Ruim twee derde van de securityteams heeft moeite om het groeiende aantal cyberdreigingen bij te houden. Dat blijkt uit onderzoek van cybersecuritybedrijf Hadrian onder 300 organisaties. De teams beschikken niet over de middelen om te bepalen welke dreigingen urgent zijn. Bijna alle securityprofessionals (95%) zijn ontevreden over hun vermogen om herstelmaatregelen te prioriteren. Dit terwijl organisaties de afgelopen jaren veel hebben geïnvesteerd in beveiligingstools.
Verlamming door teveel data
“Securityteams hebben steeds meer kwetsbaarheden, maar missen de middelen om vast te stellen welke daadwerkelijk exploiteerbaar zijn,” zegt Rogier Fischer, CEO van Hadrian. Het probleem ontstaat door de kloof tussen de hoeveelheid data die tools opleveren en de werkelijke beveiligingspositie. Uit het onderzoek blijkt dat slechts 0,47% van de bevindingen uit kwetsbaarheidscanners daadwerkelijk exploiteerbaar is. Teams raken daardoor bedolven onder ‘ruis’ van valse alarmen.
Verkeerde meetmethoden
De kern van het probleem ligt bij de manier van meten. Slechts een derde van organisaties meet of het werkelijke risico wordt teruggedrongen. De meeste securityprogramma’s sturen nog altijd op oppervlakkige cijfers zoals het aantal gevonden kwetsbaarheden. “Teams meten hoeveel ze vinden, niet hoeveel daadwerkelijk risico ze wegnemen,” aldus Fischer. “Zonder verificatie van exploiteerbaarheid leidt meer data niet tot sneller herstel, maar tot verlamming.”
Lange hersteltijden voor deel problemen
Hoewel teams snel kunnen handelen bij duidelijke urgentie, blijft een deel van de risico’s maandenlang liggen. De gemiddelde hersteltijd voor kritieke kwetsbaarheden is vier dagen, maar loopt op tot 64 dagen gemiddeld. De traagste 10% van kritieke kwetsbaarheden blijft langer dan vier maanden openstaan. Bij minder kritieke problemen kunnen hersteltijden oplopen tot meer dan een jaar. Het cybersecuritybedrijf adviseert organisaties om in 2026 te focussen op helderheid in plaats van alleen zichtbaarheid. Dit betekent vroeg valideren of dreigingen echt exploiteerbaar zijn en succes meten aan weggenomen risico’s.