Pak je OT-security aan om de fabrieksvloer te beveiligen

Wat is OT, en waarom is het anders?

Met OT bedoelen we de systemen die je productie aansturen: PLC's, besturingssystemen, robots, sensoren en de software die ze verbindt. Waar IT draait om informatie, draait OT om fysieke processen. Bij een storing staat niet alleen een computer stil, maar een productielijn.

Daardoor gelden er andere randvoorwaarden. Een internationale richtlijn over OT-beveiliging, gepubliceerd door onder meer het Amerikaanse CISA, noemt beperkte momenten om te patchen, weinig logging en lange levensduur van apparatuur als typische uitdagingen. Veiligheid en continuïteit gaan in de fabriek voor.

Waar zitten de risico's?

Volgens het NCSC hebben steeds meer bedrijven hun industriële besturingssystemen en OT met internet verbonden. Die ‘slimme apparaten’ kunnen daardoor eenvoudiger bereikbaar zijn dan je denkt, ook voor kwaadwillenden. Denk aan onderhoud op afstand door een machineleverancier, een koppeling tussen je ERP en de productievloer, of een robotcel die data naar de cloud stuurt.

Daar komt bij dat veel industriële systemen zijn ontworpen in een tijd waarin cybersecurity nog geen rol speelde. Wie zulke systemen alsnog aan een netwerk koppelt, creëert nieuwe ingangen voor aanvallers, waarschuwt Cees van Rekum van TCPM in een interview op fme.nl.

Hoe dat er in de praktijk uitziet, liet OT-cybersecurityspecialist Rob Verseijden van Batenburg Techniek zien tijdens een bijeenkomst in Dordrecht. In een live demonstratie op een testinstallatie nam een aanvaller de controle over de pompen over. De route liep via een geïnfecteerd bedienstation dat zelf verbinding maakte met een externe server. Een aanval komt dus niet altijd binnen via de firewall: ook systemen die zelf contact leggen met de buitenwereld kunnen een risico vormen. Houd daarom ook uitgaand netwerkverkeer in de gaten en scheid je netwerken.

Juist de ontwikkelingen uit eerdere campagnes (robotisering, AI, data-uitwisseling in de keten) vergroten het aantal verbindingen. Dat is geen reden om ermee te stoppen, wel om de beveiliging mee te laten groeien.

Uitgangspunten voor veilige OT

In 2024 publiceerden cybersecuritydiensten uit meerdere landen, waaronder het Nederlandse NCSC, de richtlijn Principles of operational technology cyber security. Een aantal principes daaruit is ook voor mkb-maakbedrijven goed bruikbaar:

• Scheid OT van andere netwerken. Zorg dat een besmetting op kantoor niet zomaar de productie kan bereiken. Het Cyberweerbaarheidscentrum Maakindustrie schreef hierover een artikel over netwerksegmentatie.
• Bescherm OT-data. Gegevens over je installaties en processen zijn waardevol, ook voor aanvallers.
• Kijk naar je leveranciers. Ketenbeveiliging gaat verder dan de grote merken: ook servicepartijen en onderhoud op afstand horen erbij.
• Investeer in mensen. Medewerkers zijn de eerste verdedigingslinie.

Praktisch beginnen

1. Maak een overzicht van alles op de fabrieksvloer dat met een netwerk of internet is verbonden.
2. Breng in kaart welke leveranciers op afstand toegang hebben, en maak daar afspraken over.
3. Zorg voor back-ups van besturingssoftware en configuraties, en test of terugzetten werkt.
4. Neem beveiligingseisen op bij de aanschaf van nieuwe machines.
5. Doe de gratis Security Check Procesautomatisering van het NCSC.

Die zelfscan duurt ongeveer tien minuten en begint met de vraag hoe ernstig de gevolgen van een incident voor jouw bedrijf zijn: hoe groter de impact, hoe meer maatregelen nodig zijn. Je krijgt direct een checklist met nog te nemen maatregelen. Wie verder wil, vindt bij het NCSC ook informatie over ICS-beveiliging.

Hulp bij OT-security

Smart Industry zet hulpmiddelen en stappen voor OT-beveiliging op een rij. Wil je dat een expert meekijkt, dan omvat de nulmeting van de Dienst Cyberweerbaarheid zowel je IT- als je OT-omgeving. In Zuid-Holland biedt het Cyberweerbaarheidscentrum Maakindustrie zijn deelnemers onder meer een OT Security Simulatie.

Verdiepende informatie

Meer informatie vind je in de onderstaande artikelen:

• Geldt de Cyberbeveiligingswet ook voor jouw bedrijf? Wie eronder valt, wat de wet vraagt en wat het betekent als je klant eronder valt.
• Wat machinebouwers nu al moeten regelen vanwege de Cyber Resilience Act. De meldplicht die sinds september geldt en de eisen die in december 2027 volgen. 
• Cybersecurity is een bestuurstaak. Wat de wet van bestuurders vraagt en welke vragen je als directeur stelt. 
• Start met cybersecurity in vijf stappen: vijf eerste stappen. Gratis checks, basismaatregelen en de subsidie die tot en met 30 november openstaat.