Een SIEM investering is voor veel organisaties de duurste aanschaf in hun security-stack. Splunk, Microsoft Sentinel, IBM QRadar: de licenties lopen uiteen van tienduizenden tot honderdduizenden euro’s per jaar. Toch levert die investering bij een groot deel van de organisaties niet op wat ervan verwacht wordt. Niet omdat de technologie tekortschiet, maar omdat er niemand achter het dashboard zit die weet wat hij ziet.

Een SIEM investering zonder getrainde analisten is als een alarmsysteem zonder bewaker. Het genereert meldingen. Niemand beoordeelt ze op tijd. Echte dreigingen verdwijnen in een zee van false positives. En na verloop van tijd vertrouwt het team het systeem niet meer, waardoor de investering langzaam irrelevant wordt.

Dit artikel is geschreven voor CTO’s en CISO’s die budget vrijmaken voor tooling en zich afvragen waarom het rendement uitblijft. De oorzaak zit zelden in de tool. Het zit in het team erachter.

Waarom je SIEM investering geen resultaat oplevert

De belofte van een SIEM is helder: alle security-events uit je netwerk, endpoints en cloud-omgevingen samenbrengen op een plek, correleren en bruikbare alerts genereren. In theorie zou dat het werk van je security-team makkelijker moeten maken. In de praktijk gebeurt het tegenovergestelde.

Uit onderzoek van Sumo Logic onder meer dan 500 IT- en security-leiders blijkt dat slechts de helft de ROI van hun SIEM-oplossing als goed beoordeelt. Meer dan 70% worstelt met alert fatigue en false positives. Veel respondenten ontvangen dagelijks meer dan 10.000 alerts. Dat is geen monitoringprobleem. Dat is een overspoeling waar geen enkel team zonder de juiste vaardigheden mee om kan gaan.

De kern van het probleem: een SIEM is zo goed als de mensen die ermee werken. Zonder analisten die alerts kunnen triagen, correleren en prioriteren, is je SIEM investering een dure loggingoplossing. Niet meer, niet minder.

Het echte probleem: SOC tooling vs mensen

In veel organisaties bestaat er een onbalans tussen wat er aan tooling wordt ingekocht en wat er aan capaciteit beschikbaar is om die tooling te bedienen. CTO’s investeren in detectie, maar niet in de mensen die de detectie omzetten in actie. Die scheefgroei tussen SOC tooling vs mensen leidt tot een paar voorspelbare problemen.

Alerts zonder context

Een SIEM genereert alerts op basis van regels en correlaties. Maar een alert zonder context is waardeloos. Is die inlogpoging om 03:00 ’s nachts een medewerker die vanuit het buitenland werkt, of een gecompromitteerd account? Alleen een getrainde analist met kennis van de organisatie kan dat onderscheid maken. Zonder die context besteden analisten tot 52% van hun tijd aan false positives, volgens data van onderzoek naar managed SIEM ROI. Dat is meer dan de helft van de werkdag die opgaat aan ruis.

Detectieregels die niet worden onderhouden

SIEM-regels moeten continu worden bijgewerkt. Nieuwe dreigingen, veranderende infrastructuur, andere applicaties: alles vereist aanpassing van de detectielogica. Zonder iemand die dat doet, verouderen je regels. Het systeem detecteert dreigingen van vorig jaar, maar mist de aanvallen van vandaag. Je SIEM investering verliest elke maand aan waarde als er geen analist is die de regels tunet en valideert.

Escalaties die te laat komen

Het verschil tussen een incident en een ramp zit vaak in minuten. Als een alert pas na uren wordt opgepakt omdat er geen beschikbare analist is, of omdat de analist niet weet welke stappen te nemen, loopt de schade snel op. Het IBM Cost of a Data Breach Report laat zien dat de gemiddelde tijd om een inbreuk te identificeren en in te dammen op 241 dagen staat. Getrainde SOC-teams die weten hoe ze moeten triagen, verkorten die doorlooptijd drastisch. Ongetrainde teams verlengen hem.

SIEM analyst training als rendementshefboom

De oplossing voor een falende SIEM is zelden een betere SIEM. Het is een beter team. SIEM analyst training is de meest directe manier om het rendement van je bestaande tooling te verhogen, zonder extra licentiekosten.

Wat getrainde analisten anders doen is concreet. Ze herkennen patronen in alerts die onervaren collega’s over het hoofd zien. Ze filteren false positives sneller, waardoor de queue niet volloopt. Ze kennen de MITRE ATT&CK-technieken en weten welke alerts passen bij welke aanvalsfasen. En ze escaleren sneller naar de juiste mensen, omdat ze het verschil begrijpen tussen een misconfiguratie en een actieve dreiging.

Organisaties die information security structureel willen verbeteren, beginnen niet met nóg een tool. Ze beginnen met de vaardigheden van het team dat de tools bedient. SIEM analyst training is geen nice-to-have naast de licentie. Het is de voorwaarde waaronder de licentie rendeert.

Wat een getrainde analist je SIEM investering oplevert

Het verschil tussen een SIEM met en zonder getrainde analisten is meetbaar. Een paar concrete effecten die CTO’s direct herkennen:

Minder ruis, snellere detectie. Teams die weten hoe ze detectieregels moeten tunen, brengen het aantal false positives terug. Dat betekent minder alert fatigue, minder tijdverspilling en snellere reactie op echte dreigingen. De SANS 2025 survey toont dat 73% van security-teams false positives als hun grootste detectie-uitdaging noemt. Getrainde analisten pakken dat probleem bij de bron aan.

Lagere kosten per incident. Wie alerts snel kan beoordelen, voorkomt dat incidenten escaleren. Dat bespaart op externe inhuur, forensisch onderzoek en downtime. De kosten van een gemist incident zijn bijna altijd hoger dan de investering in praktijkgerichte incident response training.

Betere benutting van bestaande tooling. Veel organisaties gebruiken maar een fractie van de mogelijkheden van hun SIEM. Niet omdat de features er niet zijn, maar omdat niemand ze kent. Na gerichte training begint het team dashboards aan te passen, nieuwe correlaties te schrijven en threat hunting op te zetten. De SIEM investering gaat dan pas echt renderen.

De rekenfout die CTO’s maken bij SIEM-aankoop

Bij de meeste SIEM-businesscases staan de toolingkosten centraal: licentie, implementatie, opslag. Wat zelden in de berekening zit, zijn de personeelskosten om het systeem operationeel te houden. En daar gaat het mis.

Een SIEM die niet wordt getuned, genereert steeds meer ruis. Dat kost analisten meer tijd. Die tijd gaat af van preventief werk. Preventief werk dat niet gebeurt, vergroot het risico op incidenten. Incidenten kosten geld. Het is een cascade die begint bij een simpele omissie in de businesscase: de kosten van het team zijn niet meegenomen. Op dat moment verandert je SIEM investering van beveiligingsmaatregel in kostenpost.

Daar komt bij dat SIEM-implementaties zelden kant-en-klaar functioneren. De eerste maanden na go-live zijn de meest intensieve: regels moeten worden afgestemd op de specifieke omgeving, databronnen moeten correct worden gekoppeld, en het team moet leren welke alerts relevant zijn voor hun organisatie en welke standaard ruis opleveren. Organisaties die die periode onderschatten, zitten na zes maanden met een systeem dat meer frustratie oplevert dan bescherming. Het team raakt gedemotiveerd, de SIEM wordt steeds minder serieus genomen, en het management vraagt zich af waar het budget is gebleven. Dat patroon is bijna altijd te herleiden tot dezelfde oorzaak: er is gebudgetteerd voor de tool, maar niet voor de mensen.

CTO’s die hun SIEM investering willen beschermen, reserveren minimaal 30-40% van het totale SIEM-budget voor training en capaciteitsopbouw. Niet als eenmalige post bij de lancering, maar als doorlopende investering. Want de dreigingen veranderen, de tooling verandert, en de kennis van het team moet meebewegen.

Van tooling-denken naar team-denken

De verschuiving van SOC tooling vs mensen naar een gebalanceerde aanpak begint met een eerlijk gesprek. Hoeveel van je security-budget gaat naar licenties? En hoeveel naar de mensen die die licenties productief moeten maken? Als die verhouding 80/20 is in het voordeel van tooling, heb je een probleem dat geen upgrade oplost. Een SIEM investering beschermen doe je niet met een duurder contract, maar met een beter team.

Steeds meer organisaties kiezen voor een combinatie: bestaande SIEM-tooling behouden, maar investeren in een praktijkgerichte cybersecurity opleiding die analisten leert om met die tooling te werken onder druk. Scenario-gebaseerd, met realistische aanvallen in plaats van theorie uit een handboek. Omdat een analist die alleen de handleiding kent, vastloopt zodra de aanval afwijkt van het playbook.

Dat verschil tussen theorie en praktijk is precies wat je terugziet in de prestaties van SOC-teams. En het is precies het verschil dat bepaalt of je SIEM investering iets oplevert of niet. Meer over hoe cursussen en simulaties zich verhouden, lees je in ons eerdere artikel.

Wil je weten hoe je het rendement van je bestaande SIEM-stack vergroot door te investeren in je team? Plan een gesprek of bekijk de mogelijkheden voor bedrijven die samenwerken met Trivian.