In veel Nederlandse fabrieken, waterzuiveringsinstallaties en energiebedrijven is het netwerk niet ontworpen maar gegroeid. Kantoorwerkplekken, SCADA-servers, PLC's en bedieningsstations bevinden zich daardoor in dezelfde platte structuur. Wat ooit praktisch was, vormt inmiddels de meest wezenlijke kwetsbaarheid van de installatie.

Wat een plat netwerk in de praktijk betekent: wie toegang krijgt tot één systeem, bereikt binnen korte tijd alle systemen, inclusief de besturingen die het fysieke proces aansturen. De afstand tussen een phishingmail bij de administratie en een stilstaande productielijn is in zo'n netwerk aanzienlijk korter dan doorgaans wordt aangenomen.

Hoe ziet een plat netwerk eruit?

Vijf kenmerken waaraan u het herkent. Gaat meer dan één ervan op, dan is uw netwerk in de praktijk plat:

  • Kantoorwerkplekken en productiemachines delen hetzelfde VLAN of subnet
  • Tussen IT en OT staat geen firewall, of staat er een die vrijwel alles doorlaat
  • Engineers benaderen PLC's en bedieningsstations rechtstreeks vanaf de laptop waarop zij ook hun e-mail lezen
  • De VPN-verbinding van externe leveranciers komt rechtstreeks uit op het OT-netwerk
  • Ergens in de keten is een internetverbinding gekoppeld aan een productiesysteem, vaak via een omweg die niet meer volledig te reconstrueren is

Waarom dit een tikkende tijdbom is

Ransomware in een kantooromgeving is kostbaar en hinderlijk: bestanden zijn versleuteld en systemen moeten worden hersteld. Dezelfde ransomware in een OT-omgeving raakt iets anders, namelijk een fysiek proces dat doorloopt terwijl u de controle erover kwijt bent. De gevolgen laten zich in vier categorieën indelen:

  • Stilstand. Afhankelijk van marge en volume loopt het omzetverlies van enkele duizenden tot honderdduizenden euro's per dag.
  • Onveilige situaties. Wie de procesbesturing kan beïnvloeden, kan drukken, temperaturen en niveaus buiten hun ontwerpgrenzen brengen.
  • Milieuschade. Een ongecontroleerde lozing of een overschrijding van emissienormen brengt naast opruimkosten ook verantwoording richting het bevoegd gezag met zich mee.
  • Herstel in weken in plaats van dagen. Er zijn reserveonderdelen nodig, firmware die soms uitsluitend bij de leverancier beschikbaar is, en een herconfiguratie die zelden volledig is gedocumenteerd.

Wat zegt de wet?

Segmentatie stond lange tijd in de categorie voornemens. Die tijd is voorbij; drie kaders stellen de eis inmiddels expliciet of impliciet:

  • NIS2 spreekt van passende en evenredige technische maatregelen. Bij een ongesegmenteerd netwerk is die toets in de praktijk niet te doorstaan.
  • IEC 62443 bouwt het volledige model op zones en conduits. Zonder segmentatie zijn er geen zones, en valt de rest van de norm niet toe te passen.
  • ISO 27001 benoemt netwerksegmentatie afzonderlijk in Annex A 8.22.

De eerste stappen naar segmentatie

Een netwerk laat zich niet in één weekend herbouwen, en dat is ook niet nodig. De volgorde die in de praktijk werkt:

  1. Inventariseer. Breng in kaart welke apparaten aanwezig zijn en hoe zij met elkaar communiceren. Zonder dat overzicht ontwerpt u op aannames.
  2. Trek één grens. Begin met de scheiding tussen IT en OT, met een DMZ daartussen. Verdere verfijning volgt later.
  3. Stel de firewall in op weigeren tenzij toegestaan. Open vervolgens uitsluitend wat aantoonbaar nodig is. Dat levert discussie op met leveranciers, en juist die discussie maakt zichtbaar welk verkeer er werkelijk loopt.
  4. Haal leverancierstoegang van het OT-netwerk af. Laat externe partijen binnenkomen op een jump server in de DMZ, nooit rechtstreeks op een besturing.
  5. Houd toezicht op de grenzen. Detectie of OT-monitoring op de overgangen tussen zones maakt zichtbaar wat er feitelijk over het netwerk gaat.

Uit de praktijk: een eerste werkbare scheiding tussen IT en OT staat bij de meeste organisaties binnen enkele weken, zonder dat de productie daarvoor stil hoeft. Het beeld dat segmentatie noodzakelijkerwijs een meerjarenproject is, komt niet overeen met wat wij in de praktijk zien.

Hoe plat is uw netwerk?

Resotech voert OT-netwerkassessments uit en helpt bij het ontwerp en de invoering van segmentatie conform IEC 62443, in stappen die uw organisatie kan dragen.

Plan een assessment