5 redenen waarom OT-security vandaag incontournable is
1. OT en IT versmelten
Hoe meer mogelijkheden het IIoT biedt, hoe duidelijker het wordt dat IT (information technology) en OT (operational technology) geen aparte werelden meer vormen. Productielijnen, machines, sensoren – OT-systemen dus – worden almaar meer aangesloten aan een netwerk en zo gekoppeld met IT-systemen zoals ERP, rapporteringstools, ... Als die IT-systemen in de cloud draaien, moeten gegevens van OT-systemen ook aan het internet kunnen. Het probleem met OT-systemen is echter dat ze veel langer moeten meedraaien dan het meeste IT-materiaal. Voor machines in een productieomgeving is de levensverwachting vaak niet minder dan 15 jaar. Dergelijke oudere machines zijn helemaal niet voorzien op een veilige connectie met het internet.
2. Het aantal aanvallen op industriële bedrijven neemt toe
Meer en meer komen industriële bedrijven in de vuurlinie van cybercriminelen te liggen. Vandaag worden bedrijven in de manufacturing-industrie bijna even vaak aangevallen als bedrijven in de financiële sector, die al jaren een favoriet doelwit is van cybercriminelen (bron: NTT 2021 Global Threat Intelligence Report). Die financiële sector heeft zich intussen wel al een pak beter beschermd tegen cybercriminaliteit. Voor productiebedrijven is het nog maar de vraag of ze vandaag al voldoende gewapend zijn tegen een groter aantal aanvallen...
3. Aanvallen richten zich meer en meer op het OT-systeem
De klassieke cyberaanval met malware is vaak gericht op de IT-systemen van een bedrijf. Dit soort aanval is op zich al een bedreiging voor bedrijven met een OT-systeem dat gekoppeld is aan IT, want vanuit een gecompromitteerd IT-systeem kunnen ook OT-componenten schade ondervinden. Maar er komt stilaan verandering in hoe cyberaanvallen op industriële bedrijven werken. Er bestaat al een malware group die zich specifiek focust op OT. Deze criminelen hebben dus specifieke kennis over OT en weten hoe ze zaken als PLC's moeten benaderen en onbruikbaar maken. De dreiging komt vandaag dus meer en meer rechtstreeks op je OT-systemen af.
4. De regelgeving rond cybersecurity wordt strenger
Al in 2016 kwam er met de NIS-richtlijn een wettekst op Europees niveau inzake cyberveiligheid. Die werd in 2019 ook omgezet in Belgische wetgeving. Momenteel wordt in de Europese Commissie druk gewerkt aan een nieuwe, strengere versie van deze NIS-richtlijn. Met NIS-2 wil men onder andere een pak meer sectoren toevoegen aan het toepassingsgebied van de richtlijn. Bedrijven in sectoren als chemie, fabricage, levensmiddelen en transport zullen aan de richtlijn moeten voldoen. De richtlijn is nog niet af, maar dat wordt binnenkort verwacht. Je kan er dus maar beter op voorbereid zijn.
5. Niet time, maar trust is money
Tot slot heeft cybersecurity in het algemeen – of het gebrek eraan – ook een grote impact op de reputatie van een organisatie. Klanten willen geen zaken doen met bedrijven die ze niet vertrouwen. Wie dus zowel zijn IT- als zijn OT-security op orde heeft, schept een groter vertrouwen van zowel klanten als leveranciers, en dat komt dan weer de business ten goede.
Tips & inzichten
Wat kan je doen om je OT-securityniveau op te krikken?
OT-security staat dus maar beter hoog op je agenda. Wat kan je dan doen om je OT-systemen (beter) te beveiligen? Vooreerst vergt OT-security expertise vanuit zowel het operationele domein als vanuit IT. Een gezamenlijke, gestructureerde aanpak die vanuit zowel de IT-dienst als de operationele diensten wordt ondersteund, is de sleutel tot succes. It takes 2 to tango.
Daarnaast hou je er maar beter rekening mee dat cybersecurity om veel meer draait dan technologie alleen. Security gaat over mensen, processen en technologie. Focus dus niet alleen op technologische oplossingen, maar denk zeker ook na over hoe je je processen structureert en hoe je je mensen meekrijgt in een cultuur van cyberveiligheid. Een handige leidraad hierbij is IEC 62443, een internationale reeks standaarden specifiek gericht op cybersecurity in industriële automatisatie en controlesystemen. Deze standaarden bieden een kader voor zowel het technische aspect van OT-beveiliging als de processen die ermee gepaard gaan.
Tot slot is het uiteraard nodig om te weten wat je zoal moet beveiligen. “You can’t protect what you don’t know” zegt het adagio, daarom is het van belang een goede inventaris op te maken van welke software en hardware overal in je organisatie geconnecteerd zijn met een netwerk. Een Asset Inventory is een broodnodige eerste stap in het opstellen of verbeteren van je IT- en OT-beveiliging.