De Cyberbeveiligingswet is sinds 15 augustus van kracht. Voor veel maakbedrijven was dat het startsein. Maar volgens OT-cybersecurityspecialist Rob Verseijden is de wet niet het beste argument om te beginnen, en is de klus minder ingewikkeld dan hij lijkt.

Een weerstation op een productieplatform op de Noordzee lijkt een randapparaat. Tot het uitvalt: dan mogen er geen helikopters landen, want de landingsrichting is niet te bepalen. Een camera bij een brug is geen bewakingscamera, maar bepaalt of die brug veilig op afstand bediend mag worden.

Dat is het verschil tussen IT en OT in twee beelden. “Bij OT stuur je fysieke processen aan”, zegt Rob Verseijden, OT-cybersecurityspecialist bij Batenburg. “Daarom kan een digitaal incident ineens fysieke consequenties krijgen.” Hij werkt ruim dertig jaar in de industriële automatisering en bijna twintig jaar met cybersecurity.

En juist omdat het fysiek is, wil hij één misverstand uit de wereld helpen. “Sommige mensen doen alsof cybersecurity magie is. Dat is het niet.” Het is volgens hem onderhoud: je systemen veilig, betrouwbaar en herstelbaar houden, zoals je dat met de machines zelf ook doet.

Het gaat zelden om hackers

Dat begint bij de vaststelling dat de meeste incidenten geen aanvaller hebben. Iemand steekt een netwerkkabel in de verkeerde poort. Een switch begeeft het. Een medewerker gooit per ongeluk een productiedatabase weg, iets wat Verseijden een paar maanden geleden nog van dichtbij meemaakte. “Hoe kan het dat iemand genoeg rechten heeft om de hele productiedatabase weg te gooien?”

De vraag is dus niet óf iemand binnenkomt, maar of de organisatie voorbereid is als er iets misgaat, ongeacht de oorzaak. “Het gaat er niet om kwaadwillenden buiten de deur te houden. Het gaat erom dat de boel veilig blijft opereren en dat je door kunt.” Ook dat is onderhoud: niet spannend, wel bepalend.

Waarom een directeur er geld aan uitgeeft

Dan het bezwaar dat Verseijden het vaakst hoort: het kost alleen maar geld. Hij erkent het eerlijk. Cybersecurity heeft geen KPI die laat zien hoeveel extra je produceert. “Ik kan je niet garanderen dat die switch volgend jaar omvalt of dat hij tien jaar meegaat. Ook niet dat er geen kwetsbaarheden overblijven wanneer je regelmatig patcht.”

Maar de vergelijking die daarbij gemaakt wordt, klopt niet. Mensen zetten investeren af tegen niets doen. De juiste vergelijking is investeren tegen reactief handelen: achteraf achter een incident aanhollen terwijl de productie stilstaat. En daar heeft hij wél cijfers bij gezien. In twee gevallen waarin hij de administratie kende, verdiende het verschil tussen gepland en reactief werken zich in ongeveer vijf jaar terug. Niet door incidenten die uitbleven, maar door onderhoud dat gepland kon worden.

“Vaak zien bedrijven niet hoeveel reactief handelen kost.” Diezelfde twee bedrijven konden op verzoek hun asset inventory laten zien en aantonen dat die klopte. Ze wisten precies hoelang herstel duurde, omdat ze het geoefend hadden.

De standaard is een onderhoudslijst

De norm voor industriële cybersecurity, ISA/IEC 62443, klinkt zwaarder dan hij is. In Verseijdens woorden gaat het om zaken zoals:

•  Asset inventory

•  Netwerksegmentatie

•  Toegangsrechten

•  Back-ups

•  Patchmanagement

•  Monitoring

“Het is geen rocket science.”

Rob Verseijden, OT-cybersecurityspecialist bij Batenburg, over de norm ISA/IEC 62443

De moeilijkheid zit niet in de maatregelen maar in de keuze welke maatregelen passend zijn en met welke je begint. Een bakker heeft een ander beveiligingsniveau nodig dan een chemische fabriek, en wie alles tegelijk wil doen, krijgt een project dat te groot is om te beginnen. Verseijden waarschuwt daarbij voor blind afvinken: een back-up die niet bij het scenario past, geeft schijnzekerheid. Een snapshot vóór een update is uitstekend als die update misgaat, maar waardeloos bij malware, want die zit al in de snapshot. “Je moet per apparaat weten hoe je het kunt herstellen, en van welk soort probleem.”

Beginnen mag laagdrempelig. Een asset inventory hoeft nog niet compleet te zijn om te beginnen. “Als je zeker weet dat 80 procent al correct is: aan de slag. Dat laatste stuk mag je niet tegenhouden om te beginnen.” Daarna prioriteer je op kritischheid en werk je elk jaar een stuk verder. “Dit is geen eenmalig project. Dit gaat net als ander onderhoud met regelmaat door.”

Waarom juist een integrator

Hier komt Batenburg in beeld, en het bedrijf zit op een ongebruikelijke plek in de markt. Wie besluit iets aan cybersecurity te doen, zoekt een cybersecuritybedrijf, maar die weten vaak weinig van operationele techniek. Een systeemleverancier kent zijn eigen apparatuur, maar niet de rest van de fabriek. De combinatie zit bij de integrator, de partij die de besturings- en netwerkinstallaties voor fabrieken, bruggen en sluizen bouwt én onderhoudt.

Batenburg werkt daarbij met apparatuur van uiteenlopende merken door elkaar heen. “We kunnen over meerdere systemen, leveranciers en omgevingen heen kijken”, zegt Verseijden. Voor merkspecifieke diepgang schakelt het bedrijf met de leverancier zelf. Praktisch betekent dat: helpen bepalen wat kritisch is, wat de wetgeving voor dít object betekent en welke maatregelen bij het risico passen, en die vervolgens ook daadwerkelijk implementeren en onderhouden.

Wilt u weten waar uw productieomgeving staat? Een gap-analyse of asset inventory is een concrete eerste stap binnen een afgebakende scope. Neem contact met ons op.