Geen bewijs. Geen betaling.

Een resultaatafhankelijk model heeft een gezamenlijke definitie van het resultaat nodig. Dat kan bijvoorbeeld een concreet omschreven bewijs zijn dat een afgesproken autorisatiegrens onder de vastgelegde voorwaarden niet wordt gerespecteerd. Welk gevolg, welke ernst en welke reproduceerbaarheid voldoende zijn, wordt vóór de start bepaald. Bekende bevindingen en al geaccepteerde risico's worden eveneens gecategoriseerd. Zo weten beide partijen of een later bewijs bij het afgesproken doel hoort of slechts een aanvullende waarneming vormt.

Het vaste bedrag betreft dit schriftelijk gedefinieerde resultaat en de afgesproken testomvang. Wordt het vereiste bewijs niet binnen dit kader geleverd, dan is er geen resultaatafhankelijke pentestvergoeding verschuldigd. Een bevinding buiten de scope leidt niet automatisch tot een aanspraak op betaling. Extra analyses, herstel of retests worden alleen in opdracht gegeven via een afzonderlijke, uitdrukkelijke overeenkomst. Het model moet een duidelijke economische basis bieden, en geen onbepaalde verwachting dat elke technische afwijking al een succes vormt.

Vóór aanvang worden doelsystemen, toegestane startpunten, testaccounts en het tijdvenster vastgelegd. Rechten op systemen of platformen van derden moeten geregeld zijn. Ook contactpersonen, meldroutes en voorwaarden voor een onderbreking worden afgesproken. De prikkel van een resultaatbewijs verandert niets aan deze regels. Een test mag noch eigenmachtig naar andere systemen worden uitgebreid, noch met niet-goedgekeurde methoden worden voortgezet, alleen om het gedefinieerde doel te bereiken.

Bewijs wordt beperkt tot wat nodig is voor de beoordeling. Waar een voorbereide testdataset een effect kan tonen, hoeven daarvoor geen gegevens van andere klanten te worden gebruikt. Gevoelige resultaten worden via afgesproken kanalen gedeeld met bevoegde contactpersonen. Voor geschilpunten over de beoordeling wordt vooraf een gezamenlijke toetsingsprocedure afgesproken. Zo kan de resultaatbeslissing worden genomen aan de hand van criteria en documentatie, in plaats van pas aan het einde uiteenlopende opvattingen over de betekenis van een bevinding te moeten samenbrengen.

Result as a Service is geschikt voor doelen die zich duidelijk laten afbakenen en aantonen. Dat kunnen gedefinieerde vraagstukken zijn in SaaS, API's, legacysoftware of infrastructuur onder verantwoordelijkheid van de klant. Bij AI-applicaties vereisen variabele uitvoer en meerdere betrokken componenten bijzonder precieze bewijscriteria. Of het model bij uw project past, wordt daarom vóór een toezegging getoetst. Algemene inventarisatie, volledige auditdekking en een enkel resultaatafhankelijk testdoel zijn verschillende diensten.

Een test zonder het afgesproken bewijs betekent niet dat het systeem in het algemeen vrij is van kwetsbaarheden. De uitspraak blijft beperkt tot scope, versie en tijdvenster. Ook een geslaagd bewijs is in eerste instantie het startpunt voor het herstel. De technische documentatie moet uw team in staat stellen oorzaak en gevolg te begrijpen en de correctie te plannen. Een daaropvolgende retest kan gericht toetsen of de concrete kwetsbaarheid in de nieuwe versie is verholpen; de omvang daarvan wordt afzonderlijk vastgelegd.