Cyberbeveiliging heeft een nieuwe prestatiemaatstaf nodig: zo verandert de meetmethode.

De meetmethoden voor cyberbeveiliging zijn in de loop der jaren aanzienlijk geëvolueerd. Leiders op het gebied van cyberbeveiliging kunnen vaak de tijd kwantificeren die nodig is om een ​​inbreuk te detecteren, een aanval in te dammen en de normale bedrijfsvoering te herstellen. Deze cijfers bieden raden van bestuur een duidelijke manier om de vooruitgang te beoordelen en geven hen de zekerheid dat investeringen in beveiliging daadwerkelijk tot verbeteringen leiden.

Metrics zoals Mean Time to Detection (MTTD) en Mean Time to Response (MTTR) hebben aan belang gewonnen. Ze geven een duidelijk beeld van hoe effectief beveiligingsteams presteren wanneer er iets misgaat en hebben bijgedragen aan een verbeterde incidentrespons in de hele sector.

Het probleem is niet dat deze meetmethoden onjuist zijn. Ze zijn ontworpen voor een ander tijdperk, waarin technologie langzamer veranderde, aanvalsmethoden zich over langere perioden ontwikkelden en kunstmatige intelligentie nog geen rol speelde.

Bedrijven introduceren tegenwoordig in een ongekend tempo nieuwe technologieën. Kunstmatige intelligentie dringt door in organisaties, cloudcomputingomgevingen blijven zich uitbreiden en bedrijven zijn meer dan ooit met elkaar verbonden. Tegelijkertijd passen aanvallers hun technieken voortdurend aan en maken ze vrijwel direct gebruik van nieuwe tactieken en tools zodra deze verschijnen.

CISO's en raden van bestuur moeten het veranderende dreigingslandschap en risicoprofiel dynamisch evalueren en zich afvragen of de meetmethoden waarop ze jarenlang hebben vertrouwd, nog steeds alles vertellen wat ze moeten weten.

Het verschil erkennen

Elk bedrijf wil aanvallen sneller detecteren, effectiever indammen en met minimale verstoring herstellen. Daarom blijven MTTD- en MTTR-statistieken waardevolle operationele meetinstrumenten. Ze laten zien hoe effectief het beveiligingsteam heeft gepresteerd nadat zich een incident had voorgedaan.

Maar het vertelt ons niet of bedrijven beter voorbereid zijn op wat komen gaat, veerkrachtiger zijn geworden en wendbaarder zijn in hun herstel. Dit is belangrijk, omdat cyberrisico's blijven evolueren, zelfs nadat een incident is ingedamd.

Uit het onderzoek van de Britse overheid naar cyberaanvallen in 2025/2026 bleek dat 43% van de Britse bedrijven in het voorgaande jaar te maken had gehad met een cyberaanval of inbreuk op de beveiliging.

Dit onderstreept dat beveiligingsteams opereren in een omgeving waar incidenten steeds vaker voorkomen, zowel binnen hun eigen organisatie als die van een leverancier. Een goede reactie is belangrijk, maar veerkracht is gebaseerd op alles wat er gebeurt vóórdat incidenten zich voordoen.

Een bedrijf kan zich snel herstellen van een aanval, maar het kan maanden duren om het beveiligingsbeleid te herzien, de risico's bij leveranciers opnieuw in te schatten of de controles aan te scherpen naar aanleiding van de opgedane kennis. Tegen de tijd dat deze veranderingen zijn doorgevoerd, zal het dreigingslandschap alweer veranderd zijn.

Traditionele meetmethoden laten zien hoe snel een bedrijf reageert op een incident. Maar ze vertellen ons niet hoe snel het bedrijf leert van het incident, of hoe snel het zich aanpast.

overbruggen van de kloof

Om deze kloof in paraatheid te dichten, moeten onze meetmethoden ook evolueren. Veerkracht wordt niet langer alleen bepaald door hoe goed een bedrijf reageert op geïsoleerde incidenten, maar ook door hoe snel het zich aanpast aan voortdurende veranderingen.

Ik denk dat organisaties naast de criteria die we al kennen, ook een ander criterium in overweging moeten nemen: de gemiddelde aanpassingstijd (MTTA).

MTTA houdt rekening met de tijd die nodig is om een ​​betekenisvolle verandering in het dreigingslandschap te herkennen en die kennis in actie om te zetten.

Soms is deze actie technisch van aard. Het kan bijvoorbeeld betekenen dat de regels die beveiligingstools gebruiken om nieuwe aanvalstechnieken te detecteren, worden bijgewerkt. Of het kan gaan om het beperken van de toegang tot kritieke systemen nadat een ernstige kwetsbaarheid is ontdekt. ​​Het kan ook een proactieve evaluatie zijn van de lessen die zijn geleerd na een aanval op een andere organisatie of sector, om de kwetsbaarheden van de eigen organisatie te begrijpen.

In andere gevallen is de reactie eerder organisatorisch dan technisch van aard. Dit kan bijvoorbeeld een herziening van het bestuur inhouden, een wijziging in de manier waarop cyberrisico's aan de raad van bestuur worden gerapporteerd, of een actualisering van de bewustwordingsprogramma's voor medewerkers om de nieuwste tactieken van aanvallers te weerspiegelen.

In beide gevallen hangt veerkracht van beide factoren af. Robuustere beveiligingsprogramma's combineren technologische verbeteringen met organisatorische veranderingen, waardoor bedrijven veranderingen snel kunnen herkennen en erop kunnen reageren.

Het overbruggen van deze kloof is daarom niet louter een technische uitdaging. Het hangt af van besluitvorming, leiderschap en de bereidheid om voortdurend te onderzoeken of de huidige aannames nog steeds geldig zijn. Bedrijven die zich goed aanpassen, gaan er zelden van uit dat hun huidige beveiligingsprogramma compleet is. In plaats daarvan verwachten ze dat het meegroeit met de veranderende omgeving.

Deze denkwijze wordt steeds vaker weerspiegeld in de bredere sector. Zo plaatst het Cyber ​​Assessment Framework van het National Cyber ​​Security Centre governance , risicomanagement en continue verbetering centraal in cyberweerbaarheid. Het erkent dat beveiliging een voortdurende organisatorische vaardigheid is, geen eenmalige prestatie.

Een ander gesprek in de vergaderruimte.

Als paraatheid en aanpassingsvermogen een belangrijkere maatstaf voor veerkracht worden, zal dat de aard van de gesprekken in de directiekamer veranderen.

De meeste managers ontvangen al regelmatig updates over incidenten, phishingactiviteiten en reactietijden. Deze rapporten blijven belangrijk, maar ze laten niet altijd zien hoe goed het bedrijf zelf op veranderingen reageert.

De discussie moet nu verder gaan dan operationele rapporten en meer aandacht besteden aan MTTA (Mean Time To Awareness). Dit biedt raden van bestuur een manier om te meten hoe snel een organisatie reageert op veranderingen, in plaats van alleen hoe effectief ze incidenten afhandelt.

In de praktijk betekent dit dat er andere vragen gesteld moeten worden. Hoe snel herziet het bedrijf de risico's wanneer een grote nieuwe dreiging opduikt? Hoe lang duurt het voordat nieuwe informatie het beveiligingsbeleid beïnvloedt? Hebben de lessen die zijn geleerd uit recente aanvallen de manier waarop de organisatie opereert fundamenteel veranderd, of zijn ze alleen maar vastgelegd en gearchiveerd?

Door aanpassing te meten in plaats van alleen reactie, kunnen organisaties deze vragen met meer zekerheid beantwoorden en een breder beeld van veerkracht schetsen.

Dit is niet alleen een vraag voor beveiligingsteams. Het hangt af van leiderschap, governance en de bereidheid van het hele bedrijf om beslissingen te nemen naarmate de risico's zich blijven ontwikkelen.

Meten wat ertoe doet

MTTD en MTTR blijven waardevolle meetinstrumenten voor operationele prestaties. Maar als organisaties hun werkelijke veerkracht willen begrijpen, moeten ze ook weten hoe snel ze zich kunnen aanpassen.

De MTTA vult deze leemte op. Het zal de bestaande cybersecurity-meetmethoden niet vervangen, maar juist verbeteren door een capaciteit te meten die steeds belangrijker wordt naarmate technologie, kunstmatige intelligentie en cyberdreigingen zich blijven ontwikkelen.

Dit is hét moment voor MTTA om te schitteren.

We hebben de beste endpointbeveiligingssoftware besproken.