The unpatched server. Known hole, published fix, still open. De ongepatchte server. Bekend gat, fix beschikbaar, nog steeds open.

When a vendor publishes a security fix, they also publish, in effect, a description of the hole. Within hours, automated scanners run by criminal groups sweep the entire internet for systems that still have it. Meanwhile our fix sits in a queue: it needs a test, a change ticket, a maintenance window three weeks out. For those three weeks the door is marked on a public map, and we have not locked it.

Business impact: the exposure window is the only number that matters here. Not “do we patch” — everybody patches — but “how many days pass between fix published and fix applied, for the systems the internet can reach”. Days is defensible. Weeks is a breach waiting for its turn.

Wanneer een leverancier een beveiligingsfix publiceert, publiceert hij in feite ook een beschrijving van het gat. Binnen enkele uren doorzoeken geautomatiseerde scanners van criminele groepen het hele internet naar systemen die het nog hebben. Ondertussen staat onze fix in een wachtrij: er moet getest worden, er is een wijzigingsticket nodig, een onderhoudsvenster over drie weken. Drie weken lang staat de deur op een openbare kaart gemarkeerd, en wij hebben hem niet op slot gedaan.

Bedrijfsimpact: het kwetsbaarheidsvenster is hier het enige getal dat telt. Niet “patchen wij” — iedereen patcht — maar “hoeveel dagen zitten er tussen fix gepubliceerd en fix geïnstalleerd, voor de systemen die vanaf internet bereikbaar zijn”. Dagen is verdedigbaar. Weken is een inbraak die op zijn beurt wacht.

Every organisation has one: the system whose vendor stopped supporting it years ago, but which runs something nobody dares to switch off. Production control, the warehouse, a billing engine, the payroll. No patches are made for it anymore. Every new hole discovered in it — and holes keep being discovered in old software — stays open for good. Attackers know this too. Unsupported software is their favourite doorway, precisely because it never gets fixed.

Business impact: this is not an IT problem, it is a decision that was deferred. The options are known and finite: replace it, wrap it in isolation so nothing else can reach it, or accept the risk in writing at board level. What is not an option is the current default — assuming it is fine because it still works.

Elke organisatie heeft er één: het systeem waarvan de leverancier jaren geleden de ondersteuning stopte, maar dat iets draait wat niemand durft uit te zetten. De productiebesturing, het magazijn, de facturatie, de salarisadministratie. Er worden geen patches meer voor gemaakt. Elk nieuw gat dat erin wordt ontdekt — en in oude software worden steeds nieuwe gaten ontdekt — blijft voorgoed open. Aanvallers weten dat ook. Software zonder ondersteuning is hun favoriete ingang, juist omdat die nooit wordt gerepareerd.

Bedrijfsimpact: dit is geen IT-probleem, het is een uitgestelde beslissing. De opties zijn bekend en eindig: vervangen, isoleren zodat niets anders het kan bereiken, of het risico schriftelijk accepteren op directieniveau. Wat geen optie is, is de huidige standaard — aannemen dat het goed zit omdat het nog werkt.

The devices that sit between us and the internet — the VPN gateway, the firewall, the file-transfer appliance, the remote-access box for a supplier — are the most exposed things we own, and often the least looked after. They were installed by a project that ended, or by a supplier who left. Nobody's job description says “patch this”. The vendor's critical update notice goes to a mailbox nobody reads. These appliances have been the entry point of choice in wave after wave of intrusions, precisely because they face the internet and get forgotten.

Business impact: one unowned appliance undoes every control behind it. The fix is organisational, not technical: every internet-facing device has a named owner, that owner receives the vendor's security notices, and the deadline from step 01 applies to these devices first.

De apparaten die tussen ons en het internet staan — de VPN-gateway, de firewall, het apparaat voor bestandsoverdracht, de toegangsbox voor een leverancier — zijn de meest blootgestelde spullen die we hebben, en vaak de minst verzorgde. Ze zijn neergezet door een project dat is afgerond, of door een leverancier die is vertrokken. In niemands functieomschrijving staat “patch dit”. De kritieke updatemelding van de fabrikant komt aan in een mailbox die niemand leest. Deze apparaten zijn golf na golf de favoriete ingang van inbrekers geweest, juist omdat ze aan het internet hangen en worden vergeten.

Bedrijfsimpact: één apparaat zonder eigenaar maakt elke maatregel erachter ongedaan. De oplossing is organisatorisch, niet technisch: elk apparaat dat aan internet hangt heeft een eigenaar met naam, die eigenaar ontvangt de beveiligingsmeldingen van de fabrikant, en de deadline uit stap 01 geldt voor deze apparaten als eerste.

You cannot patch what you do not know you have. A test server that was never removed, a subsidiary's web portal from before the acquisition, a marketing site set up by an agency, a cloud machine left over from a proof of concept. None is in the inventory, so none is in the patch process, so none is ever fixed. The attacker finds it with the same scanners from step 01 — they scan everything with our name on it, not just what is in our spreadsheet.

Business impact: the breach report will list a system the security team had never heard of. That is the standard shape of this failure. The control is to look at ourselves from the outside, continuously, the way an attacker does, and compare that with what we think we own. The difference between those two lists is the risk.

Je kunt niet patchen wat je niet weet dat je hebt. Een testserver die nooit is opgeruimd, het webportaal van een dochterbedrijf van vóór de overname, een marketingsite die een bureau heeft neergezet, een cloudmachine die overbleef van een proefproject. Geen van allen staat in de inventaris, dus geen van allen zit in het patchproces, dus geen van allen wordt ooit gerepareerd. De aanvaller vindt het met dezelfde scanners als in stap 01 — die scannen alles met onze naam erop, niet alleen wat in onze spreadsheet staat.

Bedrijfsimpact: in het incidentrapport staat straks een systeem waar het beveiligingsteam nooit van had gehoord. Dat is de standaardvorm van deze fout. De maatregel is om voortdurend van buitenaf naar onszelf te kijken, zoals een aanvaller dat doet, en dat te vergelijken met wat we denken te hebben. Het verschil tussen die twee lijsten is het risico.