Continuous penetration testing en betere integratie met processen
Een duidelijke trend is dat pentesten niet meer worden gezien als een ‘jaarlijkse foto’, maar als onderdeel van een doorlopende beveiligingscyclus. Organisaties willen sneller kunnen testen na updates, grote releases of cloudwijzigingen. Daardoor groeit de vraag naar:
- herhaalbare onderzoek-methodes
- automatische periodieke scans
- inzicht in risico’s op basis van impact
- snellere retests
- duidelijke koppeling met eigen processen, zoals change-management of incidentrespons
Hier sluit het MIAUW-model opnieuw op aan: security gaat over gedrag, processen en samenwerking, niet alleen techniek.
Meer aandacht voor menselijke factoren en social engineering
Veel incidenten beginnen nog altijd bij:
- te goedgelovige medewerkers
- slechte wachtwoordhygiëne
- phishable accounts
- incomplete processen of onduidelijke verantwoordelijkheden
Daarom zien we dat kwetsbaarheidsonderzoeken vaker worden gecombineerd met:
- phishing-simulaties
- awareness-metingen
- fysieke tests (tailgating)
- toetsing van incidentrespons
Hiermee verschuift onderzoek steeds meer naar het testen van weerbaarheid in plaats van alleen technologie.
Beveiligingsonderzoeken ontwikkelen zich snel. De nadruk verschuift van het vinden van technische fouten naar het testen van de hele organisatie: mens, proces en techniek.
Met het MIAUW-model, AI-ondersteuning en multidisciplinaire teams kunnen organisaties beter begrijpen waar hun sterke en zwakke punten liggen en werken aan echte weerbaarheid.