Het NCSC publiceerde onlangs een praktische handleiding voor security professionals: Overtuig jouw bestuur van assume breach. De kernboodschap is helder, maar vraagt om een mentaliteitsverandering die verder gaat dan een beleidsdocument. Assume breach betekent niet dat je opgeeft. Het betekent dat je realistisch bent.
Aanvallers komen binnen — de vraag is wat er daarna gebeurt
Traditionele securitystrategieën zijn grotendeels gebouwd op preventie: firewalls, filters, toegangscontroles. Die maatregelen zijn noodzakelijk, maar niet voldoende. Moderne aanvallers omzeilen perimeters via gestolen inloggegevens, misbruik van legitieme SaaS-tools of gecompromitteerde supply chains. Ze bewegen lateraal door netwerken, verzamelen rechten, en wachten.
De gemiddelde dwell time — de tijd tussen initiële toegang en detectie — bedraagt in veel omgevingen nog altijd tientallen dagen. In die periode kunnen aanvallers zich stevig nestelen, data kopiëren of ransomware voorbereiden.
Het NCSC vraagt besturen dan ook om andere vragen te stellen. Niet alleen: zijn we beschermd? Maar: hoe snel detecteren we een aanvaller die al binnen is — en hoe snel kunnen we die beperken?
Wat assume breach operationeel betekent
Assume breach is geen filosofie voor de boardroom alleen. Het is een ontwerpprincipe voor je detectie- en responscapabiliteit.
Concreet betekent het:
Detectie na authenticatie. Aanvallers die eenmaal geldige inloggegevens hebben, gedragen zich initieel 'normaal'. Detectie vereist inzicht in gedragspatronen: ongebruikelijke OAuth-autorisaties, hergebruik van tokens, afwijkende service principal-activiteit. Dit soort signalen zijn niet zichtbaar op de perimeter — ze zijn zichtbaar in identity- en netwerktelemetrie.
Laterale beweging als vroeg waarschuwingssignaal. Aanvallers die zich van systeem naar systeem bewegen, laten sporen achter in protocollen als Kerberos, SMB en RDP. Network Detection and Response (NDR)-technologie — zoals die van Vectra AI — is specifiek ontworpen om deze oost-westbeweging te detecteren, ook in versleuteld verkeer. Zonder payload-inspectie, maar op basis van verkeerspatronen en gedragsmodellen.
Beperking als primaire doelstelling. Detectie zonder snelle response heeft beperkte waarde. De tweede vraag die het NCSC stelt — hoe snel kunnen we beperken? — vereist geautomatiseerde of semi-geautomatiseerde containmentcapabiliteit: sessies intrekken, accounts isoleren, conditionele toegang aanpassen. En dit in minuten, niet uren.
Meetbare veerkracht. Assume breach vraagt om metrics die een board begrijpt: median dwell time, time-to-detect (MTTD), time-to-contain (MTTC). Geen technische laundry lists, maar trendlijnen die laten zien of de organisatie weerbaarder wordt over tijd.
De uitdaging voor security teams
De meeste security teams begrijpen het principe. De uitdaging zit in de uitvoering.
Assume breach vereist continue monitoring van identiteits-, endpoint- en netwerktelemetrie — gecombineerd, niet in silo's. Het vereist runbooks die snel genoeg zijn om de aanvaller voor te blijven. En het vereist rapportage die de kloof overbrugt tussen de SOC en het bestuur.
Dat is een substantiële operationele opgave, zeker voor organisaties zonder volwassen intern SOC of zonder de tooling om al deze telemetrie samen te brengen.
Hoe Nomios MDR dit operationaliseert
Bij Nomios werken we samen met organisaties die het assume breach-principe willen vertalen naar concrete detectie- en responscapabiliteit — niet als theoretisch raamwerk, maar als dagelijkse operatie.
Onze MDR-service is specifiek ingericht op post-compromise detectie: continue monitoring van identity misuse, laterale beweging en verdacht uitgaand verkeer, gecombineerd met snelle containmentplaybooks via identity provider, endpoint en netwerk. Maandelijkse rapportage geeft besturen inzicht in MTTD, MTTC en risicoreductie over tijd — aansluitend op de governanceaanbevelingen van het NCSC.
Voor organisaties die willen weten waar ze nu staan, bieden we een korte Assume Breach Readiness Assessment: een twee weken durende meting van post-compromise exposure, met een uitvoeringsklaar rapport als uitkomst.
Ons team staat voor je klaar
Wil je meer weten over dit onderwerp? Laat een bericht of je nummer achter en we bellen je terug. We helpen je graag verder.
