Kennisbank · Kwetsbaarheden
Proces voor kwetsbaarheidsbeheer: van bevinding tot herstel
Kwetsbaarheidsbeheer is het terugkerende proces om kwetsbaarheden in systemen te vinden, op risico te beoordelen, te verhelpen en het herstel aan te tonen. Doorslaggevend is niet het aantal bevindingen, maar de juiste volgorde.
Bijgewerkt op 14 november 2026
FIGProces voor kwetsbaarheidsbeheer
De zes stappen van het proces
- Inventaris: zonder volledige asset-inventaris blijven systemen ongecontroleerd (zie attack surface management).
- Detecteren: scanners, agents en cloudkoppelingen leveren bevindingen.
- Beoordelen: ernst, misbruikbaarheid, bereikbaarheid en bedrijfswaarde samenbrengen.
- Prioriteren: volgorde op basis van risico bepalen en termijnen toekennen.
- Verhelpen: patch, configuratiewijziging of compenserende maatregel.
- Hercontroleren en aantonen: opnieuw scannen, resultaat documenteren.
Waarom CVSS alleen niet volstaat
De CVSS-score beschrijft de technische ernst van een kwetsbaarheid – niet het risico voor uw organisatie. Een groot deel van de kwetsbaarheden met een hoge CVSS-score wordt nooit misbruikt of betreft systemen die helemaal niet bereikbaar zijn. Wie strikt op CVSS werkt, zet capaciteit op de verkeerde plekken in.
Betere signalen: EPSS, KEV en aanvalspaden
- EPSS (Exploit Prediction Scoring System van FIRST) schat de kans dat een kwetsbaarheid in de komende 30 dagen wordt misbruikt.
- De KEV-catalogus van de Amerikaanse overheidsinstantie CISA somt kwetsbaarheden op die aantoonbaar actief worden misbruikt.
- Bereikbaarheid en aanvalspaden laten zien of een kwetsbaarheid van buitenaf bereikbaar is en naar kritieke systemen leidt – dat doet exposure management.
Termijnen en bewijs
Hersteltermijnen moeten zich naar het risico richten, bijvoorbeeld enkele dagen voor actief misbruikte, bereikbare kwetsbaarheden op kritieke systemen. Voor audits volgens ISO/IEC 27001 (bijlage A 8.8 „Beheer van technische kwetsbaarheden”) en voor NIS2 telt dat proces, termijnen en herstel herleidbaar zijn gedocumenteerd.
Waar het om draait bij software voor kwetsbaarheidsbeheer
- Samenvoegen van alle bronnen zonder dubbelingen
- Prioritering op misbruikbaarheid en bereikbaarheid, niet alleen op CVSS
- Taken met context voor de verantwoordelijke teams
- Automatische hercontrole na het herstel
- Rapporten met historie voor auditors en directie
01Platform
Passende producten
02FAQ
Veelgestelde vragen
Wat is risicogebaseerd kwetsbaarheidsbeheer?
Een aanpak die kwetsbaarheden niet alleen op technische ernst prioriteert, maar op werkelijk risico: misbruikbaarheid, bereikbaarheid en het belang van het getroffen systeem.
Wat is het verschil tussen CVSS en EPSS?
CVSS beoordeelt hoe zwaar een kwetsbaarheid technisch weegt. EPSS schat hoe waarschijnlijk misbruik in de nabije toekomst is. Samen geven ze een beter beeld dan elk afzonderlijk.
Hoe vaak moet er worden gescand?
Kritieke en vanaf internet bereikbare systemen doorlopend, interne systemen minimaal wekelijks – en altijd na wezenlijke wijzigingen.
Know your exposure.
Control your risk.
3Contact
Praat met ons over uw aanvalsoppervlak, uw prioriteiten en de passende instap in XMfortress.