De meeste cyberincidenten ontstaan niet door geavanceerdere aanvalstechnieken, maar doordat organisaties een onvolledig beeld hebben van hun digitale blootstelling. Er ontstaat een structurele kloof tussen wat securityteams denken te beschermen en wat daadwerkelijk extern toegankelijk of verkeerd geconfigureerd is. Deze kloof, bekend als de 'breach gap', vormt het verschil tussen de aangenomen beveiligingsrealiteit en de werkelijkheid die aanvallers aantreffen.

Tijdens Cybersec Netherlands 2026 in Utrecht stond dit fenomeen centraal in de keynote van Matt Hull, VP Cyber Intelligence and Response bij NCC Group (Fox-IT). Hij benadrukte dat de breach gap geen theoretisch risico is, maar een terugkerend patroon in daadwerkelijke compromitteringen. Hierbij spelen misconfiguraties, identity-sprawl en verborgen exposure een grotere rol dan nieuwe aanvalstechnieken.

De groei van de breach gap hangt samen met de dynamische ontwikkeling van IT-omgevingen. Waar securitymodellen oorspronkelijk waren ontworpen voor stabiele infrastructuren, zijn cloudplatformen, API’s en identity-structuren nu continu in beweging. Dit leidt ertoe dat het beveiligingsbeeld vaak niet synchroon loopt met de actuele situatie. Inventarissen zijn incompleet, configuraties veranderen zonder controle en assets verdwijnen uit zicht zonder verwijdering. Deze discrepantie tussen administratie en realiteit veroorzaakt exposure.

In veel incidenten zoeken aanvallers niet naar nieuwe kwetsbaarheden, maar naar bestaande toegangspunten zoals vergeten service-accounts, te ruime rechten, verkeerd ingestelde cloudservices of onzichtbare assets. Dit verandert het perspectief op cyberrisico: niet langer draait het alleen om aanvalstechnieken, maar vooral om onbedoeld beschikbare digitale mogelijkheden. Cybersecurity verschuift hierdoor van een dreigingsgedreven naar een exposure-gedreven discipline.

Een belangrijk gevolg is de toenemende rol van identity als aanvalsvector. Naast menselijke accounts zijn machine identities, API-tokens en service accounts cruciaal voor de mate waarin een aanvaller zich kan bewegen binnen een omgeving. Over-privilege, langdurig geldige credentials en gebrek aan eigenaarschap zorgen ervoor dat veel compromissen plaatsvinden zonder klassieke hacks, maar via misbruik van legitieme toegang die onvoldoende wordt bewaakt.

Daarnaast speelt complexiteit een structurele rol. Moderne securityteams beschikken over veel tools en signalen, maar de overvloed aan data maakt het lastiger om relevante informatie te prioriteren. Dit leidt tot een vooral reactieve houding, niet door gebrek aan signalen, maar door de uitdaging om prioriteiten te stellen in een continu veranderende omgeving.