Shadow OT: de systemen die uw IT-afdeling niet kent

Ergens in uw fabriek, achter een schakelkast of weggewerkt in een kabelgoot, bevindt zich een apparaat dat in geen enkel register voorkomt. Niemand op de IT-afdeling weet dat het er is. Geen enkele scan heeft het ooit geraakt. Toch heeft het volledige toegang tot uw operationele netwerk. Dat is Shadow OT.

Het begrip schaduw-IT is inmiddels bekend: medewerkers die zonder toestemming clouddiensten gebruiken, eigen laptops aansluiten of zelf software aanschaffen. In de kantooromgeving levert dat al vraagstukken op. In de operationele technologie is het probleem niet alleen omvangrijker, maar ook van een andere orde. Waar schaduw-IT doorgaans uitmondt in een datalek, kan Shadow OT leiden tot fysieke schade, productieverlies of onveilige situaties.

Waarom Shadow OT ontstaat

Shadow OT komt vrijwel nooit voort uit kwade opzet, maar uit ongeduld. Operators en procesengineers zijn praktisch ingesteld. Wanneer zij een probleem hebben en de officiële route te traag verloopt, lossen zij het zelf op. De techniek om dat te doen is bovendien goedkoper en toegankelijker dan ooit.

De situaties die wij in de praktijk het vaakst tegenkomen:

• Mobiele routers voor toegang op afstand: een operator wil van huis de status van een machine kunnen zien. Een router van enkele tientallen euro's later bestaat er een rechtstreekse, onbeveiligde verbinding tussen het internet en het SCADA-netwerk. Zonder firewall, zonder logging, zonder VPN.
• Kleine computers als datalogger: een procesengineer wil meer meetgegevens dan het bestaande systeem levert. Een eenvoudige computer met enkele sensoren staat er binnen een middag, draaiend op een standaardinstallatie die daarna nooit meer wordt bijgewerkt.
• Privélaptops met engineeringsoftware: de licentie van het officiële werkstation is verlopen en de aanvraag voor verlenging ligt al weken bij inkoop. De engineer sluit zijn eigen laptop aan om een besturing te kunnen programmeren.
• Monitoring via clouddiensten: een bedrijfsleider wil actuele dashboards op zijn telefoon. Een dienst met een gratis proefperiode biedt dat, waarna gegevens uit het OT-netwerk via een klein programma rechtstreeks naar een externe omgeving worden verzonden.
• Draadloze toegangspunten: het officiële netwerk dekt de productiehal niet volledig. Iemand plaatst een consumentenrouter om met een tablet bij het bedieningsstation te kunnen.

In al deze gevallen is de bedoeling goed: mensen willen hun werk beter of sneller doen. Het gevolg is niettemin een aanvalsoppervlak dat groeit zonder dat iemand er zicht op heeft.

De omvang van het probleem

Claroty onderzocht voor het rapport State of CPS Security 2025 bijna een miljoen OT-apparaten. Daarvan bevatte 12% een kwetsbaarheid waarvan bekend is dat die actief wordt misbruikt. Bij 40% van de onderzochte organisaties waren zulke apparaten onveilig aan het internet gekoppeld. Van de aangetroffen kwetsbaarheden bleek ruim tweederde in verband te brengen met ransomwaregroepen.

Die cijfers krijgen extra gewicht wanneer u bedenkt dat aanvallers gericht naar dit soort blootstellingen zoeken. Shodan, Censys en vergelijkbare diensten indexeren het internet doorlopend op industriële protocollen als Modbus, EtherNet/IP en S7comm. Wat u niet weet te hebben, is voor een ander eenvoudig te vinden.

Waarom traditionele IT-security Shadow OT mist

Het kernprobleem is dat de gangbare beveiligingsmiddelen niet voor deze omgeving zijn ontworpen. Uw kwetsbaarhedenscanner verstuurt verkeer waarop een oudere besturing kan vastlopen. Uw netwerktoegangscontrole herkent industriële protocollen niet. Uw endpointagent draait niet op een bedieningsstation met een verouderd besturingssysteem. En uw configuratiedatabase wordt gevoed vanuit de directoryomgeving, waarin geen enkel OT-apparaat is opgenomen.

Daar komt een organisatorische factor bij. De IT-afdeling draagt verantwoordelijkheid voor beveiliging, maar heeft geen mandaat en vaak geen toegang tot de productievloer. De OT-afdeling is verantwoordelijk voor de productie en beschouwt beveiliging niet als haar eerste taak. In die tussenruimte ontstaat Shadow OT, en daar blijft het ook bestaan.

Shadow OT ontdekken: een systematische aanpak

Het in kaart brengen van Shadow OT vraagt om een combinatie van technische en organisatorische maatregelen. Eén instrument volstaat niet.

Passieve netwerkmonitoring is de eerste en veiligste stap. Door een monitorpoort of netwerktap in te richten op de switches van uw OT-netwerk, analyseert u al het verkeer zonder enig risico voor de productie. Oplossingen die zijn toegesneden op industriële protocollen herkennen apparaten, protocollen en communicatiepatronen automatisch. Ieder apparaat dat communiceert maar niet in uw inventaris voorkomt, verdient nader onderzoek.

Fysieke inspectie blijft onmisbaar. Geen enkel netwerkinstrument signaleert een router die niet via uw bedrijfsnetwerk communiceert maar via het mobiele netwerk. Loop de productieomgeving periodiek na, gericht op onbekende apparaten, kabels en antennes. Let daarbij op gegevensdragers in bedieningsstations, netwerkkabels zonder herkomst en apparatuur met een eigen voeding.

Draadloze scans maken ongeautoriseerde toegangspunten zichtbaar. Een scan met een laptop en de daarvoor bestemde software levert binnen enkele uren een volledig beeld van de draadloze activiteit in uw faciliteit. Elk toegangspunt dat niet door IT is geplaatst, hoort op de lijst.

Gesprekken met operators leveren doorgaans de meeste informatie op. Vraag niet of iemand ongeautoriseerde apparatuur heeft geplaatst, want die vraag klinkt als een aanklacht. Vraag in plaats daarvan welke hulpmiddelen men in het dagelijks werk gebruikt, en wat men zelf heeft geregeld omdat de officiële weg te lang duurde. Wanneer de vraag niet veroordelend is gesteld, is het antwoord opvallend vaak volledig.

Van ontdekking naar governance

Het opsporen van Shadow OT is het begin. Het eigenlijke werk zit in de inrichting die voorkomt dat het opnieuw ontstaat, en dat vraagt om een andere verhouding tussen IT en OT.

Stap 1: benoem het probleem zonder te straffen. Wie operators bestraft voor het plaatsen van eigen apparatuur, bereikt vooral dat zij het beter verbergen. Behandel Shadow OT als het symptoom van een organisatorisch knelpunt, niet als een overtreding.

Stap 2: richt een versnelde route in voor OT-verzoeken. Duurt de reguliere inkoopcyclus acht weken, dan is het niet realistisch te verwachten dat iemand met een acuut probleem daarop wacht. Een aparte route met een doorlooptijd van enkele werkdagen neemt de aanleiding weg.

Stap 3: bied een veilig alternatief. Voor elke aangetroffen situatie bestaat er een. Is toegang op afstand nodig, richt dan een industriële oplossing in met multifactor-authenticatie en logging. Zijn er meer meetgegevens gewenst, sluit sensoren dan aan op de bestaande historian of op een gevalideerde gateway. Zijn dashboards op de telefoon de wens, ontsluit die dan vanuit het bestaande SCADA-platform.

Stap 4: maak monitoring permanent. Neem passieve OT-netwerkmonitoring op in uw beveiligingsarchitectuur en stel meldingen in voor ieder nieuw apparaat dat op het netwerk verschijnt. Dit is geen project met een einddatum.

Stap 5: neem OT-assets op in uw risicobeheer. Elk apparaat in het OT-netwerk, ook de voormalige Shadow OT die u alsnog legitimeert, hoort thuis in uw inventaris, uw kwetsbaarhedenbeheer en uw patchbeleid.

Het IEC 62443-perspectief

IEC 62443 biedt een bruikbaar kader om deze categorie te beheersen. Het model van zones en conduits uit deel 3-2 verlangt dat iedere verbinding tussen zones expliciet is gedefinieerd en toegestaan. Een Shadow OT-apparaat is per definitie een verbinding die dat model doorbreekt.

Het invoeren van zones en conduits maakt Shadow OT bovendien minder schadelijk. Ook wanneer een ongeautoriseerd apparaat het netwerk bereikt, begrenst goede segmentatie wat het kan aanrichten. Dat is gelaagde verdediging in de praktijk: u gaat er niet van uit dat elke afwijking wordt voorkomen, maar dat elke afwijking beperkt blijft.

De menselijke factor

Uiteindelijk is Shadow OT geen technisch maar een menselijk vraagstuk. Het ontstaat waar mensen met goede bedoelingen stuiten op trage processen, ontoereikende middelen en gebrekkige afstemming tussen IT en OT. De oplossing ligt daarom niet in meer verboden en strenger toezicht, maar in snellere processen en veilige alternatieven die net zo bruikbaar zijn als de eigen oplossing die zij vervangen.

Iedere organisatie die wij beoordelen heeft Shadow OT. Het onderscheid tussen een volwassen en een onvolwassen organisatie zit niet in de aanwezigheid ervan, maar in de vraag of men het weet en hoe snel men het onder controle brengt.