De titel is bewust scherp gesteld. Uw IT-beveiliger is ongetwijfeld vakbekwaam. Het punt is dat de kennis, de aanpak en vooral de reflexen die in een IT-omgeving goed werken, in een OT-omgeving schade kunnen aanrichten. Een firewall-update die op kantoor routine is, kan een productielijn stilleggen. Een kwetsbaarhedenscan die op kantoor standaard is, kan een besturing laten vastlopen.
Een bekend risico: een kwetsbaarhedenscan die op het kantoornetwerk wordt uitgevoerd, bereikt bij het ontbreken van segmentatie ook de productieomgeving. Oudere besturingen en bedieningsstations zijn niet ontworpen om onverwacht netwerkverkeer te verwerken en kunnen daarop vastlopen. Dit is een van de weinige scenario's waarin een beveiligingsmaatregel zelf de verstoring veroorzaakt, en het is de reden dat scanning in OT-omgevingen aan strikte voorwaarden is gebonden.
De fundamentele verschillen
IT-security
- Vertrouwelijkheid als hoogste prioriteit
- Periodiek patchen is standaard
- Systemen kunnen worden herstart
- Levensduur van 3 tot 5 jaar
- Kwetsbaarhedenscans zijn routine
- Volgorde: vertrouwelijkheid eerst
- Uitval is hinder
OT-security
- Beschikbaarheid en veiligheid als hoogste prioriteit
- Patchen kan maanden tot jaren vergen
- Herstarten kan productieverlies of gevaar opleveren
- Levensduur van 15 tot 25 jaar
- Scans kunnen apparatuur laten vastlopen
- Volgorde: beschikbaarheid eerst
- Uitval is direct verlies of risico
Vijf dingen die IT-beveiligers fout doen in OT
1. Ongecontroleerd patchen
Op kantoor is de maandelijkse patchronde een vast gegeven. In OT kan een patch een proces verstoren dat al jaren stabiel draait. Patches horen daarom eerst in een testopstelling te worden beproefd, voor zover er voor het betreffende systeem überhaupt nog een patch verschijnt.
2. Actief scannen
Nmap, Nessus en Qualys zijn beproefde instrumenten op kantoor, maar kunnen oudere besturingen, RTU's en bedieningsstations laten vastlopen. OT-omgevingen vragen om passieve monitoring of om instrumenten die voor deze omgeving zijn ontworpen.
3. Firewallregels die alles dichtzetten
Een strikte configuratie is op kantoor de aanbevolen praktijk. In OT kan het blokkeren van één communicatiestroom een veiligheidsregelkring onderbreken, met fysieke gevolgen. De regel zelf is niet verkeerd; de volgorde is dat wel. Eerst vaststellen welk verkeer noodzakelijk is, dan pas sluiten.
4. Antivirus op bedieningsstations
Een virusscanner die tijdens een update rekenkracht opeist op een station dat procesdata in realtime verwerkt, kan leiden tot gemiste alarmen of tragere reactietijden. Precies op het moment dat de operator die informatie nodig heeft.
5. Een standaard wachtwoordbeleid opleggen
Wachtwoordrotatie elke negentig dagen op een gedeeld operatoraccount dat door drie ploegen wordt gebruikt, leidt voorspelbaar tot een briefje naast het scherm. Het beleid is dan formeel nageleefd en het beveiligingsniveau feitelijk gedaald.
Wat heeft u dan nodig?
Dit is geen pleidooi tegen samenwerking tussen IT en OT, integendeel. Het is een pleidooi voor mensen die beide domeinen kennen:
- Een OT-specifieke risicoanalyse conform IEC 62443, niet uitsluitend volgens ISO 27001
- Passieve monitoring in plaats van actief scannen
- Segmentatie als fundament, met zones en conduits
- Procedures die rekening houden met OT voor patchbeheer, wijzigingsbeheer en incidentafhandeling
- Een team waarin beide werelden vertegenwoordigd zijn, zodat de afweging tussen beschikbaarheid en beveiliging aan tafel wordt gemaakt en niet achteraf
De gulden regel: IT-security beschermt gegevens. OT-security beschermt processen, mensen en de fysieke omgeving. Beide zijn onmisbaar, maar zij vragen een wezenlijk andere aanpak.
OT-security expertise nodig?
Resotech combineert IT- en OT-securitykennis en helpt u een aanpak te kiezen die uw productie beschermt zonder het proces te verstoren.
Plan een gesprek