Penetration Tester
Als Penetration Tester zoek je in opdracht naar zwakke plekken in applicaties, netwerken of cloudomgevingen.
Over deze rol
Als Penetration Tester zoek je in opdracht naar zwakke plekken in applicaties, netwerken of cloudomgevingen. Je werkt binnen een afgesproken kader: wat mag je testen, wanneer, en tot hoe ver ga je. Wat je vindt leg je vast met bewijs, met een inschatting van het risico en met een advies dat het team ook echt kan uitvoeren.
Het werk wisselt sterk per opdracht. De ene week test je een webapplicatie op onderwerpen uit de OWASP Top 10, de andere week kijk je naar het interne netwerk, naar een mobiele app of naar de rechten in een cloudomgeving. Naast de test zelf besteed je veel tijd aan het rapport, want een bevinding die niemand begrijpt wordt niet opgelost.
Deze rol past bij mensen die nieuwsgierig zijn, gestructureerd werken en het prettig vinden om te bewijzen dat iets kan in plaats van het te vermoeden. Certificeringen als OSCP helpen bij het binnenkomen, maar werkgevers kijken minstens zo hard naar hoe je je bevindingen opschrijft.
Salaris per niveau
| Niveau | Werkervaring | Maandsalaris |
|---|---|---|
| Junior | 0-2 jaar | €3.800 – €5.000 |
| Medior | 2-5 jaar | €5.000 – €6.500 |
| Senior | 5-8 jaar | €6.000 – €7.700 |
| Lead / Specialist | 8+ jaar | €7.000 – €9.000 |
Belangrijkste skills
Handige certificeringen
Lijkt op
Doorgroeien naar
Instaprollen
Switchen vanuit
Hoe word je Penetration Tester?
Er zijn meerdere routes. Twee komen we het vaakst tegen:
- Verdiep je in de kerntechnieken: Webapplicatie- en netwerktesten, Burp Suite en Nmap, OWASP Top 10.
- Bouw een portfolio of zijproject om het te laten zien.
- Solliciteer op junior- of medior-rollen en groei door.
- Benut de ervaring die je nu al hebt.
- Leer gericht de skills bij die voor deze rol tellen.
- Maak de overstap, met begeleiding van Matthew.
Bereid je voor: interviewvragen
Hoe zorg je dat een pentest veilig verloopt?
Met duidelijke afspraken vooraf over scope, tijdvenster en contactpersonen, en met een stopregel als er iets misgaat. Ik test alleen wat is afgesproken en houd bij wat ik doe, zodat je achteraf kunt herleiden welke actie van mij kwam en welke niet.
Hoe bepaal je hoe ernstig een bevinding is?
Ik kijk naar wat een aanvaller er daadwerkelijk mee kan en hoe makkelijk het te misbruiken is. Een theoretisch lek in een intern systeem zonder gevoelige gegevens weegt lichter dan een eenvoudige route naar klantgegevens. Ik geef altijd de context erbij, anders wordt een lijst met meldingen op de verkeerde volgorde opgepakt.
Wat maakt een pentestrapport goed?
Dat een ontwikkelaar het kan reproduceren en dat een manager de eerste pagina begrijpt. Ik schrijf dus twee lagen: een samenvatting met de risico's en een technisch deel met stappen, bewijs en een concreet advies. Vage aanbevelingen als beter beveiligen helpen niemand.
Uit de praktijk van Matthew
In de markt zien we dat pentestwerk in Nederland grotendeels bij gespecialiseerde bureaus zit, met een groeiend aantal interne teams bij banken, verzekeraars en overheid. Opvallend is dat kandidaten worden afgewezen op rapportage, niet op techniek. Wat is jouw ervaring?Past Penetration Tester bij jou?
Bespreek het met Matthew. Hij kent de markt, de bedrijven en de vacatures die er nú zijn op matchmatters.nl.
Kandidaten-toolkit
Van CV-check tot salarisvergelijking: tools voor elke stap.
Ontdek je richting
Sollicitatie voorbereiden