Het is dinsdagochtend, kwart over zes. De nachtploeg meldt dat drie bedieningsschermen zwart zijn. De SCADA-server reageert niet. Op twee werkstations staat een losgeldbericht. De productielijn ligt stil. De vraag is wat u dan als eerste doet.
De meeste industriële organisaties beschikken over een incident response plan voor de IT-omgeving. Een OT-incident verloopt echter wezenlijk anders: er zijn fysieke veiligheidsrisico's, systemen die zich niet zonder meer laten herstarten, en processen die volgens een vaste procedure moeten worden afgeschakeld. De beslissingen in het eerste uur bepalen in hoge mate of u uren of weken stilstaat.
Wettelijke termijn: een significant incident moet binnen 24 uur als vroegtijdige waarschuwing bij de toezichthouder worden gemeld, gevolgd door een volledige melding binnen 72 uur. Die klok begint te lopen op het moment dat u het incident vaststelt, niet op het moment dat u de oorzaak kent.
De eerste 60 minuten: stappenplan
Alarm en eerste beoordeling
Stel vast wat er speelt: welke systemen zijn getroffen, is er gevaar voor medewerkers of milieu, en blijft het incident beperkt tot de IT-omgeving of raakt het ook de productie? Roep het crisisteam bijeen, met OT-personeel erbij en niet uitsluitend IT.
Veiligheid en isolatie
Is er sprake van gevaar, schakel het proces dan af volgens de daarvoor vastgestelde procedure. Isoleer het getroffen netwerksegment en verbreek de koppeling tussen IT en OT. Schakel geen systemen uit die sporen bevatten, tenzij de veiligheid dat vereist: een uitgeschakeld systeem is later niet meer te onderzoeken.
Scope bepalen en communicatie
Breng in kaart welke systemen, zones en locaties zijn geraakt. Informeer de directie en begin met vastleggen. Schakel uw incident response partner in en beoordeel of het incident meldingsplichtig is.
Containment
Beperk de verspreiding: isoleer getroffen zones, blokkeer verdachte accounts en sluit externe toegang af. Controleer daarnaast of de veiligheidsinstrumentatie nog naar behoren functioneert, en ga over op handmatige bediening wanneer dat veilig kan.
Eerste herstelplan en melding
Maak een eerste inschatting van hersteltijd en benodigde inzet. Verstuur de vroegtijdige waarschuwing wanneer het incident als significant kwalificeert. Leg alle handelingen, besluiten en tijdstippen vast; die vastlegging heeft u nodig voor de vervolgmelding, de verzekeraar en de evaluatie.
De 5 meest gemaakte fouten bij OT-incidenten
- Systemen in allerijl uitschakelen. Daarmee verdwijnen de sporen en kan het proces in een onveilige toestand achterblijven. Isoleren verdient de voorkeur boven uitschakelen.
- Geen OT-personeel betrekken. IT-medewerkers kennen de procesomgeving niet. Operators weten welke systemen veiligheidskritisch zijn en welke niet.
- Back-ups terugzetten zonder te weten of ze schoon zijn. Malware kan al weken in de back-ups aanwezig zijn. Verifieer eerst, herstel daarna.
- Ongeorganiseerde communicatie. Zonder vooraf vastgelegd protocol belt iedereen iedereen. Wijs één incident commander aan die besluiten neemt.
- Niet vastleggen. Wat niet is gedocumenteerd, is achteraf niet aan te tonen. Wijs vanaf het eerste moment iemand aan die uitsluitend registreert.
Heeft u een OT incident response plan?
De toets is eenvoudig: valt morgen uw SCADA-omgeving uit, weet u dan wat er moet gebeuren? Beschikt u over:
- een incident response plan dat specifiek op OT is toegesneden, en niet uitsluitend op IT?
- contactgegevens van een forensisch team met ervaring in industriële omgevingen?
- procedures om productieprocessen veilig af te schakelen?
- beproefde back-ups van PLC-configuraties en SCADA-projecten?
- een communicatieprotocol voor het crisisteam?
- een meldprocedure die de wettelijke termijnen haalt, ook buiten kantooruren?
Moet u meer dan twee van deze vragen ontkennend beantwoorden, dan is het opstellen van zo'n plan de eerstvolgende stap. Dat werk laat zich vooraf in alle rust doen, en tijdens een incident niet.
Voorbereiding is goedkoper dan herstel. Het opstellen en beproeven van een OT incident response plan vergt een fractie van wat een onvoorbereid incident kost aan productieverlies, herstel en verantwoording achteraf.
Voorbereid zijn op een OT-incident?
Resotech helpt industriële organisaties bij het opstellen en beproeven van OT-specifieke incident response plannen, van een tabletop-oefening tot een plan dat aan de meldplicht voldoet.
Neem contact op