Bij OT-assessments in de Nederlandse en Europese industrie komen steeds dezelfde tekortkomingen naar voren. Het zijn vermijdbare tekortkomingen, die installaties niettemin blootstellen aan verstoringen met soms ingrijpende gevolgen. Hieronder de vijf die het vaakst terugkeren.
Geen segmentatie tussen IT- en OT-netwerken
De meeste industriële organisaties hebben hun kantoornetwerk en hun productieomgeving ooit bewust gescheiden gehouden. Door digitalisering zijn die grenzen vervaagd: toegang op afstand, koppelingen met clouddiensten en integraties met het ERP-systeem hebben er ieder een opening in gemaakt. Het gevolg is dat ransomware op het kantoornetwerk kan doorwerken tot op de besturingen op de werkvloer.
Dat is precies wat zich in 2021 voordeed bij Colonial Pipeline in de Verenigde Staten: een aanval op het IT-netwerk leidde tot het stilleggen van een pijpleiding van 8.850 kilometer, terwijl de besturingssystemen zelf niet waren geraakt.
Oplossing: breng een gelaagde segmentatie aan met een DMZ tussen IT en OT. Zet firewalls in, en voor de meest kritieke koppelingen datadiodes of unidirectionele gateways. Volg daarbij het model van zones en conduits uit IEC 62443.
Standaard- en fabrieksinstelling wachtwoorden
Bij assessments treffen wij met enige regelmaat SCADA-interfaces, bedieningsstations en netwerkapparatuur aan waarop nog het fabriekswachtwoord actief is. Combinaties als admin/admin, 1234 of de naam van de fabrikant staan boven aan de lijst die een aanvaller als eerste beproeft, juist omdat het zo vaak werkt.
De oorzaak is doorgaans praktisch van aard: in een omgeving die continu doordraait, is het wijzigen van wachtwoorden bewerkelijk en niet zonder risico. Het achterwege laten ervan is echter het grotere risico.
Oplossing: stel een wachtwoordbeleid op dat ook OT-componenten omvat. Zet een voorziening voor beheer van bevoorrechte toegang in en leg inloggegevens vast in een beveiligde kluis. Plan de wijzigingen in tijdens geplande onderhoudsstops, zodat de productie er niet onder lijdt.
Geen patch management voor OT-systemen
In de kantooromgeving is periodiek patchen vanzelfsprekend. In OT ligt dat anders: systemen draaien continu, leveranciers certificeren een patch soms pas maanden na uitgifte, en het herstarten van een besturing kan productieverlies opleveren dat per uur in de duizenden euro's loopt.
Het gevolg is dat OT-omgevingen jarenlang kunnen draaien op verouderde besturingssystemen, achterhaalde firmware en niet-bijgewerkte SCADA-software.
Oplossing: stel een patchkalender op waarin de volgorde wordt bepaald door risico, niet door beschikbaarheid van de patch. Vang kwetsbaarheden die u niet kunt verhelpen op met compenserende maatregelen zoals segmentatie en applicatiewhitelisting. Beproef iedere patch eerst in een testopstelling.
Ongecontroleerde remote access
Toegang op afstand tot industriële omgevingen is de afgelopen jaren sterk toegenomen. Leveranciers, onderhoudspartners en eigen medewerkers verbinden zich via VPN of remote desktop rechtstreeks met OT-componenten, veelal zonder multifactor-authenticatie, zonder logging en zonder beperking van de sessieduur.
Iedere verbinding van buitenaf vormt een toegangsweg die beveiligd en bewaakt moet worden, ook wanneer de partij aan de andere kant al jaren voor u werkt.
Oplossing: richt een aparte voorziening voor beveiligde toegang op afstand in voor OT, niet de VPN die de kantooromgeving gebruikt. Stel multifactor-authenticatie verplicht, leg alle sessies vast en beperk de duur ervan. Plaats een jump server in de DMZ als tussenliggende laag.
Geen OT-asset inventaris
Beveiligen wat niet in kaart is gebracht, is niet mogelijk. In de praktijk beschikken organisaties zelden over een volledig overzicht van hun OT-componenten. Welke besturingen draaien op welke firmwareversie? Welke apparaten hebben een netwerkverbinding? Welke leveranciers beschikken over toegang op afstand?
Zonder dat overzicht is een gerichte risicoanalyse niet uitvoerbaar, en daarmee ook geen onderbouwd beveiligingsprogramma.
Oplossing: begin met passieve assetdiscovery, met oplossingen als Claroty, Dragos of Nozomi. Bouw daarmee een actueel register van alle OT-componenten op en houd dat bij. Dit is tevens de eerste stap van iedere IEC 62443-implementatie.
Conclusie
Deze vijf tekortkomingen zijn alle vermijdbaar, maar vergen bewuste keuzes, prioritering en middelen. Een OT-beveiligingsprogramma hoeft op dag één niet volledig te zijn. Wat telt is dat u weet waar u staat, welke risico's u aanvaardbaar acht en welke stap u als eerste zet.
Wilt u weten waar uw OT-omgeving staat?
Resotech voert een gratis OT Scan uit en geeft u een onderbouwd beeld van uw beveiligingsniveau, zonder verdere verplichtingen.
Gratis OT Scan aanvragen IEC 62443 dienst