Wat is het verschil tussen het externe en het interne aanvalsoppervlak?

Het externe aanvalsoppervlak omvat alles wat vanaf het internet bereikbaar is, zoals domeinen, subdomeinen en cloud-endpoints. Het interne aanvalsoppervlak betreft systemen binnen het eigen netwerk die alleen zichtbaar zijn voor wie al toegang heeft.

Hoe vaak moet het externe aanvalsoppervlak gescand worden?

Dat hangt af van het risicoprofiel. Voor doorlopende bewijsvoering is een vaste, herhaalde cadans belangrijker dan de exacte frequentie: een maandelijkse externe scan laat over de tijd zien dat de basis op orde blijft; een eenmalige scan geeft één momentopname.

Is monitoring van het externe aanvalsoppervlak verplicht onder NIS2?

NIS2 en de Cyberbeveiligingswet zijn techniekneutraal: ze eisen passende maatregelen en aantoonbare risicobeheersing en laten de invulling aan de organisatie. Periodieke, herleidbare monitoring van buitenaf is een praktische manier om die bewijslast doorlopend te leveren.

Wat maakt een monitoringrapport auditbestendig?

Een rapport houdt stand bij een audit als elke bevinding herleidbaar is naar concreet bewijs, zoals een IP-adres of CVE-nummer, en als het rapport digitaal verzegeld is met een tijdstempel dat wijzigingen na de scandatum uitsluit.

Waarom is OpenKAT relevant voor de betrouwbaarheid van een scan?

OpenKAT is opensource en de scanlogica is publiek controleerbaar, waardoor een auditor een bevinding zelf kan nalopen. Exposentry bouwt zijn monitoring op deze scanner.

Back to knowledge base

Extern aanvalsoppervlak monitoring: bewijs voor uw auditor

Published on August 23, 2026

Bij de eerste externe scan van een organisatie duikt geregeld een lijst assets op die niemand meer op de radar had: een testomgeving die nooit is afgesloten, een subdomein van een oude campagne, een beheerinterface die vanaf het internet bereikbaar blijkt. Extern aanvalsoppervlak monitoring, ook wel External Attack Surface Management (EASM), maakt precies dat zichtbaar: het scant herhaald en van buitenaf alles wat een organisatie aan het internet toont, met dezelfde blik als een aanvaller. Dit artikel gaat over de inzet daarvan als bewijsinstrument: hoe u van externe metingen rapportage maakt die standhoudt tegenover een auditor, bestuurder of opdrachtgever.

Hoe het zich verhoudt tot een kwetsbaarhedenscan en een pentest

De begrippen overlappen, en dat zorgt voor spraakverwarring. Een kwetsbaarhedenscan toetst bekende systemen op bekende kwetsbaarheden. Een pentest laat een specialist gericht inbreken op een afgebakende scope, als momentopname. Monitoring van het externe aanvalsoppervlak voegt daar twee dingen aan toe: het ontdekt óók de assets die u zelf niet had opgegeven, en het herhaalt de meting op een vaste cadans, zodat een reeks metingen ontstaat die ontwikkeling over de tijd laat zien. Voor de bredere uitleg van EASM in de context van MKB en leveranciersketens is er het artikel EASM: het aanvalsoppervlak van MKB en keten; dit stuk richt zich op de bewijskant.

Wanneer is externe monitoring nodig?

Interne scans kijken vanuit het netwerk en missen daardoor wat een buitenstaander ziet: vergeten subdomeinen, verlopen certificaten, diensten die per ongeluk publiek staan. Externe monitoring wordt een randvoorwaarde zodra één van deze situaties speelt:

de organisatie draait op cloud-diensten en SaaS, waardoor het aanvalsoppervlak buiten het eigen netwerk ligt;
er is een keten van leveranciers met toegang tot systemen of data, waarover u onder de ketenzorgplicht verantwoording aflegt;
de organisatie valt onder de Cyberbeveiligingswet of moet aan opdrachtgevers aantonen dat de basis op orde is.

Periodieke handmatige tests blijven daarnaast waardevol voor wat geautomatiseerde scans missen, zoals fouten in bedrijfslogica.

Wat een externe scan vindt

De bevindingen zijn concreet en van buitenaf verifieerbaar: open poorten en diensten die niet publiek horen te staan, misconfiguraties zoals een verkeerd ingesteld certificaat of ontbrekende beveiligingsheaders, ongepatchte software met een bekend CVE-nummer, en schaduw-IT die buiten het zicht van de IT-afdeling is opgezet. Hoe zulke vergeten assets ontstaan en wat dat betekent voor uw naleving, staat in het artikel over schaduw-IT en het externe aanvalsoppervlak.

Zo richt u het in

Een monitoringtraject bouwt u niet vanuit een tool, maar vanuit een proces. Vijf stappen:

Nulmeting en scope. Leg vast welke domeinen, subdomeinen en IP-reeksen tot de organisatie horen en documenteer die scope met een herleidbare technische registratie.
Vaste cadans. Kies een herhaalfrequentie die past bij het risicoprofiel en houd die aantoonbaar vol; de reeks rapporten ís de bewijsvoering.
Risicoscoring. Een kritiek CVE op een publiek bereikbare dienst vraagt om reactie binnen dagen; een verlopen certificaat op een marketingsite kan naar de volgende sprint.
Eigenaarschap en opvolging. Wijs per bevinding een eigenaar aan en agendeer de opvolging in uw eigen werkproces, zodat niets in een los rapport blijft liggen.
Rapportage naar bestuur en auditor. Vertaal bevindingen naar een overzicht dat een bestuurder snel begrijpt, met het onderliggende bewijs beschikbaar voor wie doorvraagt.

Wat maakt een rapport auditbestendig?

Hier komt het onderscheid tussen papier en meting samen. Een beleidsdocument zegt dat de systemen gepatcht zijn; een externe meting laat zien of dat buiten ook zo is. Drie kenmerken bepalen of monitoringrapportage dat verschil kan dragen:

Herleidbaarheid. Elke bevinding voert terug op een technisch waarneembaar detail: een IP-adres, domein, HTTP-respons of CVE-nummer.
Verzegeling met tijdstempel. Een rapport dat na de scandatum aantoonbaar ongewijzigd is, voorkomt discussie over de geldigheid van het bewijs.
Externe reproduceerbaarheid. Een derde partij kan de waarneming van buitenaf zelf herhalen.

Artikel 21 van de NIS2-richtlijn vraagt passende maatregelen en aantoonbare risicobeheersing en laat de bewijsvorm open. Deze lat komt uit de auditpraktijk, waar herleidbaar en reproduceerbaar bewijs het gesprek met een auditor aanzienlijk eenvoudiger maakt dan een samenvattende score. Opensource-transparantie helpt daarbij: omdat de scanlogica van OpenKAT publiek controleerbaar is, kan een auditor nalopen waarom een bevinding als kritiek is gemarkeerd. Hoe die verzegeling praktisch werkt (een PAdES-handtekening met een onafhankelijk RFC3161-tijdstempel), staat in zo controleert u of een securityrapport echt is.

Dezelfde lat voor leveranciers

Onder de Cyberbeveiligingswet leggen organisaties ook verantwoording af over hun toeleveranciers. Externe metingen geven een opdrachtgever daarbij meer houvast dan een zelf ingevulde vragenlijst, omdat de leverancier ze niet zelf opstelt: dezelfde scan die het eigen aanvalsoppervlak bewaakt, kan bij leveranciers zichtbaar maken of hun externe basisbeveiliging op orde is. Zo groeit monitoring van een intern IT-hulpmiddel naar een instrument voor ketenbeheer.

Wat kost het?

Reken op twee soorten investering. De dienst zelf: een eenmalige nulmeting is er vanaf € 495, doorlopende monitoring vanaf € 249 per maand (zie de prijzenpagina voor de varianten). En interne tijd: reken na de eerste opschoonronde op enkele uren per maand voor het beoordelen en beleggen van bevindingen. Die investering levert een reeks auditbestendige rapporten op; een losse test tegen dagtarief beantwoordt een andere vraag en geeft één momentopname.

Waar Exposentry past

Exposentry levert monitoring van het externe aanvalsoppervlak voor organisaties die bewijs nodig hebben: een eerste volledige scan, daarna maandelijkse herscans, met per ronde een rapport dat cryptografisch is ondertekend met een onafhankelijk tijdstempel. De scans draaien op OpenKAT, de opensource scanner die binnen de Nederlandse overheid is ontwikkeld; Exposentry is daarop gebouwd en oprichter Edward Hasekamp draagt bij aan OpenKAT. Exposentry voert zelf geen herstelwerk uit, waardoor het rapport geen commercieel vervolgbelang dient en geloofwaardig blijft richting bestuur, klant en auditor. Een gratis securityscan laat zien wat een buitenstaander vandaag van uw domein ziet.

Bronnen

Verder lezen

Geschreven door Edward Hasekamp, oprichter van Exposentry en collaborator op het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.