“De grootste uitdaging ligt op het menselijke vlak: het besef dat Operational Technology (OT) fundamenteel anders is dan Information Technology (IT),” zegt Sebastiaan Koning. Als business consultant cybersecurity bij ICT Group heeft hij een uniek inkijkje in de uitdagingen die organisaties tegenkomen bij het beveiligen van hun OT-systemen.
Het allerbelangrijkste? Om de twee teams op één lijn te krijgen. Want, “organisaties waarbij IT en OT goed samenwerken, zijn juist het meest succesvol in die integratie.” Daarmee lopen we wel op de zaken vooruit, want er liggen nogal wat obstakels op de weg naar effectieve OT-beveiliging in het huidige IT-gedomineerde landschap.
Voor dit artikel bespraken we met Sebastiaan over de meest voorkomende uitdagingen en hoe organisaties deze het hoofd kunnen bieden.
Sebastiaan modereert een roundtable over IT/OT integratie in het (semi-)publieke domein op 28 november in Nieuwegein. Bent u geïntereseerd in dit onderwerp? Meld u dan hier aan voor de roundtable en lunch.
Uitdaging 1: De complexiteit van OT-omgevingen
OT-systemen zijn vaak een lappendeken van technologieën uit verschillende tijdperken. Sebastiaan, die als adviseur talloze OT-security projecten van dichtbij heeft meegemaakt, weet als geen ander hoe ingewikkeld deze omgevingen kunnen zijn.
“Bij het in kaart brengen van OT-omgevingen stuiten we regelmatig op verrassingen die we niet voor mogelijk hadden gehouden,” vertelt Sebastiaan. Het proces omvat uitgebreide risico-inventarisaties, inzicht geven in de organisatorische cybersecurity volwassenheid van OT en het opstellen van een roadmap.
Een cruciaal onderdeel is het identificeren van alle assets en hun onderlinge communicatie. Systemen en oplossingen zijn vaak gegroeid over een lange periode. Sebastiaan voegt toe: “Je komt veel onverwachte zaken tegen die slecht of helemaal niet gedocumenteerd zijn.” Netwerk Security Monitoring technologie helpt bij het krijgen van inzicht.
Uitdaging 2: IT-oplossingen toepassen op OT
Een veelvoorkomende valkuil is het klakkeloos toepassen van IT-oplossingen op OT-omgevingen, zonder rekening te houden met de unieke eigenschappen van operationele technologie.
Sebastiaan illustreert dit met een treffend voorbeeld: “Stel je voor dat je stringente veiligheids- en securitymaatregelen treft bij een waterschap. Een gemaalpomp draait normaal gesproken op maximaal 70% van zijn capaciteit. Maar wat als er bij hoog water of extreme regenval 100% nodig is? Als je de beveiliging instelt op een maximum van 70% en de pomp kan niet verder open, dan heb je een groot probleem – de weilanden lopen bijvoorbeeld onder water. Dit scenario laat zien hoe belangrijk het is om de operationele context te begrijpen bij het implementeren van beveiligingsmaatregelen.”
Uitdaging 3: Efficiëntieslag in OT door digitalisering
De drang naar efficiëntie leidt vaak tot het toevoegen van sensoren en actuatoren in OT-omgevingen. Hoewel dit voordelen biedt, ontstaan er ook nieuwe beveiligingsrisico’s.
“We zien een sterke trend richting digitalisering in OT,” legt Sebastiaan uit. “Dit biedt fantastische kansen. Je kunt op de onderste laag van je OT veel meer data verzamelen van sensoren en actuatoren. Deze informatie kun je snel naar boven halen voor procesoptimalisatie en efficiënte bijsturing op basis van data-analytics.”
Hij waarschuwt echter: “Door deze focus op efficiëntie vergeet men soms dat men eigenlijk een directe verbinding door de hele technische omgeving duwt. Dit kan nieuwe kwetsbaarheden creëren die impact hebben op de stabiliteit en betrouwbaarheid van de operatie. Het is essentieel om cybersecurity in het oog te houden bij het nastreven van efficiëntiewinst.”
Uitdaging 4: OT is meer dan techniek alleen
Een vaak onderschat aspect van OT-beveiliging is de fysieke component. Het gaat niet alleen om digitale aanvallen, maar ook om de menselijke factor en supply chain-risico’s.
Sebastiaan benadrukt het belang van een holistische benadering: “We hebben het niet altijd over bewuste aanvallen. Cybersecurity-incidenten kunnen ook onbedoeld ontstaan. Stel je voor: een onderhoudsmonteur komt met zijn laptop in de OT-omgeving en sluit deze aan. Hij heeft de beste bedoelingen, maar wat als die laptop de week ervoor in vier andere fabrieken is geweest? Welke malware heeft hij mogelijk opgepikt en verspreidt hij nu onbewust?”
Hij voegt toe: “Zelfs als de IT-omgeving goed beveiligd is, kan een fysieke connectie in de OT-omgeving nog steeds een risico vormen. Dit onderstreept het belang van een geïntegreerde aanpak van zowel digitale als fysieke beveiliging.”
Uitdaging 5: De snelheid van IT-ontwikkelingen in OT
De razendsnelle evolutie van IT-technologieën dringt steeds meer door in OT-omgevingen, die van oudsher veel trager evolueren. Dit leidt tot een botsing van snelheden en een potentiële mismatch in beveiligingsmaatregelen.
“Ik geef vaak workshops op verschillende niveaus in organisaties,” vertelt Sebastiaan. “Het doel is om medewerkers bewust te maken van wat het OT-domein precies inhoudt en welke beveiligingsmaatregelen relevant zijn. Veel OT’ers en technologen denken nog steeds dat airgap-omgevingen veilig zijn. Maar we weten al sinds de Stuxnet-aanval in Iran in 2010 dat een volledig geïsoleerde OT-omgeving een illusie is. Er zijn altijd manieren om data en aanvallen binnen te brengen als de motivatie groot genoeg is. Dit besef moet doordringen in de hele organisatie.”
De grootste uitdaging: people management
Ondanks alle technische complexiteiten blijkt de menselijke factor de grootste uitdaging te zijn. De samenwerking tussen IT- en OT-professionals is cruciaal, maar vaak problematisch door de eerder genoemde uitdagingen.
Sebastiaan benadrukt het belang van volwassenheid in de aanpak: “Het gaat om volwassenheid in hoe je omgaat met verschillende partijen. In veel technische omgevingen krijg je mooie veiligheidsfolders bij de ingang. Ze vertellen je wie je moet bellen in geval van brand of andere calamiteiten. Maar er staat nergens: ‘Sluit nooit je laptop aan’ of ‘Bij verdacht cybergedrag, bel dit nummer’. Dit illustreert de groei in volwassenheid die we nog moeten doormaken.”
Hij trekt een parallel met de evolutie van fysieke veiligheid in industriële omgevingen: “We hebben jaren geleden een vergelijkbaar traject doorlopen met betrekking tot mensveiligheid in de industrie. Cybersecurity in OT-omgevingen volgt een soortgelijk pad. Het is een volwassenheidsproces waarin we moeten groeien.”
Conclusie: Naar een volwassen integratie
De uitdagingen in OT-beveiliging zijn talrijk en complex, maar niet onoverkomelijk. De sleutel ligt in het erkennen dat cybersecurity in OT-omgevingen een volwassenheidsproces is dat continue aandacht en ontwikkeling vereist.
Organisaties die erin slagen om de kloof tussen IT en OT te overbruggen, zullen beter gepositioneerd zijn om de voordelen van digitalisering te benutten zonder concessies te doen aan veiligheid. Dit vereist niet alleen technische expertise, maar ook een cultuurverandering en verbeterde communicatie tussen verschillende afdelingen.
Het voorbeeld van de Nederlandse Spoorwegen (NS) illustreert de vooruitgang die gemaakt kan worden. Sebastiaan merkt op: “Bij de treinen zijn al behoorlijk wat maatregelen getroffen. Veel systemen aan boord zijn gesegmenteerd en fysiek gescheiden ondergebracht. Het is bijvoorbeeld onmogelijk om via de wifi-hotspot aan boord bij de tractiesystemen van de trein te komen. Je kunt dus nooit via het internet de aandrijving van de trein manipuleren.”
Meer weten? Kom naar onze roundtable op 28 november
Ontdek hoe u IT/OT-integratie in de (semi-)publieke sector naar een hoger niveau tilt. Kom dan naar de roundtable georganiseerd door ICT TriOpSys op 28 november 2024. Sebastiaan Koning modereert het evenement.
Experts van onder andere het Nationaal Cyber Security Centrum (NCSC), Splunk en de Nederlandse Spoorwegen (NS) zullen hun inzichten delen over best practices en praktische aanbevelingen.
Deze essentiële bijeenkomst vindt plaats in Green Village, Nieuwegein, van 12:00 tot 16:00 uur. Het is een unieke kans om te leren van sectorgenoten en experts, en om uw eigen ervaringen te delen. Reserveer nu uw plaats en ontdek hoe u de uitdagingen van IT/OT-integratie kunt omzetten in kansen voor uw organisatie.