Every other briefing assumes someone is watching. This one is about the watching itself: the logs, the alerts, the people on duty — in plain language: where it goes dark, what that costs, and the single control that switches the light back on. Elke andere briefing gaat ervan uit dat iemand meekijkt. Deze gaat over het meekijken zelf: de logs, de meldingen, de mensen die dienst hebben — in gewone taal: waar het donker wordt, wat dat kost, en welke maatregel het licht weer aandoet.
Breaches often go unnoticed for weeks — a global median of 14 days, around four months for espionage and insider cases (Mandiant M-Trends 2026) — and almost half are found by someone else: a bank, a customer, the police. The first question is always the same: what did they touch, and since when? The answer lives in logs. If those were never collected, or were overwritten after two weeks to save disk space, the answer is “we do not know”. Every server, cloud account and application writes logs; the question is only whether anyone kept them.
Business impact: without evidence you are left assuming the worst. Every customer record becomes “possibly affected”, every notification becomes maximal, and the regulator hears that we cannot say what happened. Storage for a year of the important logs costs less than one hour of the lawyers who will otherwise be guessing.
Inbreuken blijven vaak weken onopgemerkt — wereldwijd een mediaan van 14 dagen, zo'n vier maanden bij spionage en insiders (Mandiant M-Trends 2026) — en bijna de helft wordt door iemand anders ontdekt: een bank, een klant, de politie. De eerste vraag is altijd dezelfde: wat hebben ze aangeraakt, en sinds wanneer? Het antwoord zit in logs. Als die nooit zijn verzameld, of na twee weken zijn overschreven om schijfruimte te sparen, is het antwoord “we weten het niet”. Elke server, elk cloudaccount en elke applicatie schrijft logs; de vraag is alleen of iemand ze heeft bewaard.
Bedrijfsimpact: zonder bewijs blijft u achter met het slechtste scenario. Elk klantrecord wordt “mogelijk getroffen”, elke melding wordt maximaal, en de toezichthouder hoort dat we niet kunnen zeggen wat er is gebeurd. Een jaar opslag van de belangrijke logs kost minder dan één uur van de advocaten die anders moeten gokken.
This gap is not something an attacker has to work for. Once logs are gone after fourteen days, no amount of AI skill or tooling changes the fact that there is nothing left to analyse, for us or for anyone investigating.Dit gat hoeft een aanvaller niet te verdienen. Zijn logs na veertien dagen verdwenen, dan verandert geen hoeveelheid AI-vaardigheid of tooling iets aan het feit dat er niets meer te analyseren valt, voor ons of voor wie er onderzoek naar doet.
An insider or a compromised admin account with an AI scripting agent can selectively purge specific log entries in seconds instead of waiting out the retention window, actively covering tracks rather than relying on chance.Een insider of een overgenomen beheerdersaccount kan met een AI-scriptagent in seconden specifieke logregels selectief wissen in plaats van de bewaartermijn af te wachten, en zo actief sporen wissen in plaats van op toeval te vertrouwen.
No AI tool restores logs that were never kept. AI does help afterwards, searching a year of retained logs for anomalies far faster than a person, but only once the logs exist to search at all.Geen enkele AI-tool herstelt logs die nooit zijn bewaard. AI helpt wel achteraf, door een jaar aan bewaarde logs veel sneller op afwijkingen te doorzoeken dan een mens, maar alleen als die logs er ook echt zijn.
Buying a monitoring tool produces alerts. It does not produce attention. A typical set-up generates thousands of notifications a day, most of them noise: a disk filling up, a certificate expiring, a user mistyping a password. The one that mattered — a new administrator account created at 02:40 on a Saturday — sits in the same list, in the same colour, and is read on Monday, if at all. Attackers know office hours. They work weekends and holidays on purpose.
Business impact: a tool without people is a receipt, not a defence. It proves afterwards that the warning was there. The real cost is the gap between “detected” and “seen”: for most organisations that gap is the weekend, and a weekend is enough to encrypt everything.
Een monitoringtool kopen levert meldingen op. Het levert geen aandacht op. Een gemiddelde opstelling produceert duizenden meldingen per dag, meestal ruis: een schijf die vol raakt, een certificaat dat verloopt, een gebruiker die zijn wachtwoord verkeerd typt. De melding die telde — een nieuw beheerdersaccount aangemaakt om 02:40 op een zaterdag — staat in dezelfde lijst, in dezelfde kleur, en wordt maandag gelezen, als het meezit. Aanvallers kennen kantooruren. Ze werken met opzet in het weekend en op feestdagen.
Bedrijfsimpact: een tool zonder mensen is een kassabon, geen verdediging. Het bewijst achteraf dat de waarschuwing er was. De echte kosten zitten in het gat tussen “gedetecteerd” en “gezien”: voor de meeste organisaties is dat gat het weekend, en een weekend is genoeg om alles te versleutelen.
AI lets attackers generate many malware variants and test each one against common detection rules before deployment, tuning timing and behaviour to blend into the thousands of routine alerts the SOC already tunes out.AI laat aanvallers veel malwarevarianten genereren en elke variant vooraf testen tegen veelgebruikte detectieregels, en zo timing en gedrag afstemmen om op te gaan in de duizenden routinemeldingen die het SOC toch al negeert.
As SOC teams lean on AI assistants to triage alerts, a log entry crafted with hidden text can trick that assistant into summarising the one real event, the new admin account at 02:40, as routine.Nu SOC-teams voor triage op AI-assistenten leunen, kan een logregel met verborgen tekst die assistent misleiden om de ene echte gebeurtenis, het nieuwe beheerdersaccount om 02:40, als routine te bestempelen.
AI can rank and correlate thousands of daily alerts and surface the handful that matter, letting a much smaller night shift keep watch. Someone still has to be paid and woken up when it fires.AI kan duizenden dagelijkse meldingen rangschikken en met elkaar verbinden en de paar die ertoe doen naar boven halen, zodat een veel kleinere nachtploeg kan meekijken. Iemand moet nog steeds betaald worden en wakker gebeld als het afgaat.
Monitoring grew up around the office network and the laptops, because that is where the tools worked first. Meanwhile the business moved: to cloud accounts, to a hundred SaaS tools, to the production line whose controllers run software from 2009 and cannot send a log anywhere. The sign-in logs of the identity provider and SaaS audit logs are often missing too; some are kept only 7 to 30 days unless exported or licensed higher. Ask for the coverage map and the honest answer is often “we see about half”. Attackers find the other half quickly, because it is also the half nobody patches.
Business impact: the board hears “we have monitoring” and assumes it means everything. A breach in the unmonitored half can last months rather than hours, and is often found by an outsider. The first step is not more tooling; it is a one-page map that says, per system, watched or not watched, and who signed off on the “not”.
Monitoring is opgegroeid rond het kantoornetwerk en de laptops, omdat de tools daar het eerst werkten. Ondertussen verhuisde het bedrijf: naar cloudaccounts, naar honderd SaaS-tools, naar de productielijn waarvan de besturingen software uit 2009 draaien en nergens een log naartoe kunnen sturen. Ook de inloglogs van de identiteitsprovider en de auditlogs van SaaS ontbreken vaak; sommige worden maar 7 tot 30 dagen bewaard, tenzij geëxporteerd of met een hogere licentie. Vraag om de dekkingskaart en het eerlijke antwoord is vaak “we zien ongeveer de helft”. Aanvallers vinden de andere helft snel, want dat is ook de helft die niemand patcht.
Bedrijfsimpact: de directie hoort “we hebben monitoring” en neemt aan dat het alles dekt. Een inbreuk in de onbewaakte helft kan maanden duren in plaats van uren, en wordt vaak door een buitenstaander gevonden. De eerste stap is niet meer tooling; het is een kaart van één pagina die per systeem zegt: bewaakt of niet bewaakt, en wie het “niet” heeft afgetekend.
AI-powered external attack-surface scanning maps an organisation's exposed cloud accounts, SaaS integrations and forgotten legacy systems within hours, pointing an attacker straight at the half of the estate nobody is watching.AI-gestuurde scans van het externe aanvalsoppervlak brengen binnen enkele uren de blootgestelde cloudaccounts, SaaS-koppelingen en vergeten legacysystemen in kaart, en wijzen een aanvaller recht naar de helft die niemand bewaakt.
Employees connect unsanctioned AI tools to company mail and drives through a one-click permission grant, and every action that tool takes is logged only in the AI vendor's own SaaS console, a source nobody on our side collects.Medewerkers koppelen ongeautoriseerde AI-tools aan bedrijfsmail en -schijven via één toestemmingsklik, en elke actie van die tool wordt alleen gelogd in de SaaS-console van de AI-leverancier zelf, een bron die wij aan onze kant niet verzamelen.
AI-driven asset-discovery tools compare what is actually watched against what exists across cloud and SaaS, surfacing the gap in hours instead of a manual survey. Someone still has to sign off on the coverage map.AI-gestuurde asset-discoverytools vergelijken wat werkelijk wordt bewaakt met wat er daadwerkelijk bestaat in cloud en SaaS, en tonen het gat binnen uren in plaats van via een handmatige inventarisatie. Iemand moet de dekkingskaart nog altijd aftekenen.
Detection is only half a control. The alert fires, becomes a ticket, lands in a queue with a priority someone set years ago, and waits. The person who could isolate the machine is not the person who saw the alert, and neither of them is sure they are allowed to pull a server off the network on a Friday evening. So it waits until Monday. The attacker did not wait.
Business impact: the difference between a contained incident and a company-wide one is usually measured in hours, and it is decided by two things: whether someone is on duty, and whether they have written permission to act without asking. Both are decisions for this room, not for the tool.
Detectie is maar een halve maatregel. Het alarm gaat af, wordt een ticket, landt in een wachtrij met een prioriteit die iemand jaren geleden heeft ingesteld, en wacht. De persoon die de machine kan isoleren is niet degene die het alarm zag, en geen van beiden weet zeker of hij op vrijdagavond een server van het netwerk mag halen. Dus wacht het tot maandag. De aanvaller wachtte niet.
Bedrijfsimpact: het verschil tussen een beheerst incident en een bedrijfsbreed incident wordt meestal in uren gemeten, en wordt door twee dingen bepaald: of er iemand dienst heeft, en of die schriftelijk toestemming heeft om te handelen zonder te vragen. Beide zijn beslissingen voor deze vergaderzaal, niet voor de tool.
Once inside, AI-driven post-exploitation tools keep working through the weekend without a human operator, using the sixty-two hours between a Friday alert and a Monday ticket to spread and exfiltrate far more than a person could alone.Eenmaal binnen blijven AI-gestuurde post-exploitatietools het hele weekend doorwerken zonder menselijke operator, en gebruiken ze de tweeënzestig uur tussen een vrijdagalarm en een maandagticket om veel meer te verspreiden en te stelen dan een mens alleen zou kunnen.
If an AI agent is given standing authority to isolate machines, a prompt injected through a crafted file name or log field can trick it into isolating a decoy instead, burning the response window on the wrong target.Krijgt een AI-agent vaste bevoegdheid om machines te isoleren, dan kan een prompt die via een bewerkte bestandsnaam of logveld wordt binnengesmokkeld hem verleiden een lokaas te isoleren in plaats van het echte doelwit, waardoor het reactievenster verloren gaat.
AI can pre-stage the isolation playbook and cut the time to a recommendation to minutes. Someone still needs written authority to act on it at three in the morning without asking permission first.AI kan het isolatiedraaiboek alvast klaarzetten en de tijd tot een aanbeveling terugbrengen tot minuten. Iemand heeft nog steeds schriftelijke bevoegdheid nodig om er om drie uur 's nachts naar te handelen zonder eerst te vragen.
| Control | Fixes | In one line |
|---|---|---|
| Central log store | Logs (01) | Every key system sends its logs to one place that an attacker cannot edit, kept for at least a year. |
| Ten detections | Alerts (02) | A short, written list of the events that matter to us: new administrator, backup deleted, login from a new country, gigabytes leaving. Everything else is a report, not an alarm. |
| 24/7 monitoring | Alerts (02), Response (04) | Someone awake and watching at 02:40, in-house or a managed provider. The contract says who acts within how many minutes, not just who emails. |
| EDR everywhere | Alerts (02), Blind spots (03) | EDR: software on every endpoint and server that spots attacker behaviour and reports to the same place as the logs. |
| Coverage map | Blind spots (03) | One page: every system, including identity provider and SaaS audit logs, watched or not, and a signature under every “not”. Mapping the detections to MITRE ATT&CK shows the gaps. Reviewed quarterly. |
| Playbooks and authority | Response (04) | For each of the ten detections, the steps to take and standing permission to isolate a machine or account without asking first. |
| Detection testing | All four | Simulate the attack a few times a year and time how long until someone acts. If nobody notices, that is the finding. |
| Two numbers to the board | All four | Mean time to detect and mean time to respond, every quarter, in hours. The trend matters more than the number. |
| Maatregel | Lost op | In één zin |
|---|---|---|
| Centrale logopslag | Logs (01) | Elk belangrijk systeem stuurt zijn logs naar één plek die een aanvaller niet kan aanpassen, minstens een jaar bewaard. |
| Tien detecties | Meldingen (02) | Een korte, opgeschreven lijst van gebeurtenissen die voor ons tellen: nieuwe beheerder, back-up gewist, inlog vanuit een nieuw land, gigabytes die vertrekken. Alles daarbuiten is een rapport, geen alarm. |
| 24/7 bewaking | Meldingen (02), Respons (04) | Iemand die wakker is en kijkt om 02:40, intern of bij een dienstverlener. Het contract zegt wie binnen hoeveel minuten handelt, niet alleen wie mailt. |
| EDR overal | Meldingen (02), Blinde vlekken (03) | EDR: software op elk apparaat en elke server die aanvallersgedrag herkent en rapporteert naar dezelfde plek als de logs. |
| Dekkingskaart | Blinde vlekken (03) | Eén pagina: elk systeem, inclusief de logs van identiteitsprovider en SaaS, bewaakt of niet, en een handtekening onder elk “niet”. De detecties afzetten tegen MITRE ATT&CK toont de gaten. Elk kwartaal herzien. |
| Draaiboeken en bevoegdheid | Respons (04) | Voor elk van de tien detecties de te nemen stappen en een vaste bevoegdheid om een machine of account te isoleren zonder eerst te vragen. |
| Detectietesten | Alle vier | Simuleer de aanval een paar keer per jaar en klok hoe lang het duurt voordat iemand handelt. Merkt niemand het, dan is dát de bevinding. |
| Twee getallen naar de directie | Alle vier | Gemiddelde tijd tot detectie en gemiddelde tijd tot respons, elk kwartaal, in uren. De trend telt zwaarder dan het getal. |
Something will get past prevention. Without detection, every other risk on this site can run for weeks instead of hours.Er komt iets door de preventie. Zonder detectie kan elk ander risico op deze site weken lopen in plaats van uren.
Long dwell time multiplies every incident: more systems, more data, no evidence, maximal notifications, and discovery by an outsider.Een lange verblijftijd vermenigvuldigt elk incident: meer systemen, meer data, geen bewijs, maximale meldingen, en ontdekking door een buitenstaander.
With central logs, ten tuned detections and someone on duty with authority to act, most intrusions are caught and contained within hours.Met centrale logs, tien afgestelde detecties en iemand van dienst met bevoegdheid om te handelen, worden de meeste inbraken binnen uren ontdekt en ingedamd.
Owns the coverage map and the two numbers. The board owns the decision to fund people on duty, not only tools.Eigenaar van de dekkingskaart en de twee getallen. De directie is eigenaar van de beslissing om mensen van dienst te betalen, niet alleen tools.
mean time to detect last quarter, in hours · % of critical systems sending logs to the central store · log retention in months · % of high alerts acted on within one hour, including nights and weekends.gemiddelde tijd tot detectie vorig kwartaal, in uren · % kritieke systemen dat logs naar de centrale opslag stuurt · bewaartermijn van logs in maanden · % hoge meldingen binnen een uur opgepakt, inclusief nachten en weekenden.
“Insufficient logging, monitoring coverage and out-of-hours response allow an intrusion to persist undetected for weeks or months, multiplying its damage and leaving no evidence for investigation or notification.”“Onvoldoende logging, monitoringdekking en respons buiten kantooruren laten een inbraak weken of maanden onopgemerkt voortduren, vermenigvuldigen de schade en laten geen bewijs achter voor onderzoek of melding.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | Incident handling is a named measure (Art. 21); Implementing Regulation 2024/2690 adds monitoring and logging for digital providers. You cannot report within 24 hours what you cannot detect. Confirm scope with legal. | There is no NIS2 certificate. Ask what they monitor around the clock, how fast they commit to tell you about an incident touching your data, and write that number into the contract. | The clocks start when you become aware: early warning within 24 hours, incident notification within 72 hours, final report within one month. Late detection is no excuse; the regulator can ask why it took months. |
| DORA | For financial entities: mechanisms to detect anomalous activity promptly, logging, and prompt classification of incidents. Detection is Article 10, within Chapter II on ICT risk management. Confirm scope with legal. | Check whether monitoring of the service you outsource is in their scope, what their notification deadline to you is, and whether their logs are available to your investigation. | Classify promptly; initial notification within 4 hours of classifying it as major (at most 24 hours after becoming aware), intermediate report within 72 hours, final report within one month. Your logs are the evidence those reports are built on; without them the reports are guesses. |
| SOC 2 | If you issue one: the monitoring criteria test logging, anomaly detection, alert handling and incident response over the period. Unhandled alerts can become printed exceptions. | Read whether monitoring and incident response are in scope, how fast they commit to detect and notify, and the exceptions in that area. A clean opinion with monitoring out of scope proves nothing here. | An intrusion discovered late is a control failure for the whole period it went unseen. Expect a deviation, a bridge letter request, and customers asking for your detection timeline. |
| ISAE 3402 | Relevant where processing affects financial reporting: logging of who changed what, and monitoring of processing integrity. Security monitoring is only covered if it is a control objective. | Check the control objectives for logging and monitoring. If they are absent, the report says nothing about whether the supplier would notice an intrusion in your data. | An undetected intrusion in a service organisation is a risk of misstatement for every client. ISAE 3402 creates no duty to notify user auditors: expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | Incidentafhandeling is een benoemde maatregel (art. 21); Uitvoeringsverordening 2024/2690 voegt monitoring en logging toe voor digitale aanbieders. U kunt niet binnen 24 uur melden wat u niet detecteert. Bevestig de reikwijdte met juristen. | Er bestaat geen NIS2-certificaat. Vraag wat zij dag en nacht bewaken, hoe snel zij toezeggen u te informeren over een incident dat uw data raakt, en zet dat getal in het contract. | De klokken starten zodra u het weet: vroege waarschuwing binnen 24 uur, incidentmelding binnen 72 uur, eindrapport binnen een maand. Laat ontdekken is geen excuus; de toezichthouder kan vragen waarom het maanden duurde. |
| DORA | Voor financiële instellingen: mechanismen om afwijkend gedrag snel te detecteren, logging, en snelle classificatie van incidenten. Detectie is artikel 10, in hoofdstuk II over ICT-risicobeheer. Bevestig de reikwijdte met juristen. | Controleer of bewaking van de uitbestede dienst binnen hun scope valt, welke meldtermijn zij naar u hebben, en of hun logs beschikbaar zijn voor uw onderzoek. | Snel classificeren; eerste melding binnen 4 uur na classificatie als ernstig (uiterlijk 24 uur na kennisname), tussentijds rapport binnen 72 uur, eindrapport binnen een maand. Uw logs zijn het bewijs waarop die rapporten rusten; zonder logs zijn het gissingen. |
| SOC 2 | Als u er zelf een afgeeft: de monitoringcriteria toetsen logging, detectie van afwijkingen, afhandeling van meldingen en incidentrespons over de periode. Onbehandelde meldingen kunnen afwijkingen in het rapport worden. | Lees of monitoring en incidentrespons binnen scope vallen, hoe snel zij beloven te detecteren en te melden, en welke afwijkingen daar staan. Een schoon oordeel met monitoring buiten scope bewijst hier niets. | Een laat ontdekte inbraak is een tekortkoming voor de hele periode dat die onopgemerkt bleef. Verwacht een afwijking, een verzoek om een bridge letter, en klanten die uw detectietijdlijn opvragen. |
| ISAE 3402 | Relevant waar verwerking de financiële verslaggeving raakt: logging van wie wat heeft gewijzigd, en bewaking van de integriteit van de verwerking. Securitymonitoring valt er alleen onder als het een beheersdoelstelling is. | Controleer de beheersdoelstellingen op logging en monitoring. Ontbreken die, dan zegt het rapport niets over of de leverancier een inbraak in uw data zou opmerken. | Een onopgemerkte inbraak bij een serviceorganisatie is een risico op onjuistheden voor elke klant. ISAE 3402 schept geen plicht om de auditors van klanten te informeren: verwacht een afwijking in het volgende rapport, en vraag in het contract om tussentijdse melding. |
Checked against: Mandiant M-Trends 2026 (Mar 2026), NIS2 Art. 21 and 23 (2022), Implementing Regulation (EU) 2024/2690 (2024), DORA Art. 10 (2022) and Delegated Regulation (EU) 2025/301 (2025), Microsoft Entra and Purview log retention (2026), MITRE ATT&CK · September 2026.
Gecontroleerd tegen: Mandiant M-Trends 2026 (mrt 2026), NIS2 art. 21 en 23 (2022), Uitvoeringsverordening (EU) 2024/2690 (2024), DORA art. 10 (2022) en Gedelegeerde Verordening (EU) 2025/301 (2025), bewaartermijnen Microsoft Entra en Purview (2026), MITRE ATT&CK · september 2026.