Beschermen wat u niet in kaart heeft, is niet mogelijk. Toch ontbreekt in veel industriële omgevingen een actueel overzicht van de aanwezige OT-assets. Zonder die inventaris is niet vast te stellen welke apparaten kwetsbaar zijn, welke firmware achterloopt en waar de grootste risico's zich bevinden.
Kernboodschap: een OT-assetinventaris vormt de basis van iedere beveiligingsstrategie. Zonder volledig overzicht van PLC's, SCADA-servers, HMI's, switches en sensoren blijft risicobeheersing een aanname.
Waarom is een OT-asset inventaris zo belangrijk?
IEC 62443 stelt een assetoverzicht expliciet als vertrekpunt, en uit de zorgplicht van de Cyberbeveiligingswet volgt hetzelfde: risico's beheersen veronderstelt dat u weet waarover u spreekt. Ook zonder die verplichtingen blijft de praktische werkelijkheid dat een omgeving zich niet laat beveiligen zolang onduidelijk is wat er op het netwerk staat.
Bij assessments treffen wij geregeld het volgende aan:
- PLC's met firmware uit 2010 waarop nooit een update is toegepast
- engineering workstations met een rechtstreekse internetverbinding
- apparatuur die door een leverancier is bijgeplaatst zonder dat dit is vastgelegd
- switches en routers waarvan het beheerwachtwoord niet meer bekend is
Stap 1: Definieer de scope
Bepaal welke locaties, zones en systemen u inventariseert. Gebruik het model van zones en conduits uit IEC 62443 om logische grenzen te trekken, en begin bij de meest kritieke productieprocessen. Een inventarisatie die overal tegelijk begint, wordt zelden afgerond.
Stap 2: Passieve discovery
Zet passieve netwerkmonitoring in om verkeer te analyseren zonder het OT-netwerk te belasten. Oplossingen als Nozomi Networks en Claroty, evenals opensource-alternatieven, herkennen industriële protocollen zoals Modbus, Profinet en EtherNet/IP en brengen apparatuur automatisch in kaart.
Let op: actieve scanning met instrumenten als Nmap of Nessus kan PLC's en oudere SCADA-systemen laten vastlopen. In OT-omgevingen begint een inventarisatie daarom altijd passief.
Stap 3: Handmatige verificatie
Passieve monitoring mist apparatuur die weinig of geen verkeer genereert. Loop de installatie daarom fysiek na en leg per apparaat vast:
- fabrikant, model en serienummer
- firmwareversie en patchstatus
- IP-adres, MAC-adres en netwerksegment
- functie binnen het productieproces
- de verantwoordelijke afdeling of beheerder
Stap 4: Classificeer en prioriteer
De gevolgen van compromittering verschillen sterk per apparaat. Classificeer daarom op drie punten:
- Kriticiteit: wat zijn de gevolgen voor veiligheid en productie bij uitval?
- Kwetsbaarheid: is de firmware actueel en zijn er bekende kwetsbaarheden?
- Bereikbaarheid: vanaf welke zones is het apparaat benaderbaar?
De combinatie van deze drie bepaalt de volgorde van uw maatregelen. Een kwetsbaar maar geïsoleerd apparaat verdient minder haast dan een minder kwetsbaar apparaat dat vanaf het kantoornetwerk bereikbaar is.
Stap 5: Onderhoud de inventaris
Een eenmalige inventarisatie veroudert snel. Richt daarom een proces in waarbij:
- nieuwe apparatuur automatisch wordt gesignaleerd
- wijzigingen aan firmware en configuratie worden vastgelegd
- de inventaris ten minste per kwartaal wordt getoetst
- een centraal register als bron wordt aangehouden
Veelgemaakte fouten
- Uitsluitend IT-assets inventariseren. OT-apparatuur blijft buiten beeld omdat zij niet onder de IT-afdeling valt.
- Een spreadsheet als bron van waarheid. Die loopt binnen enkele weken achter op de werkelijkheid.
- Geen eigenaarschap beleggen. Zonder een aanwijsbare verantwoordelijke wordt de inventaris niet bijgehouden, hoe goed het startpunt ook was.
Hulp nodig bij uw OT-asset inventaris?
Resotech inventariseert uw industriële assets, beoordeelt de risico's per systeem en levert een prioritering voor de vervolgstappen. U hoort binnen twee werkdagen van ons.
Plan een gesprek Gratis OT-scan