Aankoopgids Vulnerability Scanning as a Service

Voor een kleine externe scope van 5 tot 25 adressen betaal je ruwweg €850 tot €1.100 per jaar. Wil je ook intern scannen, dan komt daar een licentie of dienst bij die tussen circa €900 en €4.400 per jaar ligt. Grote omgevingen rekenen vrijwel altijd per IP-adres of per asset, rond €7 per IP per maand, waardoor de prijs meebeweegt met je omvang.

Externe scanning kan binnen enkele dagen draaien, omdat je alleen een lijst met IP-adressen of domeinnamen hoeft aan te leveren. Interne scanning kost meer tijd, reken op twee tot vier weken voor het plaatsen van een appliance of het uitrollen van agents. Geauthenticeerde scans duren het langst om op te zetten, omdat er scan-accounts en toegangsrechten geregeld moeten worden.

Voor externe scanning heb je een scope-lijst nodig en schriftelijke toestemming van de eigenaar van de systemen. Voor interne scanning komen daar netwerktoegang, een plek voor de appliance of agents en firewallregels bij. Draaien je systemen bij een hostingpartij of cloudprovider, controleer dan of scannen in de voorwaarden is toegestaan.

Een vulnerability scan is geautomatiseerd, herhaalt zich en zoekt naar bekende kwetsbaarheden. Een pentest is mensenwerk waarbij een tester kwetsbaarheden combineert, logica-fouten vindt en daadwerkelijk probeert binnen te komen, wat een scanner niet doet. Het prijsverschil is navenant: een Nederlandse aanbieder rekent €1.480 exclusief btw voor een semi-geautomatiseerde scan tegen €2.960 voor een compacte pentest en vanaf €5.040 voor een uitgebreidere pentest. In de praktijk vullen ze elkaar aan.

Noch de Cyberbeveiligingswet noch ISO 27001 schrijft een concrete scanfrequentie voor, dus je bepaalt die zelf op basis van je risicoanalyse. In de praktijk is maandelijks scannen van externe systemen een gangbare ondergrens, en continu scannen het uitgangspunt zodra je omgeving vaak verandert. Voor webapplicaties koppelen organisaties de scan steeds vaker aan elke release in plaats van aan de kalender.

Ja, geautomatiseerd scannen levert altijd meldingen op die bij nader inzien geen risico blijken. Dat is precies waarom de as-a-service-variant bestaat: de leverancier filtert de ruis eruit voordat je de lijst krijgt. Vraag bij offertes expliciet of triage en validatie in de prijs zitten of dat je een onbewerkte scanuitvoer krijgt, want dat scheelt aanzienlijk in de werklast aan jouw kant.

Nee. Kwetsbaarhedenbeheer is één van de maatregelen die de Cyberbeveiligingswet onder de zorgplicht verwacht, maar de wet vraagt daarnaast om registratie bij het NCSC, incidentmelding binnen wettelijke termijnen en aantoonbare verantwoordelijkheid bij de bestuurders. Scanning levert het bewijs dat je kwetsbaarheden systematisch signaleert en opvolgt, en dekt daarmee een deel van de eisen af, niet het geheel.