De systemen die onze fabrieken, gebouwen en energievoorzieningen aansturen, zijn steeds vaker digitaal verbonden en daardoor kwetsbaar. Organisaties beveiligen hun it systemen en bedrijfsgegevens, maar operationele technologie (ot) krijgt onvoldoende aandacht. Het overzicht ontbreekt en structureel risicobeheer is ondermaats. Het gevolg: productieprocessen vallen stil, logistieke stromen raken verstoord en zelfs onze energievoorziening kan worden geraakt.
Hoe kwetsbaar die systemen kunnen zijn, bleek onlangs uit onderzoek naar Europese windparken en zonneparken. Onderzoekers ontdekten ruim 8.500 beheersystemen die via internet bereikbaar waren, waarvan 141 in Nederland. Bij sommige installaties was zelfs bediening op afstand mogelijk. Het onderzoek legt een veel breder probleem bloot: bedrijven verbinden steeds meer operationele systemen met het internet, zonder dat de digitale veiligheid altijd voldoende wordt meegenomen.
Achterhaalde organisatiestructuren
Die blinde vlek heeft een historische verklaring. Operationele technologie functioneerde lange tijd grotendeels zelfstandig. De verantwoordelijkheid lag bij technische of facilitaire afdelingen, terwijl it zich richtte op de digitale kantooromgeving en informatiebeveiliging. Inmiddels zijn die werelden steeds verder met elkaar verweven, maar de organisatiestructuren zijn nauwelijks mee veranderd.
Vooral de energietransitie versnelt die ontwikkeling. Netcongestie en verduurzamingsambities dwingen bedrijven slimmer om te gaan met hun energievoorziening. Organisaties investeren in zonnepanelen, batterijen, laadpleinen en intelligente systemen die het energieverbruik optimaliseren. Deze installaties worden steeds vaker met elkaar verbonden en op afstand beheerd. Dat biedt kansen voor verduurzaming en efficiëntie, maar creëert ook nieuwe toegangspunten voor kwaadwillenden. De dreiging ontwikkelt zich bovendien snel. Zo waarschuwden onderzoekers van Anthropic onlangs dat zogenoemde ai-wormen zich binnen afzienbare tijd zelfstandig tussen kwetsbare slimme apparaten kunnen verspreiden.
Toch worden technologische investeringen vooral beoordeeld op functionaliteit, rendement en efficiëntie. Digitale veiligheid krijgt daarbij vaak onvoldoende aandacht. Bijvoorbeeld bij de keuze voor leveranciers, de koppeling met bestaande systemen en afspraken over toekomstig onderhoud en beveiligingsupdates. Daardoor lopen organisaties het risico dat ze nieuwe kwetsbaarheden introduceren die ook na ingebruikname onvoldoende worden beheerd.
Bedrijfscontinuïteit op het spel
Opmerkelijk genoeg houden bedrijven traditioneel wel rekening met risico’s voor hun operationele processen. Voor kritieke installaties worden reservevoorzieningen aangelegd en noodscenario’s ontwikkeld. Denk aan een extra pomp of koelmachine die het overneemt wanneer een installatie uitvalt. Maar wat gebeurt er wanneer de digitale aansturing van diezelfde processen wordt verstoord? Dan kunnen dergelijke voorzorgsmaatregelen onvoldoende blijken.
Een fabriek kan haar productie moeten stilleggen, een logistiek centrum kan te maken krijgen met stilvallende sorteersystemen en een onderneming kan plotseling zonder betrouwbare energievoorziening komen te zitten. Dat vormt een directe bedreiging voor de continuïteit en zelfs het voortbestaan van bedrijven.
Doorbreek de scheiding tussen it en ot
Directies en raden van bestuur moeten de digitale veiligheid van ot daarom expliciet meenemen in hun beleid. Dat vraagt om nauwere samenwerking tussen it, technisch beheer en risicomanagement, met heldere afspraken over de verantwoordelijkheid voor de beveiliging van kritieke systemen.
Inzicht is het startpunt. Welke systemen zijn essentieel voor het primaire bedrijfsproces? Welke externe partijen hebben toegang tot die systemen? Wat gebeurt er wanneer de aansturing uitvalt of wordt overgenomen? En welke financiële en operationele risico’s is de onderneming bereid te accepteren?
Vervolgens is het zaak om kritisch te kijken naar de manier waarop systemen met elkaar verbonden zijn. In veel organisaties is door de jaren heen een wirwar aan digitale verbindingen ontstaan. Nieuwe technologie wordt toegevoegd, systemen worden aan elkaar geknoopt en externe leveranciers krijgen toegang voor beheer op afstand. Het resultaat lijkt op een bord spaghetti: alles loopt door elkaar en het overzicht ontbreekt.
Die spaghetti moet een lasagne worden, met een overzichtelijke structuur van duidelijk gescheiden lagen. Ook de beveiliging zelf moet uit meerdere lagen bestaan, vergelijkbaar met een ui. Wanneer een aanvaller één beveiligingslaag doorbreekt, mag dat niet betekenen dat alle achterliggende systemen direct toegankelijk zijn. Zo wordt voorkomen dat een kwetsbaarheid in één installatie de volledige bedrijfsvoering in gevaar brengt.
Veiligheid stopt niet bij oplevering
Bij investeringen in nieuwe technologie zijn drie zaken van belang: veilige producten, veilige integratie en veilig beheer gedurende de volledige levensduur. Vooral dat laatste verdient aandacht. Technische installaties blijven vaak twintig jaar of langer in gebruik, terwijl digitale dreigingen voortdurend veranderen. Wat vandaag veilig is, kan morgen kwetsbaar zijn. Dat vraagt om blijvende investeringen in beveiliging en beheer. Want wie alleen zijn bedrijfsgegevens beschermt, ontdekt mogelijk pas hoe kwetsbaar zijn onderneming werkelijk is wanneer de stroomt uitvalt of machines stilstaan.
Joris van Hellenberg Hubar is Global Solution Owner bij Equans Nederland.
