Operationele technologie (OT) ondersteunt vaak direct een primair proces. Denk aan productielijnen, energievoorzieningen, drinkwaterinstallaties en logistieke systemen. Vallen deze processen uit, dan blijven de gevolgen niet beperkt tot systemen of data. Een verstoring kan leiden tot productieverlies, schade aan installaties en risico’s voor medewerkers, omwonenden en het milieu.
OT-security staat niet los van cybersecurity in brede zin. In beide gevallen draait het om het beheersen van risico’s en het beschermen van wat voor een organisatie cruciaal is. Het verschil zit vooral in de impact van verstoringen en de beperkte ruimte om processen stil te leggen of systemen te wijzigen.
Daarom begint OT-security niet met de vraag hoe een aanvaller binnenkomt. De eerste vraag is welke processen onder alle omstandigheden veilig en betrouwbaar moeten blijven functioneren. Immers de afhankelijkheden zijn binnen OT-omgevingen groter dan binnen IT.
Cybersecurity begint met inzicht in het proces
Aandacht voor cybersecurity ontstaat vaak door nieuwe dreigingen, incidenten of veranderende regelgeving. Dat is logisch. Een eenzijdige focus op dreigingen kan er echter toe leiden dat organisaties maatregelen nemen die onvoldoende aansluiten bij de manier waarop hun processen zijn ingericht.
Een goede aanpak begint daarom met inzicht in de kritieke processen, de systemen die deze processen ondersteunen en de gevolgen van uitval. Pas daarna kan een organisatie prioriteiten stellen en bepalen welke maatregelen daarbij passen. Zo wordt duidelijk welke risico’s acceptabel zijn en waar investeringen in beveiliging de grootste bijdrage leveren aan de weerbaarheid van de organisatie.
Die maatregelen zijn overigens niet alleen technisch. Ook procedures en organisatorische afspraken kunnen bijdragen aan de beveiliging. Welke aanpak het meest effectief is, hangt af van de dagelijkse operationele praktijk.
Meer dan technologie
Goede OT-security bestaat uit meer dan segmentatie, monitoring, firewalls en detectieplatformen. Kennis van bedrijfsprocessen en operationele afhankelijkheden is minstens zo belangrijk. Dat vraagt om samenwerking tussen disciplines zoals productie, engineering, operations en cybersecurity. Juist die combinatie maakt het mogelijk om beveiligingsmaatregelen te implementeren zonder de bedrijfsvoering onnodig te verstoren.
Veiligheid bepaalt de prioriteiten
Binnen OT zijn veiligheid, betrouwbaarheid en prestaties de belangrijkste kwaliteitsaspecten. Processen moeten veilig blijven voor medewerkers, leveranciers, omwonenden en het milieu. Tegelijkertijd moeten ze blijven draaien en moeten operators kunnen vertrouwen op metingen, sensorgegevens en besturingsinformatie.
Vertrouwelijkheid speelt binnen de grenzen van veel OT-omgevingen een minder prominente rol. Dit heeft gevolgen voor de manier waarop beveiligingsmaatregelen worden gekozen en toegepast. Niet iedere kwetsbaarheid vraagt om onmiddellijke actie en niet iedere standaardmaatregel is uitvoerbaar.
Neem bijvoorbeeld een kwetsbaarheid in een systeem dat een productieproces ondersteunt. Vanuit security-oogpunt lijkt snel patchen een logische reactie. In de praktijk moet echter eerst worden gekeken naar de impact op het productieproces. Veel industriële systemen draaien maanden of zelfs jaren zonder onderbreking en mogen alleen tijdens gepland onderhoud worden aangepast. Als ze al kunnen worden aangepast. De vraag is daarom vooral welk risico deze kwetsbaarheid vormt voor de veiligheid en de continuïteit van het proces.
Organisaties maken voortdurend afwegingen tussen veiligheid, beschikbaarheid, betrouwbaarheid en beveiliging. Daarmee is security in essentie een vraagstuk van risicobeheersing en operationele continuïteit.
Conclusie
Effectieve OT-security begint dus niet bij kwetsbaarheden, dreigingsinformatie of de nieuwste beveiligingstechnologie. Het begint met inzicht in het primaire proces en de vraag welke activiteiten onder alle omstandigheden veilig moeten kunnen doorgaan.
Vanuit dat inzicht kunnen organisaties risico’s beoordelen, prioriteiten stellen en maatregelen kiezen die bijdragen aan de veiligheid en continuïteit van de organisatie.
Dit is een ingezonden bijdrage van Tesorion. Via deze link vind je meer informatie over de mogelijkheden van het bedrijf.