De industrie besteedde de eerste maanden na de Mythos-onthulling van Anthropic op 7 april aandacht aan volume. Hoeveel nieuwe CVE’s zou Mythos toevoegen aan een toch al overbelaste pijplijn? Hoe snel zou de stroom van AI-gestuurde ontdekkingen de triagemogelijkheden overweldigen? Hoe lang zou het duren voordat tegenstanders de bevindingen van Mythos op grote schaal zouden kunnen inzetten? Die vragen waren en blijven actueel. Toch schieten ze allemaal tekort in het aanpakken van de enige maatstaf die bepaalt of een van deze kwetsbaarheden daadwerkelijk tot een inbreuk leidt: het belichtingsvenster.
De blootstellingsperiode – de periode tussen het moment waarop een kwetsbaarheid kan worden misbruikt en het moment waarop uw team deze repareert – is de tijd die een aanvaller heeft om daadwerkelijke schade aan te richten. Dat venster staat momenteel open ver te breed. In 2025 daalde de gemiddelde uitbraaktijd van e-criminaliteit tot 29 minuten. Zelfs PCI DSS – het strengste compliance-framework in de branche – geeft 30 dagen de tijd om een kritieke kwetsbaarheid te herstellen. Dat is een kloof van 1.000 op 1 tussen hoe snel aanvallers bewegen en hoe snel organisaties geacht worden te reageren. En de stok die dit belichtingsvenster openhoudt? Mobilisatie – het eigenaarschap, het herstel en de organisatorische complexiteit die de responstijden verkorten en het risico verhogen.
In dit artikel leg ik uit waarom het blootstellingsvenster nu de meetwaarde is die er het meest toe doet, wat het openhoudt en hoe AI-gestuurde ontdekking proactieve beveiligingsteams dwingt om de op snelheid gebaseerde meetgegevens over te nemen die SOC-teams al jaren gebruiken.
Mythos heeft het belichtingsvenster niet gemaakt. Het heeft het verbreed.
Het kwetsbaarheidsbeheermodel vertoonde al scheuren voordat Mythos op het toneel verscheen. In 2025 werden 48.185 CVE’s openbaar gemaakt – een stijging van 22% ten opzichte van 2024. De meeste beveiligingsteams verdronken al in hun herstelachterstand. En de huidige prognoses zijn dat er in 2026 66.000 nieuwe CVE’s op de lijst zullen staan. Vaak komt al deze CVE’s in dezelfde herstelpijplijn terecht – afhankelijk van handmatige goedkeuringen, gefragmenteerd eigendom en wijzigingsvensters die zich aanpassen aan het tempo van de bedrijfs-IT – en niet aan het tempo van aanvallers.
Het CTEM-framework van Gartner definieert vijf fasen: scoping, ontdekking, prioritering, validatie en mobilisatie. De eerste drie trappen draaien nu op machinesnelheid. Validatie – die bevestigt dat uw controles daadwerkelijk echte bedreigingen tegenhouden – is verbeterd omdat platforms geautomatiseerde aanvalspadtests hebben. Toch verloopt de mobilisatie nog steeds met organisatorisch tempo.
Recente beleidsstappen erkennen deze ongelijkheid. Opvallend is dat CISA’s BOD 26-04 federale agentschappen verschuift van CVSS-first patching naar exploiteerbaarheid en activacontext (wat CTEM al die tijd heeft opgeroepen). Maar deze richtlijn gaat nog steeds alleen in op de kwetsbaarheden die als eerste moeten worden opgelost. Er wordt niet ingegaan op hoe snel organisaties kunnen mobiliseren om de oplossing uit te voeren. Dit betekent dat het belichtingsvenster nog steeds wijd open blijft.
Waarom mobilisatie het punt is waar programma’s kapot gaan
De kloof tussen weten welke kwetsbaarheid moet worden opgelost en het daadwerkelijk oplossen ervan is een mobilisatieprobleem. Het beveiligingsteam identificeert de blootstelling, en een ander team – een met zijn eigen prioriteiten, zijn eigen wijzigingsvensters, zijn eigen goedkeuringsketens – moet deze verhelpen. Die overdracht is de zachte onderbuik van de meeste CTEM-programma’s. Herstelprocessen van ondernemingen zijn gebouwd voor een pijplijn die met menselijke snelheid beweegt, maar dat geldt niet langer voor elke fase stroomopwaarts van de mobilisatie.
Volgens recent onderzoek duurt het gemiddeld 55 dagen om grote en kritieke kwetsbaarheden in applicaties te herstellen, en blijft bijna de helft van de kwetsbaarheden in ondernemingen na een heel jaar nog steeds niet gepatcht. De meeste organisaties geven sowieso nog steeds geen prioriteit aan herstel op basis van exploiteerbaarheid en bedrijfsimpact. En oudere systemen, OT-omgevingen en productie-infrastructuur kunnen een ernstige impact hebben op het bedrijf als ze offline gaan, dus oplossingen laten vaak op zich wachten. Bovendien hoeven identiteitsrisico’s zoals buitensporige privileges en in de cache opgeslagen inloggegevens niet eens een patch te worden toegepast. Veel bevindingen belanden simpelweg in de wachtrij, zonder dat één team verantwoordelijk is voor het oplossen ervan.
Het punt is dat het blootstellingsvenster open blijft omdat het organisatorische apparaat tussen ‘repareer dit’ en ‘repareer’ weken of maanden nodig heeft om te veranderen, terwijl aanvallers slechts enkele minuten nodig hebben. Wat de vraag oproept: Hoe lang kunnen proactieve beveiligingsteams hun succes blijven meten op een andere klok dan die van aanvallers?
Proactieve teams werken nu op reactieve tijdlijnen
Beveiligingsorganisaties zijn traditioneel opgesplitst in twee operationele modi. SOC-teams – de reactieve kant – houden de verblijftijd, de gemiddelde reactietijd en de insluitingssnelheid bij. Het is hun taak om de schade door bedreigingen die zich al in de omgeving bevinden, te beperken. VM-teams, cloudbeveiligingsteams en netwerkbeveiligingsteams (de proactieve kant) houden de patchdekking bij op ernstniveau of tijd om verkeerde configuraties op te lossen. Hun taak is om de blootstelling te verminderen voordat een aanvaller arriveert.
Het punt is dat AI-gestuurde ontdekkingen beide teams in wezen op dezelfde stopwatch zetten.
Wanneer kwetsbaarheden binnen enkele uren overgaan van openbaarmaking naar bewapening en de uitbraaktijd wordt gemeten in minuten, betekent een driemaandelijks patchpercentage van 90% niets als kritieke activa wekenlang exploiteerbaar zouden blijven terwijl die patches in de wachtrij stonden. Proactieve teams hebben nu dezelfde op snelheid gebaseerde statistieken nodig die het SOC altijd heeft gebruikt, omdat geen enkel herstelproces op zichzelf een uitbraaktijd van 29 minuten kan overschrijden.
Teams moeten accepteren dat het blootstellingsvenster nooit volledig zal sluiten. Integendeel, we moeten het onszelf afvragen Hoe ver kunnen we het dichten, en als een aanvaller door het gat beweegt, hoeveel kritieke activa kunnen hij dan bereiken?
Het verkleinen van de explosieradius
Die bereikbare set activa – de explosieradius – bepaalt het werkelijke bedrijfsrisico. Omdat geen enkele organisatie elke blootstelling kan sluiten met de snelheid waarmee aanvallers zich verplaatsen, moet de prioriteit worden verlegd naar de paden die exploiteerbare blootstelling verbinden met kritieke activa. De Verizon DBIR uit 2026 pleit voor analyse van het aanvalspad, met als doel de ontploffingsradius zichtbaar te maken.
Niet elke blootstelling leidt tot een gevaarlijke situatie. Analyse van het aanvalspad laat zien welke blootstellingen routes openen naar kritieke activa en welke simpelweg doodlopend zijn. Dit beperkt de reikwijdte van de mobilisatie – van een onaf te werken achterstand tot een eindige reeks paden. En zodra teams gaan bijhouden hoe lang kritieke bedrijfsmiddelen bereikbaar blijven, wordt de herstelsnelheid een bedrijfsrisicomaatstaf. Mobilisatie stopt met het openhouden van het blootstellingsvenster en begint het te sluiten.
Mythos heeft je beveiligingsprogramma niet gebroken. Je blootstellingsvenster zou – als je de mobilisatie toestaat – het open kunnen houden.
Opmerking: Dit artikel is zorgvuldig geschreven en bijgedragen voor ons publiek door Ryan Blanchard, directeur Product Marketing, XM Cyber.
