De beveiligingsuitgaven zijn in zes jaar tijd ongeveer verdubbeld, maar de tijd die nodig is om incidenten te onderzoeken en te reageren is nauwelijks veranderd. Dit leidt tot vragen van financieel management over de groeiende beveiligingsafdeling zonder zichtbare verbetering in de belangrijkste bedrijfsmetrics. Volgens Rich Perkins, Principal Sales Engineer bij Prophet Security, ligt de oorzaak niet bij het team, de tooling of het aannameproces, maar bij het onderliggende architectuurmodel van het Security Operations Center (SOC).

Het huidige operationele model gaat uit van menselijke alert triage op het volume dat vijf jaar geleden werd geproduceerd, terwijl de hoeveelheid alerts inmiddels sterk is afgenomen. Hierdoor blijft de werkelijke werkdruk voor analisten te hoog, ondanks alle optimalisaties zoals het indelen van alerts op ernst, automatisch sluiten van bekende valse meldingen, onderdrukken van storende detectieregels en het afstemmen en routeren van alerts. Het volume dat uiteindelijk bij mensen terechtkomt voor diepgaand onderzoek overstijgt nog steeds wat zij kunnen verwerken.

Onderzoek zoals het M-Trends rapport van Google Mandiant toont aan dat de gemiddelde tijd dat een aanvaller onopgemerkt blijft wereldwijd rond de 14 dagen ligt, terwijl de tijd tussen eerste toegang en overdracht aan een tweede dreigingsgroep in 2025 is gedaald tot slechts 22 seconden. Ook het IBM Cost of a Data Breach rapport laat zien dat het identificeren en beheersen van een datalek gemiddeld 241 dagen duurt, ondanks een daling ten opzichte van 2020. Deze cijfers verbeteren niet in verhouding tot de toegenomen investeringen, noch houden ze gelijke tred met de steeds kortere tijdsvensters waarin aanvallen zich ontwikkelen.

Perkins benadrukt dat het simpelweg aannemen van meer analisten het probleem niet oplost. Een SOC-team van vijf tot tien analisten kan tijdens kantooruren ongeveer 120 tot 150 alerts per dag onderzoeken, wat neerkomt op 40 tot 50 uur aan werk. De resterende alerts blijven liggen voor de volgende dienst of worden nooit onderzocht. Dit betekent dat het achterstallige onderzoek de daadwerkelijke kwetsbaarheid vormt. In het ebook The Queue Is the Breach wordt uitgelegd waarom deze achterstanden het echte beveiligingsrisico zijn en hoe AI kan helpen om elke alert te onderzoeken.

Tot slot biedt het artikel een korte zelfdiagnose met vier vragen om de capaciteit van een SOC te beoordelen, waarmee organisaties hun blinde vlekken kunnen identificeren. Dit helpt om te bepalen waar het operationele model moet worden aangepast in plaats van alleen het personeelsbestand uit te breiden.