OT-segmentatie in de productieomgeving

OT-segmentatie is het opdelen van uw productienetwerk in gescheiden zones, zodat een probleem in één deel niet de hele fabriek raakt. Voor maakbedrijven is dat het verschil tussen een incident dat één machine stillegt en een incident dat de complete lijn platlegt. CyberPeak brengt die scheiding aan zonder uw productie te onderbreken, met engineers die weten hoe een fabrieksvloer werkt.

De meeste productienetwerken zijn niet ontworpen, ze zijn gegroeid. Er kwam een machine bij, een leverancier vroeg om een verbinding op afstand, een oude besturing bleef hangen omdat hij het nog deed. Het resultaat is vaak een plat netwerk waarin alles met alles praat. Deze pagina legt uit waarom dat een risico is, en hoe u het aanpakt.

Wat is OT-segmentatie?

OT-segmentatie verdeelt de operationele techniek op uw productievloer in aparte netwerksegmenten, elk met eigen toegangsregels. Denk aan een aparte zone voor een robotcel, een voor een assemblagelijn en een voor de gebouwbeheersystemen. Tussen die zones loopt alleen het verkeer dat echt nodig is.

Het doel is niet techniek om de techniek. Het doel is dat een aanval, een besmette laptop of een verkeerd commando zich niet ongehinderd door uw hele productie verspreidt. Waar u vroeger één groot netwerk had, krijgt u beheersbare stukken met deuren ertussen die u kunt sluiten.

Waarom een plat productienetwerk een risico is

In een plat netwerk vertrouwt elk apparaat elk ander apparaat. Een aanvaller die binnenkomt via de kantoor-IT, bijvoorbeeld via een phishingmail, kan van daaruit zo doorlopen naar de besturing van een productielijn. Er zit niets tussen.

Drie patronen komen we het vaakst tegen op een productievloer:

IT en OT die aan elkaar vastzitten

Ooit is de productie aan het kantoornetwerk gekoppeld om op afstand te kunnen meekijken. Die verbinding is er nog, en vormt een directe route van het internet naar de vloer.

Machineleveranciers met een open lijn naar binnen

Voor onderhoud op afstand krijgt een leverancier toegang tot zijn machine. Vaak staat die verbinding permanent open en kijkt niemand mee wie er langskomt.

Oude besturingen die niemand meer aanraakt

Een PLC uit een vorig decennium doet gewoon zijn werk, dus hij blijft staan. Updaten kan niet zonder de lijn stil te leggen, dus het gebeurt niet.

IT en OT die aan elkaar vastzitten

Ooit is de productie aan het kantoornetwerk gekoppeld om op afstand te kunnen meekijken. Die verbinding is er nog, en vormt een directe route van het internet naar de vloer.

Machineleveranciers met een open lijn naar binnen

Voor onderhoud op afstand krijgt een leverancier toegang tot zijn machine. Vaak staat die verbinding permanent open en kijkt niemand mee wie er langskomt.

Oude besturingen die niemand meer aanraakt

Een PLC uit een vorig decennium doet gewoon zijn werk, dus hij blijft staan. Updaten kan niet zonder de lijn stil te leggen, dus het gebeurt niet.

Zolang de productie draait, blijven deze zwakke plekken onzichtbaar. Ze vallen pas op als er iets misgaat, en dan staat de lijn stil.

PLC's beveiligen die u niet kunt patchen

Een PLC laat zich zelden beveiligen zoals een gewone computer. Veel besturingen draaien op verouderde software, kennen geen wachtwoorden of logging, en een update betekent de machine stilzetten. U kunt het apparaat dus meestal niet harder maken; wel de omgeving eromheen.

Dat is precies wat segmentatie oplost. U zet de PLC in een eigen, streng afgeschermde zone en laat er alleen het verkeer bij dat de machine nodig heeft om te werken. De besturing zelf blijft ongemoeid, maar wordt onbereikbaar voor alles waar hij niets mee te maken heeft. Bescherming zonder de machine aan te raken, dat is bij oude techniek vaak de enige werkbare route.

Hoe segmentatie er in de praktijk uitziet

Segmentatie is meer dan een paar VLAN's aanmaken. Een VLAN scheidt verkeer logisch, maar zonder regels erop praat alles alsnog met elkaar. Een echte zone heeft een bewaakte grens: een firewall of gateway die bepaalt wat er in en uit mag, met authenticatie en logging.

In de praktijk werken we van grof naar fijn. Eerst scheiden we IT en OT met een duidelijke grens ertussen, vaak een tussenzone waar het verkeer gecontroleerd doorheen gaat. Daarna delen we de OT-kant verder op naar functie: per lijn, per cel, per kritiek proces. Dat sluit aan op het Purdue-model, dat de lagen van sensor tot kantoorsysteem beschrijft, en op de zones en conduits uit de norm IEC 62443.

Toegang van leveranciers regelen we apart. Een machinebouwer krijgt alleen toegang tot zijn eigen machine, alleen op het moment dat het nodig is, en elke sessie is herleidbaar. Geen permanente open lijnen meer.

Segmenteren zonder de productie stil te leggen

De grootste zorg bij elk OT-project is terecht: leg je mijn lijn stil? Bij goed uitgevoerde segmentatie is dat niet nodig. We brengen de scheiding aan op netwerkniveau, zonder de besturingen zelf aan te passen, en we plannen de ingrepen rond uw productie in plaats van andersom.

We werken van buiten naar binnen. Eerst brengen we in kaart wat er staat en hoe het communiceert, dan bouwen we de zones op en schuiven we het verkeer gecontroleerd over, stap voor stap. Bij twijfel testen we een wijziging eerst, en pas als het klopt gaat hij live.

Hoe CyberPeak dit aanpakt

CyberPeak richt de segmentatie in en beheert die daarna. We beginnen met een inventarisatie en een risicoanalyse, delen het netwerk in zones en conduits, en bepalen per zone hoe zwaar de beveiliging moet zijn. Daarna blijven we meekijken, want een fabrieksvloer verandert en er komen altijd nieuwe machines bij.

Voor de techniek werken we met een bewust beperkte set fabrikanten, waaronder Check Point, Fortinet, Extreme Networks en Aruba, met engineers die per fabrikant gecertificeerd zijn. De segmentatie is onderdeel van onze bredere OT-security, en de bewaking erna loopt via onze managed detection and response. Verdieping per sector vindt u op de pagina over de maakindustrie

OT-segmentatie, IEC 62443 en NIS2

Segmentatie is het hart van IEC 62443, de internationale norm voor OT-beveiliging, via het principe van zones en conduits. Werken volgens dat principe geeft u meteen een erkend kader.

Dat is ook voor NIS2 relevant. De Cyberbeveiligingswet, waarmee Nederland de NIS2-richtlijn implementeert, verwacht passende maatregelen voor kritieke en essentiële processen. Netwerksegmentatie is een van de meest concrete maatregelen die u kunt nemen en aantonen. Wat NIS2 voor uw bedrijf betekent, leest u in de NIS2-artikelen.

Hoe segmentatie er in de praktijk uitziet

Segmenteren zonder de productie stil te leggen

Hoe CyberPeak dit aanpakt

OT-segmentatie, IEC 62443 en NIS2

Segmentatie is het hart van IEC 62443, de internationale norm voor OT-beveiliging, via het principe van zones en conduits. Werken volgens dat principe geeft u meteen een erkend kader.

Plan een kennismaking

Wilt u weten hoe uw productienetwerk ervoor staat? Plan een kennismaking. In een eerste gesprek kijken we naar uw vloer: welke machines zijn kritiek, hoe is uw netwerk ingedeeld, en waar loopt IT ongemerkt over in OT. Geen offerte op tafel, wel een eerlijk beeld.

Desgewenst kijken we vooraf van buitenaf mee wat er over uw domein op het internet te vinden is, zonder ook maar een systeem aan te raken. Dat levert vrijwel altijd concrete aanknopingspunten voor het gesprek op.

Veelgestelde vragen

OT-segmentatie is het opdelen van een productienetwerk in gescheiden zones met eigen toegangsregels. Zo voorkomt u dat een incident in één deel zich verspreidt naar de hele fabriek. Tussen de zones loopt alleen het verkeer dat echt nodig is.

In een plat netwerk vertrouwt elk apparaat elk ander apparaat, waardoor een aanval op de kantoor-IT kan doorlopen tot op de productievloer. Segmentatie zet daar grenzen tussen, zodat een probleem beheersbaar blijft. Voor een maakbedrijf is dat het verschil tussen één stilgevallen machine en een volledige productiestop.

Oude PLC's kunt u meestal niet beveiligen door ze aan te passen, want ze missen de mogelijkheden en een update legt de machine stil. In plaats daarvan beschermt u de omgeving: u plaatst de PLC in een eigen afgeschermde zone en laat er alleen het noodzakelijke verkeer bij. De besturing zelf blijft ongemoeid.

Ja. De scheiding wordt op netwerkniveau aangebracht, zonder de besturingen zelf te wijzigen, en de ingrepen worden rond uw productie ingepland. Wijzigingen worden vooraf getest voordat ze live gaan.

Een VLAN scheidt verkeer logisch, maar zonder regels erop kan alles alsnog met elkaar communiceren. Een echte OT-zone heeft een bewaakte grens met een firewall of gateway die bepaalt wat er in en uit mag, inclusief authenticatie en logging. Segmentatie vraagt dus meer dan alleen VLAN's aanmaken.

Een leverancier krijgt alleen toegang tot zijn eigen machine, alleen wanneer het nodig is, en elke sessie is herleidbaar. Permanente open verbindingen worden vervangen door gecontroleerde, tijdelijke toegang.

Ja. Segmentatie via zones en conduits is een kernprincipe van IEC 62443, en netwerksegmentatie is een van de meest concrete maatregelen om aan NIS2 te voldoen. U kunt de maatregel bovendien goed aantonen, wat voor compliance belangrijk is.