'Verificatiecrisis' in cybersecurity: 70% van de securityteams overspoeld door data
Terwijl bedrijven miljoenen investeren in beveiligingstools, groeit de onmacht om cyberrisico’s daadwerkelijk te beheersen. Ruim 70% van de organisaties krijgt het groeiende aantal kwetsbaarheden niet meer opgelost. De boosdoener? Een explosie aan data zonder dat duidelijk is welk risico echt urgent is.
Uit het Offensive Security Benchmark Report 2026 van het internationale cybersecuritybedrijf Hadrian blijkt dat er een enorme kloof is ontstaan tussen wat tools vinden en wat er daadwerkelijk gerepareerd kan worden. Volgens Rogier Fischer, CEO van Hadrian, bevinden we ons in een 'verificatiecrisis'. Securityteams zien door de bomen het bos niet meer: ze weten dat er lekken zijn, maar kunnen niet vaststellen welke daarvan door hackers te misbruiken zijn.
De verkeerde meetlat
Het onderzoek onder 300 organisaties legt een pijnlijk pijnpunt bloot: we meten de verkeerde zaken. Veel bedrijven sturen op 'discovery-metrics': hoeveel systemen worden gemonitord en hoeveel meldingen komen er binnen? Dit zorgt voor veel activiteit, maar niet voor meer veiligheid.
Slechts een derde van de organisaties meet of het daadwerkelijk exploiteerbare risico afneemt. "Securityprogramma’s blijven tools toevoegen, maar de resultaten verbeteren niet," stelt Fischer. "Teams meten hoeveel ze vinden, niet hoeveel risico ze wegnemen. Dat leidt niet tot sneller herstel, maar tot verlamming."
Ruis op de lijn: 99% is 'valse hoop'
De cijfers uit het rapport zijn onthutsend: slechts 0,47% van de bevindingen uit standaard kwetsbaarheidscanners is in de praktijk daadwerkelijk door hackers te misbruiken. Dit betekent dat securityteams in 99,5% van de gevallen kijken naar ruis.
Dit heeft direct gevolgen voor de herstelsnelheid. Hoewel kritieke lekken gemiddeld in vier dagen worden gedicht als de urgentie glashelder is, blijft de traagste 10% van deze ernstige kwetsbaarheden vaak meer dan vier maanden openstaan. High-severity lekken blijven soms zelfs langer dan een jaar ongemoeid.
| Ernst kwetsbaarheid | Gemiddelde hersteltijd (snel) | Gemiddelde hersteltijd (totaal) | Traagste 10% |
| Kritiek | 4 dagen | 64 dagen | > 4 maanden |
| Hoog | 22 dagen | 139 dagen | > 1 jaar |
Van zichtbaarheid naar helderheid
Het rapport stelt dat de koers in 2026 radicaal moet wijzigen. Om de blootstelling aan cyberaanvallen (exposure) echt te verkleinen, moeten organisaties stoppen met het blindelings opvolgen van scanner-lijstjes. De focus moet verschuiven naar vroege validatie: is dit lek echt te misbruiken door een aanvaller?
Fischer concludeert: "Succes moet gemeten worden aan de hand van hoeveel daadwerkelijk risico wordt weggenomen, niet aan het aantal gegenereerde meldingen." Alleen door verificatie van exploiteerbaarheid kunnen securityteams de focus terugvinden die nodig is om de digitale voordeur echt op slot te houden.
Meer over Security
Over Witold Kepinski
