Ik zie veel goede anonieme reacties zoals Een "pentester" draait zijn vulnerability-scanner, loopt de eventuele 'high' en 'medium' meldingen na... Dat is standaard binnen de overheid puur omdat ze informatiebescherming niet het belangrijkste vinden. Het gaat om de vinkjes (lees pentest) wie het ook doet zodat ze door de audit komen en het vinkje pentest aan kan. en : Gevalletje "we hebben de security instellingen binnen Firebase/Google Cloud niet goed staan"... dat gaat geen enkele pentest aantonen... ja misschien met een dictionary attack met bekende firebase accounts. Maar ja stond dat in de pentest opdracht ? Dan is de manager toch in ieder geval gedekt! En dat zijn heel veel managers binnen de overheid. En ze hebben geen kennis van zaken dus lijkt het voor hun oke en ik neem ze ook niets kwalijk. Ze maken gebruik van de pentesters die hun "CEH" hebben gehaald :-) en deze groep werken vooral binnen de overheid. Dus advies aan overheid: Vergeet de certificaten, zorg voor ervde pentest opdracht ...