Most break-ins do not use secret tricks. They use a hole that was public, with a fix that was available — for weeks. In plain language: the four ways that happens, and the single control that closes each one. De meeste inbraken gebruiken geen geheime trucs. Ze gebruiken een gat dat bekend was, met een fix die klaarlag — wekenlang. In gewone taal: de vier manieren waarop dat gebeurt, en welke maatregel elk gat sluit.
When a vendor publishes a security fix, they also publish, in effect, a description of the hole. Within hours, automated scanners run by criminal groups sweep the entire internet for systems that still have it. Meanwhile our fix sits in a queue: it needs a test, a change ticket, a maintenance window three weeks out. For those three weeks the door is marked on a public map, and we have not locked it.
Business impact: the exposure window is the only number that matters here. Not “do we patch” — everybody patches — but “how many days pass between fix published and fix applied, for the systems the internet can reach”. Days is defensible. Weeks is a breach waiting for its turn.
Wanneer een leverancier een beveiligingsfix publiceert, publiceert hij in feite ook een beschrijving van het gat. Binnen enkele uren doorzoeken geautomatiseerde scanners van criminele groepen het hele internet naar systemen die het nog hebben. Ondertussen staat onze fix in een wachtrij: er moet getest worden, er is een wijzigingsticket nodig, een onderhoudsvenster over drie weken. Drie weken lang staat de deur op een openbare kaart gemarkeerd, en wij hebben hem niet op slot gedaan.
Bedrijfsimpact: het kwetsbaarheidsvenster is hier het enige getal dat telt. Niet “patchen wij” — iedereen patcht — maar “hoeveel dagen zitten er tussen fix gepubliceerd en fix geïnstalleerd, voor de systemen die vanaf internet bereikbaar zijn”. Dagen is verdedigbaar. Weken is een inbraak die op zijn beurt wacht.
AI can read a vendor's patch diff and write working exploit code within hours of release, letting criminal groups scan the whole internet and hit unpatched systems long before the three-week maintenance window even opens.AI kan het verschil tussen oude en nieuwe versie lezen en binnen uren werkende misbruikcode schrijven, waardoor criminele groepen het hele internet scannen en ongepatchte systemen raken lang voordat het onderhoudsvenster van drie weken opengaat.
Someone can use AI to write a convincing low-risk justification inside the change-ticket system, arguing an urgent fix can wait for the standard window, quietly deprioritising the very patch that needed to be fast-tracked.Iemand kan met AI een overtuigende laag-risico-onderbouwing schrijven in het wijzigingssysteem, die stelt dat een dringende fix best kan wachten op het normale venster, en zo juist de patch vertraagt die versneld had gemoeten.
AI can rank thousands of vulnerabilities using inputs such as CISA's KEV list, EPSS scores and ENISA's EU Vulnerability Database, and auto-draft the emergency change ticket, cutting the time to decide, but a named owner still has to approve and apply the fix before the deadline runs out.AI kan duizenden kwetsbaarheden rangschikken met bronnen als de KEV-lijst van CISA, EPSS-scores en de EU Vulnerability Database van ENISA, en het noodwijzigingsticket automatisch opstellen, wat tijd bespaart, maar iemand met naam moet de fix nog altijd goedkeuren en installeren voordat de deadline verstrijkt.
Every organisation has one: the system whose vendor stopped supporting it years ago, but which runs something nobody dares to switch off. Production control, the warehouse, a billing engine, the payroll. No patches are made for it anymore. Every new hole discovered in it — and holes keep being discovered in old software — stays open for good. Attackers know this too. Unsupported software is their favourite doorway, precisely because it never gets fixed. A current example: Windows 10 support ended on 14 October 2025. Microsoft sells organisations Extended Security Updates for at most three years (to October 2028); for home users they run until 12 October 2027.
Business impact: this is not an IT problem, it is a decision that was deferred. The options are known and finite: replace it, wrap it in isolation so nothing else can reach it, or accept the risk in writing at board level. What is not an option is the current default — assuming it is fine because it still works.
Elke organisatie heeft er één: het systeem waarvan de leverancier jaren geleden de ondersteuning stopte, maar dat iets draait wat niemand durft uit te zetten. De productiebesturing, het magazijn, de facturatie, de salarisadministratie. Er worden geen patches meer voor gemaakt. Elk nieuw gat dat erin wordt ontdekt — en in oude software worden steeds nieuwe gaten ontdekt — blijft voorgoed open. Aanvallers weten dat ook. Software zonder ondersteuning is hun favoriete ingang, juist omdat die nooit wordt gerepareerd. Een actueel voorbeeld: de ondersteuning van Windows 10 stopte op 14 oktober 2025. Microsoft verkoopt organisaties Extended Security Updates voor maximaal drie jaar (tot oktober 2028); voor thuisgebruikers lopen ze tot 12 oktober 2027.
Bedrijfsimpact: dit is geen IT-probleem, het is een uitgestelde beslissing. De opties zijn bekend en eindig: vervangen, isoleren zodat niets anders het kan bereiken, of het risico schriftelijk accepteren op directieniveau. Wat geen optie is, is de huidige standaard — aannemen dat het goed zit omdat het nog werkt.
AI can decompile old firmware or binaries and generate a working exploit for a system so old that no human researcher would normally bother, turning software everyone assumed was too obscure to attack into an easy target.AI kan oude firmware of binaries analyseren en een werkende exploit maken voor een systeem dat zo oud is dat geen mens er normaal moeite in zou steken, waardoor software die als te obscuur gold een makkelijk doelwit wordt.
To keep an end-of-life system limping along, someone patches it themselves with AI-generated code instead of replacing it, and that unofficial fix can quietly introduce a new bug or backdoor into a system nobody is really responsible for.Om een end-of-life-systeem draaiende te houden, patcht iemand het zelf met door AI gegenereerde code in plaats van het te vervangen, en die eigen fix kan ongemerkt een nieuwe fout of achterdeur invoeren in een systeem waar niemand eigenaar van is.
AI-assisted scanning can surface which unsupported systems are exposed and how, faster than a manual review, but the decision that follows still belongs to the board: replace it, isolate it, or accept the risk in writing.AI-ondersteund scannen laat sneller dan een handmatige controle zien welke systemen zonder ondersteuning blootstaan en hoe, maar de beslissing die daarop volgt blijft bij de directie: vervangen, isoleren, of het risico schriftelijk accepteren.
The devices that sit between us and the internet — the VPN gateway, the firewall, the file-transfer appliance, the remote-access box for a supplier — are the most exposed things we own, and often the least looked after. They were installed by a project that ended, or by a supplier who left. Nobody's job description says “patch this”. The vendor's critical update notice goes to a mailbox nobody reads. These appliances have been the entry point of choice in wave after wave of intrusions, precisely because they face the internet and get forgotten.
Business impact: one unowned appliance undoes every control behind it. What usually works is organisational, not technical: every internet-facing device has a named owner, that owner receives the vendor's security notices, and the deadline from step 01 applies to these devices first.
De apparaten die tussen ons en het internet staan — de VPN-gateway, de firewall, het apparaat voor bestandsoverdracht, de toegangsbox voor een leverancier — zijn de meest blootgestelde spullen die we hebben, en vaak de minst verzorgde. Ze zijn neergezet door een project dat is afgerond, of door een leverancier die is vertrokken. In niemands functieomschrijving staat “patch dit”. De kritieke updatemelding van de fabrikant komt aan in een mailbox die niemand leest. Deze apparaten zijn golf na golf de favoriete ingang van inbrekers geweest, juist omdat ze aan het internet hangen en worden vergeten.
Bedrijfsimpact: één apparaat zonder eigenaar maakt elke maatregel erachter ongedaan. Wat meestal werkt, is organisatorisch, niet technisch: elk apparaat dat aan internet hangt heeft een eigenaar met naam, die eigenaar ontvangt de beveiligingsmeldingen van de fabrikant, en de deadline uit stap 01 geldt voor deze apparaten als eerste.
AI-driven scanning does more than fingerprint an appliance: it correlates stale certificates, outdated firmware banners and abandoned admin contacts to predict which internet-facing devices are least likely to have an active owner, so attackers target the most neglected boxes first.AI-gestuurd scannen doet meer dan een apparaat herkennen: het combineert verlopen certificaten, verouderde firmwarekenmerken en achterhaalde beheercontacten om te voorspellen welke apparaten aan internet waarschijnlijk geen actieve eigenaar meer hebben, zodat aanvallers de meest verwaarloosde apparaten het eerst kiezen.
Knowing the vendor's real alert mailbox is never read, an attacker registers a look-alike domain and uses AI to write a convincing fake critical-update notice, luring an unaware admin into installing a malicious update instead of the real one.Omdat hij weet dat de echte updatemelding van de fabrikant toch nooit gelezen wordt, registreert een aanvaller een gelijkende domeinnaam en laat AI een overtuigende nepmelding schrijven, die een onoplettende beheerder een schadelijke update laat installeren in plaats van de echte.
AI can scan the internet from the outside for every device that answers to our name and flag the ones with no listed owner, but someone still has to be named responsible and actually read the vendor's alerts.AI kan van buitenaf elk apparaat scannen dat op onze naam staat en apparaten zonder eigenaar signaleren, maar iemand moet nog altijd met naam verantwoordelijk worden gemaakt en de meldingen van de fabrikant daadwerkelijk lezen.
You cannot patch what you do not know you have. A test server that was never removed, a subsidiary's web portal from before the acquisition, a marketing site set up by an agency, a cloud machine left over from a proof of concept. None is in the inventory, so none is in the patch process, so none is ever fixed. The attacker finds it with the same scanners from step 01 — they scan everything with our name on it, not just what is in our spreadsheet.
Business impact: the breach report will list a system the security team had never heard of. That is the standard shape of this failure. The control we suggest is to look at ourselves from the outside, continuously, the way an attacker does, and compare that with what we think we own. The difference between those two lists is the risk.
U kunt niet patchen waarvan u niet weet dat u het hebt. Een testserver die nooit is opgeruimd, het webportaal van een dochterbedrijf van vóór de overname, een marketingsite die een bureau heeft neergezet, een cloudmachine die overbleef van een proefproject. Geen ervan staat in de inventaris, dus geen ervan zit in het patchproces, dus geen ervan wordt ooit gerepareerd. De aanvaller vindt het met dezelfde scanners als in stap 01 — die scannen alles met onze naam erop, niet alleen wat in onze spreadsheet staat.
Bedrijfsimpact: in het incidentrapport staat straks een systeem waar het beveiligingsteam nooit van had gehoord. Dat is de standaardvorm van deze fout. De maatregel die wij aanraden, is voortdurend van buitenaf naar onszelf te kijken, zoals een aanvaller dat doet, en dat te vergelijken met wat we denken te hebben. Het verschil tussen die twee lijsten is het risico.
AI-powered reconnaissance continuously maps an organisation's entire internet footprint, subsidiaries, old marketing sites and forgotten cloud machines included, far more completely and constantly than any human researcher, finding the gaps in our own inventory before we do.AI-gestuurde verkenning brengt voortdurend de volledige digitale voetafdruk van een organisatie in kaart, inclusief dochterbedrijven, oude marketingsites en vergeten cloudmachines, veel completer en vaker dan een mens, en vindt zo de hiaten in onze eigen inventaris eerder dan wij.
Employees now spin up new cloud systems in minutes using AI coding assistants and agents, creating unlisted infrastructure faster than any inventory process can track it, widening the very blind spot this step describes.Medewerkers zetten met AI-codeerassistenten en agents binnen minuten nieuwe cloudsystemen op, sneller dan enig inventarisatieproces kan bijhouden, waardoor de blinde vlek uit deze stap alleen maar groter wordt.
Continuous AI-driven external scanning finds what is reachable under the company's name and compares it with the official list, but the fix is still adding every match to that inventory with a real, named owner attached.Doorlopend AI-gestuurd scannen van buitenaf vindt wat bereikbaar is onder onze naam en vergelijkt dat met de officiële lijst, maar de oplossing blijft elke treffer aan die inventaris toevoegen met een echte eigenaar bij naam.
| Control | Closes | In one line |
|---|---|---|
| Asset inventory | Unknown (04) | One list of everything we run, kept current automatically, not by hand. If it is not on the list, it is not being patched. |
| Patch deadlines | Waiting (01) | A fixed maximum age for a critical fix: days for anything the internet can reach, weeks for internal systems. Measured, not hoped. |
| Emergency path | Waiting (01) | A pre-agreed way to patch outside the change window when a hole is being actively attacked. Approval in hours, not at next month's meeting. |
| End-of-life roadmap | Legacy (02) | Every unsupported system has a date and a plan: replace, or isolate so nothing else can reach it. Accepted in writing if neither. |
| Compensating controls | Legacy (02) | When a patch is impossible: restrict who can reach it, add monitoring, switch off the vulnerable feature. Documented, temporary, reviewed. |
| Edge owner | Edge (03) | Every internet-facing device has a named person who receives the vendor's security notices and is accountable for the deadline. |
| External scanning | Unknown (04), Edge (03) | Regularly look at ourselves from the internet, as an attacker would, and reconcile the result with the inventory. |
| Board reporting | All four | Two numbers per quarter: median days to patch internet-facing criticals, and the count of unsupported systems still connected. |
| Maatregel | Sluit | In één zin |
|---|---|---|
| Inventaris | Onbekend (04) | Eén lijst van alles wat we draaien, automatisch actueel gehouden, niet met de hand. Wat niet op de lijst staat, wordt niet gepatcht. |
| Patchdeadlines | Wachten (01) | Een vaste maximale leeftijd voor een kritieke fix: dagen voor alles wat vanaf internet bereikbaar is, weken voor interne systemen. Gemeten, niet gehoopt. |
| Noodroute | Wachten (01) | Een vooraf afgesproken manier om buiten het onderhoudsvenster te patchen als een gat actief wordt aangevallen. Goedkeuring in uren, niet in de vergadering van volgende maand. |
| End-of-life-planning | Verouderd (02) | Elk systeem zonder ondersteuning heeft een datum en een plan: vervangen, of isoleren zodat niets anders het kan bereiken. Schriftelijk geaccepteerd als geen van beide. |
| Compenserende maatregelen | Verouderd (02) | Als patchen onmogelijk is: beperk wie erbij kan, voeg bewaking toe, zet de kwetsbare functie uit. Gedocumenteerd, tijdelijk, periodiek herzien. |
| Eigenaar per randapparaat | Rand (03) | Elk apparaat aan internet heeft een persoon met naam die de beveiligingsmeldingen van de fabrikant ontvangt en verantwoordelijk is voor de deadline. |
| Scannen van buitenaf | Onbekend (04), Rand (03) | Kijk regelmatig vanaf internet naar onszelf, zoals een aanvaller dat doet, en leg het resultaat naast de inventaris. |
| Rapportage aan directie | Alle vier | Twee getallen per kwartaal: mediane dagen tot patchen van kritieke gaten aan internet, en het aantal systemen zonder ondersteuning dat nog verbonden is. |
Every internet-facing system is scanned continuously. A published hole with a slow fix is found, not stumbled upon.Elk systeem aan internet wordt continu gescand. Een bekend gat met een trage fix wordt gevonden, niet toevallig ontdekt.
An unpatched edge device or forgotten server is a full foothold inside. What follows depends on what it can reach.Een ongepatcht randapparaat of vergeten server is een volwaardige voet tussen de deur. Wat volgt hangt af van wat het kan bereiken.
Holes will keep being published. A complete inventory and a days-long exposure window turn them into routine work.Er blijven gaten gepubliceerd worden. Een volledige inventaris en een venster van dagen maken er routinewerk van.
Owns the deadlines and the inventory. Each end-of-life exception is signed by the business owner of the system it runs.Eigenaar van de deadlines en de inventaris. Elke end-of-life-uitzondering wordt getekend door de zakelijk eigenaar van het proces dat erop draait.
median days to patch a critical internet-facing flaw · number of unsupported systems still connected · % of internet-facing devices with a named owner · systems found by external scanning that were not in the inventory.mediane dagen tot een kritiek gat aan internet is gepatcht · aantal systemen zonder ondersteuning dat nog verbonden is · % apparaten aan internet met een eigenaar met naam · systemen gevonden door scannen van buitenaf die niet in de inventaris stonden.
“A publicly known vulnerability in an internet-facing, unsupported or unregistered system is exploited before we apply the available fix, giving an attacker a foothold in our network.”“Een publiek bekende kwetsbaarheid in een systeem aan internet, zonder ondersteuning of buiten de inventaris wordt misbruikt voordat wij de beschikbare fix installeren, waardoor een aanvaller voet aan de grond krijgt in ons netwerk.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | Risk management measures explicitly include vulnerability handling and disclosure, and security in the acquisition, development and maintenance of systems. Management approves the measures and can be held liable. In the Netherlands: the Cbw, in force since 15 August 2026. | There is no NIS2 certificate. Ask for their patch deadlines by exposure and how they handle end-of-life components; make their duty to notify you of vulnerabilities and incidents contractual. Under the CRA, makers report actively exploited vulnerabilities from 11 September 2026 and state a support period from 11 December 2027: ask for the support period and their CRA contact point. | The exploitation can count as a significant incident if it meets the thresholds: early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. Expect the question “was the fix available?” |
| DORA | For financial entities: a register of all ICT assets including legacy systems, patch and update procedures with deadlines, and identification of ICT assets that are end-of-life or unsupported. | A report is input, not a substitute. DORA requires contract terms on ICT security for these providers; vulnerability and patch management, and notifying you of relevant weaknesses, are worth including. | It can be classified as a major ICT incident: initial notification within 4 hours of classifying it as major (and at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month, including root cause. |
| SOC 2 | If you issue one: vulnerability identification, patching and configuration management are tested over a period (Type II). Missed deadlines and unsupported systems appear as exceptions. | Check whether vulnerability management is in scope and read the exceptions. Then read the complementary user entity controls: patching of what you run on top is usually your job. | The incident appears in the next report as a deviation, auditors test the response, and customers will ask for a bridge letter and your root-cause analysis. |
| ISAE 3402 | Assurance over outsourced processes relevant to financial reporting. Change and patch management are usually in scope; internet exposure and asset inventory often are not. | Read the control objectives first. If patch management is not among them, the report says nothing about how long a known hole stays open. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | Risicobeheersmaatregelen omvatten uitdrukkelijk het afhandelen en bekendmaken van kwetsbaarheden, en beveiliging bij aanschaf, ontwikkeling en onderhoud van systemen. Het bestuur keurt de maatregelen goed en kan aansprakelijk worden gesteld. In Nederland: de Cbw, van kracht sinds 15 augustus 2026. | Er bestaat geen NIS2-certificaat. Vraag naar hun patchdeadlines per blootstelling en hoe ze omgaan met end-of-life-onderdelen; leg hun plicht om u over kwetsbaarheden en incidenten te informeren vast in het contract. Onder de CRA melden makers actief misbruikte kwetsbaarheden vanaf 11 september 2026 en geven ze vanaf 11 december 2027 een ondersteuningsperiode op: vraag naar die periode en hun CRA-contactpunt. | Het misbruik kan gelden als significant incident als het de drempels haalt: vroegtijdige waarschuwing binnen 24 uur na kennisname, incidentmelding binnen 72 uur, eindrapport binnen een maand. Verwacht de vraag “was de fix beschikbaar?” |
| DORA | Voor financiële instellingen: een register van alle ICT-middelen inclusief verouderde systemen, patch- en updateprocedures met termijnen, en identificatie van ICT-middelen die end-of-life zijn of geen ondersteuning meer hebben. | Een rapport is input, geen vervanging. DORA vereist contractafspraken over ICT-beveiliging met deze leveranciers; kwetsbaarheids- en patchbeheer, en het melden van relevante zwaktes aan u, horen daar goed in. | Het kan als ernstig ICT-incident worden geclassificeerd: eerste melding binnen 4 uur na classificatie als ernstig (en uiterlijk 24 uur na kennisname), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand, inclusief oorzaakanalyse. |
| SOC 2 | Als u er zelf een afgeeft: het identificeren van kwetsbaarheden, patchen en configuratiebeheer worden over een periode getest (Type II). Gemiste deadlines en systemen zonder ondersteuning verschijnen als afwijkingen. | Controleer of kwetsbaarheidsbeheer binnen scope valt en lees de afwijkingen. Lees daarna de complementary user entity controls: patchen van wat u er zelf op draait is meestal uw taak. | Het incident verschijnt in het volgende rapport als afwijking, auditors testen de respons, en klanten vragen om een bridge letter en uw oorzaakanalyse. |
| ISAE 3402 | Zekerheid over uitbestede processen die relevant zijn voor de financiële verslaggeving. Wijzigings- en patchbeheer vallen meestal binnen scope; blootstelling aan internet en de inventaris vaak niet. | Lees eerst de beheersdoelstellingen. Staat patchbeheer er niet bij, dan zegt het rapport niets over hoe lang een bekend gat openstaat. | ISAE 3402 schept geen meldplicht richting de auditors van klanten. Verwacht een afwijking in het volgende rapport, en vraag in het contract om tussentijdse melding. |
Checked against: Microsoft on Windows 10 ESU for organisations and for consumers (Sep 2026), CISA KEV, FIRST EPSS, ENISA EUVD (live since May 2025), CRA (EU) 2024/2847, NIS2 Art. 23, DORA and the Cbw (Aug 2026) · September 2026.
Gecontroleerd tegen: Microsoft over Windows 10-ESU voor organisaties en voor consumenten (sep 2026), CISA KEV, FIRST EPSS, ENISA EUVD (live sinds mei 2025), CRA (EU) 2024/2847, NIS2 art. 23, DORA en de Cbw (aug 2026) · september 2026.