De systemen die onze fabrieken, gebouwen en energievoorzieningen aansturen, zijn steeds vaker digitaal verbonden en daardoor kwetsbaar. Organisaties beveiligen hun it systemen en bedrijfsgegevens, maar operationele technologie (ot) krijgt onvoldoende aandacht. Het overzicht ontbreekt en structureel risicobeheer is ondermaats. Het gevolg: productieprocessen vallen stil, logistieke stromen raken verstoord en zelfs onze energievoorziening kan worden geraakt.
Hoe kwetsbaar die systemen kunnen zijn, bleek onlangs uit onderzoek naar Europese windparken en zonneparken. Onderzoekers ontdekten ruim 8.500 beheersystemen die via internet bereikbaar waren, waarvan 141 in Nederland. Bij sommige installaties was zelfs bediening op afstand mogelijk. Het onderzoek legt een veel breder probleem bloot: bedrijven verbinden steeds meer operationele systemen met het internet, zonder dat de digitale veiligheid altijd voldoende wordt meegenomen.
Achterhaalde organisatiestructuren
Die blinde vlek heeft een historische verklaring. Operationele technologie functioneerde lange tijd grotendeels zelfstandig. De verantwoordelijkheid lag bij technische of facilitaire afdelingen, terwijl it zich richtte op de digitale kantooromgeving en informatiebeveiliging. Inmiddels zijn die werelden steeds verder met elkaar verweven, maar de organisatiestructuren zijn nauwelijks mee veranderd.
Vooral de energietransitie versnelt die ontwikkeling. Netcongestie en verduurzamingsambities dwingen bedrijven slimmer om te gaan met hun energievoorziening. Organisaties investeren in zonnepanelen, batterijen, laadpleinen en intelligente systemen die het energieverbruik optimaliseren. Deze installaties worden steeds vaker met elkaar verbonden en op afstand beheerd. Dat biedt kansen voor verduurzaming en efficiëntie, maar creëert ook nieuwe toegangspunten voor kwaadwillenden. De dreiging ontwikkelt zich bovendien snel. Zo waarschuwden onderzoekers van Anthropic onlangs dat zogenoemde ai-wormen zich binnen afzienbare tijd zelfstandig tussen kwetsbare slimme apparaten kunnen verspreiden.
Toch worden technologische investeringen vooral beoordeeld op functionaliteit, rendement en efficiëntie. Digitale veiligheid krijgt daarbij vaak onvoldoende aandacht. Bijvoorbeeld bij de keuze voor leveranciers, de koppeling met bestaande systemen en afspraken over toekomstig onderhoud en beveiligingsupdates. Daardoor lopen organisaties het risico dat ze nieuwe kwetsbaarheden introduceren die ook na ingebruikname onvoldoende worden beheerd.
Bedrijfscontinuïteit op het spel
Opmerkelijk genoeg houden bedrijven traditioneel wel rekening met risico’s voor hun operationele processen. Voor kritieke installaties worden reservevoorzieningen aangelegd en noodscenario’s ontwikkeld. Denk aan een extra pomp of koelmachine die het overneemt wanneer een installatie uitvalt. Maar wat gebeurt er wanneer de digitale aansturing van diezelfde processen wordt verstoord? Dan kunnen dergelijke voorzorgsmaatregelen onvoldoende blijken.
Een fabriek kan haar productie moeten stilleggen, een logistiek centrum kan te maken krijgen met stilvallende sorteersystemen en een onderneming kan plotseling zonder betrouwbare energievoorziening komen te zitten. Dat vormt een directe bedreiging voor de continuïteit en zelfs het voortbestaan van bedrijven.
Doorbreek de scheiding tussen it en ot
Directies en raden van bestuur moeten de digitale veiligheid van ot daarom expliciet meenemen in hun beleid. Dat vraagt om nauwere samenwerking tussen it, technisch beheer en risicomanagement, met heldere afspraken over de verantwoordelijkheid voor de beveiliging van kritieke systemen.
Inzicht is het startpunt. Welke systemen zijn essentieel voor het primaire bedrijfsproces? Welke externe partijen hebben toegang tot die systemen? Wat gebeurt er wanneer de aansturing uitvalt of wordt overgenomen? En welke financiële en operationele risico’s is de onderneming bereid te accepteren?
Vervolgens is het zaak om kritisch te kijken naar de manier waarop systemen met elkaar verbonden zijn. In veel organisaties is door de jaren heen een wirwar aan digitale verbindingen ontstaan. Nieuwe technologie wordt toegevoegd, systemen worden aan elkaar geknoopt en externe leveranciers krijgen toegang voor beheer op afstand. Het resultaat lijkt op een bord spaghetti: alles loopt door elkaar en het overzicht ontbreekt.
Die spaghetti moet een lasagne worden, met een overzichtelijke structuur van duidelijk gescheiden lagen. Ook de beveiliging zelf moet uit meerdere lagen bestaan, vergelijkbaar met een ui. Wanneer een aanvaller één beveiligingslaag doorbreekt, mag dat niet betekenen dat alle achterliggende systemen direct toegankelijk zijn. Zo wordt voorkomen dat een kwetsbaarheid in één installatie de volledige bedrijfsvoering in gevaar brengt.
Veiligheid stopt niet bij oplevering
Bij investeringen in nieuwe technologie zijn drie zaken van belang: veilige producten, veilige integratie en veilig beheer gedurende de volledige levensduur. Vooral dat laatste verdient aandacht. Technische installaties blijven vaak twintig jaar of langer in gebruik, terwijl digitale dreigingen voortdurend veranderen. Wat vandaag veilig is, kan morgen kwetsbaar zijn. Dat vraagt om blijvende investeringen in beveiliging en beheer. Want wie alleen zijn bedrijfsgegevens beschermt, ontdekt mogelijk pas hoe kwetsbaar zijn onderneming werkelijk is wanneer de stroomt uitvalt of machines stilstaan.
Joris van Hellenberg Hubar is Global Solution Owner bij Equans Nederland.
Een gelaagde beveiliging voor industriële besturing stond al uitvoerig in de NIST-richtlijn van 2015 maar gelaagdheid is nog geen onafhankelijkheid. Een keurig geordende lasagne kan nog steeds aan één stekker hangen of horizontaal aangevallen worden. En never waste a good crisis is het al jaren dweilen met de kraan open door een afhankelijkheid van software die ver voorbij de houdbaarheidsdatum is als gevolg van afstemmingsproblemen in de lifecycles. De laatste alinea geldt trouwens niet alleen voor de OT want in de ‘edge’ vindt je nogal wat legacy doordat IT niet het primaire proces is.
Voor de betekenisarchitecten, de edge is het digitale grensgebied tussen IT en OT. Zeg maar de IT in de bezemkast van een fabriek, magazijn of winkel die niet altijd geprioriteerd is maar getolereerd. Waar bits in de OT dingen laten bewegen worden in de edge de bits verzameld, vertaald en doorgestuurd. De edge is dus een interessanter aanvalsvlak doordat het vaak de horizontale laag is die de verticale segmenten verbindt via bijvoorbeeld een building management system of één van de vele andere varianten met het lasagne model van één hub en honderden spaken.
Data in de edge is een strategische aanvalsdoel omdat het de volledige industriële topologie onthult, de koppelingen bevat, de credentials bewaart en de fysieke processen indirect bestuurbaar maakt zonder dat een aanvaller ooit een PLC hoeft aan te raken. Een voorbeeld van een aanval op de edge is recentelijke incident bij Franse supermarken met de koeling, geordende lasagne met één stekker want het schijnt dat de zwakke schakel het wachtwoord was. Het verschil tussen de brute aanval en stille misleiding hoeft trouwens niet altijd om een aanval te gaan want sensors kunnen ook gewoon defect zijn. De waarheid van een dashboard kan door meerdere oorzaken afwijken van de realiteit.
Mechanisch falen van technische installaties die meer dan 20 jaar oud zijn gaat om de statistiek, de data in de edge is hierin belangrijk als referentiedata. Deze referentiedata zit niet in de PLC’s, niet in de OT‑kern maar in de edge die opmerkelijk kwetsbaar is voor ransomware. Want ondanks dat de strategische waarde van referentiedata in voorspelbaar onderhoud, optimalisatie en afwijkingsdetectie zit stamt de back-up in de edge nog vaak uit de vorige eeuw. Spaghetti en lasagne zijn lekker maar het recept gaat om wat je vastlegt aan data en uiteindelijk bewaard.
Uitval van stroom of stilstaande machines zijn een ongemak, verlies aan bedrijfsgegevens is een ramp. De machines kunnen alweer draaien terwijl het bedrijf nog steeds niet weet wat het bezit, verschuldigd is of tegoed heeft. Het recept van betekenis gaat hierin om de samenhang tussen goederenstromen, registraties en financiële verplichtingen waarin data een strategische asset is.