D-10 Handmatige pentest in de laatste 12 maanden door een onafhankelijke, gekwalificeerde tester (bv. CREST of OSCP): web, API's, inloggen, rechten en bedrijfslogica; mobiele apps apart
Waarom
Zonder automatische tests en beveiligingsscans in de pipeline glipt elke fout ongemerkt naar productie.
Hoe we het controleren
Methode: pentest
- Pentest: een pentester valt de app handmatig aan.
Op welk niveau
| Niveau 1 · Basisscan | – niet |
|---|---|
| Niveau 2 · Gekeurd | – niet |
| Niveau 3 · Gekeurd Plus | ● verplicht |
| Niveau 4 · Kritiek | ● verplicht |
Norm of wet
CRA bijlage I deel II (3); OWASP WSTG, MASTG