Essay

Het comfortbeeld: de illusie van controle

Door Jona van der Wel · 16 juli 2026

Het viel me de afgelopen jaren op dat patchprocessen bij organisaties enorm verbeterd zijn. Als onderdeel van ‘basis op orde’ heeft patchmanagement veel meer aandacht gekregen bij IT- en securityteams. Ook zijn techniek en tooling om patchprocessen te ondersteunen beter geworden en is het makkelijker om automatisch te patchen. Daarbij heeft de ontwikkeling naar SaaS-oplossingen, Cloud-platformen en Managed Service Providers ook een grote bijdrage gehad. Door deze diensten is patching uitbesteed en worden IT-teams ontlast. Onderzoek bevestigt mijn indruk: de doorlooptijd van patches is inderdaad gedaald van enkele weken tot enkele dagen.

Hoewel patchmanagement aantoonbaar verbeterd is, zie ik toch nog steeds dat organisaties worstelen met kwetsbaarheden. Patchprocessen draaien, maar de berg aan openstaande kwetsbaarheden blijft bij veel organisaties bestaan. Het lukt niet de achterstand weg te werken en het blijkt lastig om het echte risico ervan in te schatten. Het lijkt alsof organisaties constant achter de feiten aanlopen. Het roept bij mij de vraag op: als patchmanagement aantoonbaar verbeterd is, hoe kan het dat grip krijgen op kwetsbaarheden nog steeds zo moeilijk is? Blijkbaar speelt er meer dan alleen het sneller installeren van patches.

Allereerst de voor de hand liggende verklaringen: die verklaren lang niet alles. Natuurlijk kampen IT- en securityteams overal met tekorten aan budget en professionals en is het IT-landschap complex. Dat vormt beperkingen in de capaciteit voor het oplossen van kwetsbaarheden, maar dat zegt nog weinig over grip. Grip hebben op kwetsbaarheden gaat naast het oplossen van kwetsbaarheden, ook over het vermogen om bewuste keuzes te maken over risico's. Dat is iets anders dan het simpelweg oplossen en wegwerken van alle kwetsbaarheden. Het kan betekenen dat een kwetsbaarheid bewust niet opgelost wordt omdat het risico niet opweegt tegen de kosten. Ik weet dat veel organisaties, ook organisaties met veel securitybudget en grote teams, precies hier moeite mee hebben.

In de zes jaar dat ik me met Vulnerability Management bezighoud, is me een ander patroon opgevallen. De patchuitvoerders, of dit nu de eigen IT-afdeling is of uitbesteed aan een cloud-leverancier of MSP, geven geruststellende signalen over patchmanagement. Maandelijkse rapportages geven vaak aan dat 100% (of een ander hoog percentage) van de patches zijn geïnstalleerd, en binnen de SLA-norm. Door patchautomatisering en de ontwikkeling naar MSP's en cloud-diensten is dit patroon versterkt. Patchrapportages zien er professioneel uit en hebben zeer hoge SLA-prestaties. Dit geeft een enorm gevoel van grip over het patchproces: alles is onder controle.

Dit patroon speelt ook op een hoger niveau. Ook IT-auditors die de IT-/securityprocessen beoordelen, kunnen geruststellende signalen over patchmanagement geven. Zij controleren in hoeverre beleid bestaat, processen werken en resultaten behaald worden. Als beleid bestaat, proces beschreven is en een mooie en professionele patchrapportage getoond kan worden, concluderen zij al snel dat patchmanagement helemaal in orde is. Als naast de operationele rapportages, zelfs de auditor geen bevindingen voor patchmanagement heeft, dan is alles toch onder controle?

Maar schijn bedriegt. Deze rapportages zijn met een heel ander doel geschreven waardoor grip op kwetsbaarheden nog steeds volledig afwezig kan zijn. De rapportages die IT, cloud-leverancier of MSP oplevert, komen voort uit prestatieafspraken en zijn geöptimaliseerd om aan te tonen dat die afspraken zijn nagekomen. Auditrapporten zijn bedoeld om vast te stellen of beleid en processen functioneren zoals bedoeld. Beide rapporten beantwoorden een andere vraag dan die vanuit security wordt gesteld.

Hierdoor ontbreekt informatie die nodig is om risico's goed te kunnen duiden. Deze rapportages zeggen niks over de kwetsbaarheden die buiten scope vallen, niks over bestaande achterstanden, niks over de assets die zijn uitgesloten, en niks over de kwetsbaarheden waar simpelweg geen patch voor is. Zonder deze informatie lijken de patchprocessen helemaal in orde, terwijl er geen goed zicht is op de daadwerkelijke risico's.

De schijn van controle die hieruit kan ontstaan noem ik het comfortbeeld. Dit is het comfortabele beeld dat de illusie van controle wekt en dat niet ter discussie gesteld wordt. Het comfortbeeld kan gevaarlijk zijn en is moeilijk te doorbreken. Een kritische vraag op de patchrapportage wordt snel gezien als een verwijt van slecht werk en kan een defensieve of een “mooi weer” -reactie opleveren. En waarom zou je ook een kritische vraag stellen als de rapportage duidelijk aangeeft dat alle patches op tijd geïnstalleerd zijn?

Het comfortbeeld kan zich voordoen in verschillende gedaantes. Allereerst een voorbeeld van een onbewust onbekwame organisatie. Deze organisatie is nog relatief onvolwassen als het gaat om IT- en securityprocessen: er worden wel pogingen gedaan voor professionalisering, maar alles staat nog in de kinderschoenen. De IT-services zijn grotendeels uitbesteed aan een Managed Service Provider. Deze partij verzorgt de patchprocessen en maandelijks leveren zij een rapport op. Dit rapport slaat elke maand groen uit; alle SLA's zijn gehaald. Mooi, denkt de organisatie, dat probleem van kwetsbaarheden hebben wij gelukkig niet.

Het comfortbeeld kan zich ook manifesteren op een meer gecompliceerde manier. Dit voorbeeld gaat over een organisatie met grote IT- en securityteams, veel budget en een professionele manier van werken. De IT-services staan grotendeels in de cloud, de cloudprovider is verantwoordelijk voor patching. Ook hier komen maandelijks geruststellende rapportages waarin alle SLA's gehaald worden. En ook de auditor had geen bevindingen voor patch- of vulnerabilitymanagement. De organisatie voerde daarentegen wel zelf scans uit, waarin een grote achterstand met kritieke kwetsbaarheden bleek. Deze signalen kregen echter geen gewicht. Ze doorbraken niet het comfortabele beeld dat kwetsbaarheden onder controle waren. Dit voorbeeld laat zien dat zelfs met tegengestelde signalen het comfortbeeld kan winnen.

Toch lijdt niet elke organisatie zonder grip op kwetsbaarheden aan comfortbeeld. Ik heb organisaties gezien die heel goed zicht hadden op hun kwetsbaarheden en deze signalen serieus namen, maar toch bleven worstelen. Het lukte hen bijvoorbeeld niet om eigenaarschap goed te beleggen, waardoor onduidelijk was wie verantwoordelijk is voor het oplossen ervan. Ook bleek het lastig om de risico's goed te duiden, waardoor kwetsbaarheden niet altijd de juiste prioriteit kregen. Deze organisaties hadden dus wel een realistisch beeld van hun situatie, maar alsnog geen bestuurbaar Vulnerability Management.

De oorspronkelijk vraag die ik in dit essay stelde was: waarom is het zo moeilijk om grip te krijgen op kwetsbaarheden ondanks verbeteringen in patchmanagement? Juist door die verbeteringen kunnen patchrapportages de indruk wekken dat alles onder controle is. Maar ze meten geen risico, ze beantwoorden eigenlijk een andere vraag. Hierdoor kan een situatie ontstaan die ik het comfortbeeld noem: een comfortabel beeld van controle dat nauwelijks ter discussie staat. Het doorbreken van het comfortbeeld vormt niet de ultieme oplossing voor meer grip op kwetsbaarheden, maar het vormt wel een belangrijke voorwaarde ervan.

Verder lezen

Adaptiva, The State of Patch Management, 2026. https://adaptiva.com/resources/report/state-of-patch-management.