Wat zijn de gemiddelde kosten van red teaming in Nederland?

Voor red teaming bestaan geen vaste tarieven. Aanbieders gebruiken verschillende methodieken en de inhoud van een assessment wordt afgestemd op de organisatie.

Openbare Nederlandse marktindicaties geven de volgende globale prijsniveaus. Het gaat om richtbedragen, niet om vaste tarieven van Defenced.

Deze bedragen zijn indicatieve marktprijzen exclusief btw. De uiteindelijke prijs kan hoger of lager uitvallen afhankelijk van de opdracht. Voor TIBER en TLPT is geen algemeen geldende minimumprijs vastgesteld.

De prijsverschillen ontstaan doordat niet iedere aanbieder dezelfde werkzaamheden onder red teaming verstaat. Een korte test op één aanvalspad en een langdurig traject met meerdere scenario's kunnen allebei als red teaming worden aangeboden.

Vergelijk daarom altijd de scope, testduur, ervaring van de specialisten, rapportage en nazorg voordat je offertes uitsluitend op prijs beoordeelt.

Hoe beïnvloedt de scope de kosten van red teaming?

De scope bepaalt welke onderdelen van je organisatie worden onderzocht en welke doelen het red team moet proberen te bereiken. Dit heeft grote invloed op de benodigde voorbereiding, expertise en testtijd.

Bij het bepalen van de scope begint het onderzoek met de kritieke bedrijfsprocessen. Welke systemen of gegevens mogen niet toegankelijk worden voor onbevoegden? Welke processen moeten beschikbaar blijven?

Voor een logistieke organisatie kan dat het planningssysteem zijn. Bij een productiebedrijf kan het gaan om de beveiliging van operationele technologie, ook wel OT genoemd. Een zorginstelling heeft mogelijk vooral belang bij de bescherming van patiëntgegevens en de beschikbaarheid van zorgsystemen.

Vervolgens wordt bekeken welke systemen, netwerken, locaties en gebruikersaccounts onderdeel zijn van het onderzoek.

Een organisatie met één kantoor en een grotendeels cloudgebaseerde infrastructuur heeft doorgaans een andere testomgeving dan een bedrijf met meerdere vestigingen, eigen datacenters en industriële installaties.

Hoe groter en complexer de omgeving, hoe meer tijd nodig kan zijn om relevante aanvalspaden te onderzoeken. Een grotere scope leidt daarom vaak tot hogere kosten.

Welke aanvalstechnieken maken red teaming duurder?

Een red teaming assessment kan verschillende aanvalstechnieken combineren. Welke technieken worden ingezet, hangt af van het dreigingsbeeld en de afspraken over de test.

Een digitaal aanvalsscenario kan bijvoorbeeld bestaan uit het misbruiken van kwetsbaarheden, het verkrijgen van toegang tot gebruikersaccounts en het onderzoeken van mogelijkheden om verder binnen een netwerk te komen.

Wanneer ook fysieke beveiliging wordt onderzocht, komen daar extra werkzaamheden bij. Een mystery guest onderzoek vraagt bijvoorbeeld voorbereiding, locatieverkenning en uitvoering op locatie.

Hetzelfde geldt voor social engineering. Een gerichte phishingaanval op enkele medewerkers vraagt een andere aanpak dan een uitgebreid scenario waarin meerdere afdelingen of communicatiemiddelen worden betrokken.

Door de aanvalsscenario's zorgvuldig te selecteren, voorkom je dat het budget wordt besteed aan onderzoek dat weinig nieuwe informatie oplevert.

Waarom heeft de testduur zoveel invloed op de prijs?

De inzet van gespecialiseerde securityprofessionals vormt een belangrijk deel van de kosten van red teaming.

Een reguliere pentest is vaak gericht op het identificeren van kwetsbaarheden binnen een relatief korte onderzoeksperiode. Red teaming richt zich op een specifiek aanvalsdoel en onderzoekt daarnaast of beveiligingsmaatregelen de aanval herkennen en stoppen.

Daarom moet een red team soms langduriger en minder opvallend te werk gaan. Het team onderzoekt verschillende mogelijkheden, past de aanpak aan wanneer een aanval wordt tegengehouden en probeert binnen de afgesproken grenzen het doel te bereiken.

De kalenderduur van een assessment is daarbij niet hetzelfde als het aantal volledig gefactureerde testdagen. De prijs hangt af van de daadwerkelijke inzet van specialisten tijdens voorbereiding, uitvoering en afsluiting.

Bij uitgebreide TIBER-EU-testen is de actieve red team-fase minimaal twaalf weken. Daar komen voorbereiding, dreigingsanalyse, rapportage en evaluatie nog bij.

Een regulier red teaming assessment hoeft niet dezelfde doorlooptijd te hebben. De benodigde tijd moet passen bij het gekozen scenario en de doelstellingen van de organisatie.

Wat kost de dreigingsanalyse bij red teaming?

Voor een realistische aanvalssimulatie moet duidelijk zijn welke typen aanvallers relevant zijn voor de organisatie en welke technieken zij gebruiken. Dit onderzoek wordt threat intelligence genoemd.

Een assessment kan gebruikmaken van bestaande, generieke dreigingsinformatie of van een uitgebreidere analyse die specifiek voor de organisatie wordt uitgevoerd.

Bij een maatwerkanalyse worden onder andere relevante dreigingsactoren, aanvalstechnieken en mogelijke doelwitten onderzocht. Dat vraagt aanvullende specialistische inzet en verhoogt de kosten.

Binnen TIBER-EU worden gerichte dreigingsinformatie en de uitvoering van de red team-test door afzonderlijke gespecialiseerde partijen verzorgd. Die taakverdeling draagt bij aan de omvang en complexiteit van het traject.

Voor organisaties die geen uitgebreide TIBER-test nodig hebben, kan een beperkter assessment op basis van relevante dreigingsinformatie en een duidelijk afgebakend scenario een passende keuze zijn.

Waarom is een red teaming-test onder DORA duurder?

Voor bepaalde financiële instellingen gelden aanvullende verplichtingen onder de Digital Operational Resilience Act, DORA.

Financiële instellingen die door de bevoegde toezichthouder worden aangewezen, moeten in beginsel minimaal iedere drie jaar een Threat-Led Penetration Test, TLPT, uitvoeren. Deze test richt zich op kritieke of belangrijke bedrijfsfuncties en de ondersteunende productiesystemen.

De uitvoering moet voldoen aan specifieke regels voor voorbereiding, dreigingsanalyse, testuitvoering, veiligheid, rapportage en opvolging. Daarbij worden verschillende partijen betrokken, waaronder gespecialiseerde testers, threat intelligence specialisten en vertegenwoordigers van de organisatie.

Deze aanvullende eisen zorgen voor meer werkzaamheden en een langere doorlooptijd dan bij een regulier assessment. Ook de interne organisatie moet tijd en capaciteit beschikbaar stellen.

Wanneer je organisatie niet onder de TLPT-verplichting valt, hoef je niet automatisch een traject van dezelfde omvang te laten uitvoeren.

Een gericht assessment met een passende scope kan dan voldoende zijn om belangrijke aanvalspaden en de effectiviteit van de verdediging te onderzoeken.

Zijn rapportage en nazorg inbegrepen bij red teaming?

De kosten van een red teaming assessment worden niet uitsluitend bepaald door de actieve aanvalssimulatie. Ook de rapportage, evaluatie en eventuele vervolgtesten vragen tijd.

Een bruikbaar rapport beschrijft welke aanvalspaden zijn gebruikt, welke systemen of processen bereikbaar waren en hoe de verdediging op verdachte activiteiten reageerde.

Daarnaast moet duidelijk worden welke verbetermaatregelen nodig zijn en welke prioriteit deze hebben. Zo kunnen IT- en securityteams gericht werken aan het oplossen van de bevindingen.

Een belangrijk onderdeel van de evaluatie kan een gezamenlijke replay zijn. Tijdens deze sessie doorlopen het Red Team en Blue Team het aanvalsscenario en vergelijken zij de activiteiten van de aanvallers met de beveiligingsmeldingen en reacties van de verdedigers.

Hierdoor wordt inzichtelijk op welke momenten een aanval werd herkend, waar signalen werden gemist en hoe incidentprocedures functioneerden.

Een hertest kan nuttig zijn om te controleren of kwetsbaarheden daadwerkelijk zijn opgelost. Of deze onderdeel is van de oorspronkelijke opdracht, verschilt per aanbieder.

Hoe kun je besparen op een red teaming assessment?

Een beperkt budget betekent niet automatisch dat een realistische cybersecuritytest onmogelijk is. Door de scope en doelstellingen zorgvuldig te kiezen, kun je de kosten beheersen.

Een van de mogelijkheden is een assumed breach assessment. Hierbij begint de test vanuit de aanname dat een aanvaller al toegang heeft verkregen, bijvoorbeeld via een gecompromitteerd gebruikersaccount.

Het red team hoeft daardoor niet eerst zelfstandig de initiële toegang te verkrijgen. De beschikbare tijd kan direct worden besteed aan het onderzoeken van verdere toegang binnen het netwerk en de effectiviteit van detectie en incidentrespons.

Een assumed breach assessment is niet hetzelfde als een volledige red teaming-test. Je onderzoekt namelijk niet alle fasen van een realistische aanval. Voor organisaties die vooral hun interne detectie en reactie willen testen, kan dit wel een geschikte en beter afgebakende aanpak zijn.

Een andere manier om kosten te beperken is het kiezen van één relevant aanvalsscenario. Daarmee richt je de beschikbare testtijd op de bedrijfsprocessen waarvoor een succesvolle aanval de grootste gevolgen heeft.

Ook is het verstandig om eerst bestaande kwetsbaarheden aan te pakken. Wanneer een reguliere pentest nog veel kritieke beveiligingsproblemen aan het licht brengt, kan het effectiever zijn om deze op te lossen voordat je een red teaming assessment uitvoert.

Bespaar niet uitsluitend op het aantal uren of de tarieven van testers. Hun ervaring en expertise bepalen mede hoe realistisch de aanval wordt uitgevoerd en hoe bruikbaar de resultaten zijn.

Vraag daarom welke specialisten de opdracht uitvoeren, welke ervaring zij hebben en hoe hun expertise aansluit op jouw IT-omgeving en de gekozen aanvalsscenario's.

Waar moet je op letten bij een offerte voor red teaming?

Een goede offerte maakt duidelijk welke werkzaamheden worden uitgevoerd en hoe de prijs tot stand komt. Daarmee kun je verschillende aanbieders op inhoud vergelijken.

Let bij het beoordelen van een offerte op de volgende onderdelen.

Vraag ook hoe de aanbieder omgaat met onafhankelijkheid, vertrouwelijkheid en de veiligheid van de test. Deze aspecten zijn belangrijk wanneer een red team toegang probeert te verkrijgen tot kritieke systemen of gevoelige informatie.

Een vaste prijs zonder duidelijke scope zegt weinig over de inhoud van het assessment. Hetzelfde geldt voor een hoge offerte zonder onderbouwing van de benodigde werkzaamheden. Een transparante prijsopbouw maakt duidelijk waarvoor je betaalt.

Wat is een passend budget voor jouw organisatie?

Het juiste budget voor red teaming hangt af van de risico's die je wilt onderzoeken en de complexiteit van je organisatie.

Een organisatie die vooral wil weten of een aanvaller via een gebruikersaccount toegang tot kritieke systemen kan krijgen, heeft een andere testbehoefte dan een financiële instelling die een uitgebreide TLPT moet uitvoeren.

Bepaal daarom eerst welke bedrijfsprocessen je wilt beschermen, welke dreigingen relevant zijn en wat je met de resultaten wilt bereiken. Daarna kan worden vastgesteld welke onderzoeksmethode, scope en testduur daarbij passen.

Wanneer je basisbeveiliging nog onvoldoende inzichtelijk is, kan een pentest of security assessment een betere investering zijn. Beschik je al over actieve monitoring en incidentrespons, dan kan red teaming juist helpen om de effectiviteit van deze maatregelen te beoordelen.