OT-security voor organisaties waar stilstand geld kost

Een cyberincident in de kantooromgeving is vervelend. Een cyberincident op de productievloer legt de operatie stil.

Daarin verschilt OT-security van IT-security. In een productieomgeving wegen beschikbaarheid, veiligheid en continuïteit zwaarder dan de vertrouwelijkheid van data. Elke wijziging aan het netwerk weegt u daarom af tegen de impact op het proces.

CyberPeak houdt de operationele techniek van bedrijven in food, agri, manufacturing en life sciences veilig zonder de productie te verstoren: SCADA-systemen, PLC's, sensoren en industriële netwerken, in samenhang met uw IT en uw bedrijfsproces. CyberPeak is opgericht in 2022, werkt vanuit Arnhem en levert Nederlandstalige ondersteuning door eigen engineers.

Onze aanpak begint niet bij techniek, maar bij één vraag: welk proces mag onder geen enkele omstandigheid stilvallen? Het antwoord bepaalt de architectuur. Netwerksegmentatie, gecontroleerde toegang voor leveranciers, continue monitoring en een beheerproces dat op uw productieplanning is afgestemd.

Op deze pagina leest u wat OT-security inhoudt, waarom het anders werkt dan IT-security, en hoe wij uw productieomgeving beveiligen zonder uw proces te verstoren.

Waarom securitysoftware alleen niet genoeg is

Waarom OT-security anders werkt dan IT-security

In IT staat vertrouwelijkheid van data voorop; in OT staan beschikbaarheid en veiligheid van het proces voorop. Dat verschil bepaalt elke keuze. Een server 's nachts opnieuw opstarten voor een update is in IT routine. Dezelfde herstart op een besturing die een verwerkingslijn aanstuurt, legt de lijn stil.

Daar komt bij dat veel OT-systemen zijn ontworpen voor een levensduur van tien tot vijftien jaar, in een tijd dat ze nooit aan het internet zouden hangen. Ze draaien op verouderde software, kennen vaak geen authenticatie of logging, en laten zich niet zomaar patchen. U kunt ze niet behandelen als een moderne werkplek.

Ook de techniek eronder is anders. OT-omgevingen gebruiken industriële protocollen zoals Modbus, OPC UA en DNP3, die standaard IT-beveiliging niet begrijpt en vaak niet kan inspecteren. Wie OT wil beveiligen met alleen kantoor-IT-maatregelen, mist het grootste deel van het beeld en loopt het risico dat de beveiliging zelf de productie verstoort.

Waar het misgaat in productieomgevingen

De meeste kwetsbaarheden in OT ontstaan niet door één fout, maar doordat de omgeving jarenlang organisch is gegroeid. Dit zijn de patronen die wij het vaakst tegenkomen:

OT en IT die ongemerkt zijn gekoppeld.

Ooit is de productielijn aan het kantoornetwerk gehangen om op afstand mee te kijken. Sindsdien is er geen scheiding meer, en kan een aanval op de kantooromgeving doorlopen naar de productie.

MDR versus een managed security service provider

Legacy die niemand durft aan te raken

Een SCADA-systeem uit een vorig decennium met een directe verbinding naar buiten, zonder updates en zonder logging. Het werkt, dus het blijft staan.

Ongecontroleerde toegang van leveranciers

Machinebouwers en onderhoudspartijen krijgen remote toegang tot de installatie, vaak permanent en slecht bewaakt.

Waardevolle data als doelwit

Genetische gegevens, veredelingsdata, productieformules en voedselrecepturen zijn een gericht doelwit. Wie de productieomgeving binnenkomt, komt vaak ook bij dat intellectueel eigendom.

Ketenkwetsbaarheid

Eén zwakke schakel bovenstrooms bij een leverancier of afnemer kan meerdere bedrijven tegelijk raken.

IT en OT die aan elkaar vastzitten

Ooit is de productie aan het kantoornetwerk gekoppeld om op afstand te kunnen meekijken. Die verbinding is er nog, en vormt een directe route van het internet naar de vloer.

Machineleveranciers met een open lijn naar binnen

Voor onderhoud op afstand krijgt een leverancier toegang tot zijn machine. Vaak staat die verbinding permanent open en kijkt niemand mee wie er langskomt.

Oude besturingen die niemand meer aanraakt

Een PLC uit een vorig decennium doet gewoon zijn werk, dus hij blijft staan. Updaten kan niet zonder de lijn stil te leggen, dus het gebeurt niet.

Zolang alles goed draait, blijven deze zwakke plekken vaak onzichtbaar. Ze worden pas zichtbaar op het moment dat een incident de productie raakt, en dan is het te laat om er rustig over na te denken.

Hoe CyberPeak uw OT-omgeving beveiligt

CyberPeak bouwt OT-security op in stappen, telkens met minimale impact op uw operatie. We ontwerpen geen losse maatregelen, maar werken vanuit de structuur van uw productieomgeving.

Inzicht eerst.

We brengen in kaart welke systemen, verbindingen en toegangswegen er zijn. U kunt niets beschermen waarvan u niet weet dat het er is; een vergeten besturing of een oude remote-verbinding is vaak genoeg voor een aanvaller.

Segmentatie in zones

We scheiden kantoor-IT, productie en externe toegang in duidelijke zones, met alleen de communicatie die echt nodig is ertussen. De invoering vindt plaats zonder de productielijn stil te leggen.

Monitoring en respons

We bewaken continu wat er in de OT-omgeving gebeurt en herkennen afwijkingen. Via managed detection and response grijpen we in volgens vooraf afgesproken procedures, zodat een incident niet uitgroeit tot stilstand.

Veilige toegang voor leveranciers

We regelen dat machinebouwers en onderhoudspartijen alleen toegang krijgen tot wat ze nodig hebben, wanneer ze het nodig hebben, en dat die toegang aantoonbaar is.

Hoe segmentatie er in de praktijk uitziet

Segmentatie is meer dan een paar VLAN's aanmaken. Een VLAN scheidt verkeer logisch, maar zonder regels erop praat alles alsnog met elkaar. Een echte zone heeft een bewaakte grens: een firewall of gateway die bepaalt wat er in en uit mag, met authenticatie en logging.

In de praktijk werken we van grof naar fijn. Eerst scheiden we IT en OT met een duidelijke grens ertussen, vaak een tussenzone waar het verkeer gecontroleerd doorheen gaat. Daarna delen we de OT-kant verder op naar functie: per lijn, per cel, per kritiek proces. Dat sluit aan op het Purdue-model, dat de lagen van sensor tot kantoorsysteem beschrijft, en op de zones en conduits uit de norm IEC 62443.

Toegang van leveranciers regelen we apart. Een machinebouwer krijgt alleen toegang tot zijn eigen machine, alleen op het moment dat het nodig is, en elke sessie is herleidbaar. Geen permanente open lijnen meer.

Segmenteren zonder de productie stil te leggen

De grootste zorg bij elk OT-project is terecht: leg je mijn lijn stil? Bij goed uitgevoerde segmentatie is dat niet nodig. We brengen de scheiding aan op netwerkniveau, zonder de besturingen zelf aan te passen, en we plannen de ingrepen rond uw productie in plaats van andersom.

We werken van buiten naar binnen. Eerst brengen we in kaart wat er staat en hoe het communiceert, dan bouwen we de zones op en schuiven we het verkeer gecontroleerd over, stap voor stap. Bij twijfel testen we een wijziging eerst, en pas als het klopt gaat hij live.

Hoe CyberPeak dit aanpakt

CyberPeak richt de segmentatie in en beheert die daarna. We beginnen met een inventarisatie en een risicoanalyse, delen het netwerk in zones en conduits, en bepalen per zone hoe zwaar de beveiliging moet zijn. Daarna blijven we meekijken, want een fabrieksvloer verandert en er komen altijd nieuwe machines bij.

Voor de techniek werken we met een bewust beperkte set fabrikanten, waaronder Check Point, Fortinet, Extreme Networks en Aruba, met engineers die per fabrikant gecertificeerd zijn. De segmentatie is onderdeel van onze bredere OT-security, en de bewaking erna loopt via onze managed detection and response. Verdieping per sector vindt u op de pagina over de maakindustrie

OT-segmentatie, IEC 62443 en NIS2

Segmentatie is het hart van IEC 62443, de internationale norm voor OT-beveiliging, via het principe van zones en conduits. Werken volgens dat principe geeft u meteen een erkend kader.

Dat is ook voor NIS2 relevant. De Cyberbeveiligingswet, waarmee Nederland de NIS2-richtlijn implementeert, verwacht passende maatregelen voor kritieke en essentiële processen. Netwerksegmentatie is een van de meest concrete maatregelen die u kunt nemen en aantonen. Wat NIS2 voor uw bedrijf betekent, leest u in de NIS2-artikelen.

Voor de techniek werken we met een bewust beperkte set fabrikanten, waaronder Check Point, Fortinet, Extreme Networks en Aruba, met engineers die per fabrikant gecertificeerd zijn. Netwerksegmentatie en toegangscontrole op de productievloer richten we in met apparatuur die tegen industriële omstandigheden bestand is, en die we centraal over meerdere locaties beheren.

U kiest zelf hoeveel u uit handen geeft. In een [co-managed opzet](#) houdt uw eigen team de regie en vullen wij aan; in een volledig beheerde opzet nemen wij het geheel over. Beide sluiten aan op de bredere [managed security](#) die CyberPeak levert.

Detectie en respons voor productieomgevingen (OT)

OT-security, NIS2 en IEC 62443

OT-security helpt u aantoonbaar te voldoen aan NIS2. Veel food- en agribedrijven kunnen, afhankelijk van hun omvang en rol in de keten, onder de Cyberbeveiligingswet vallen — de Nederlandse invulling van NIS2 — als essentiële of belangrijke entiteit. NIS2 kijkt uitdrukkelijk ook naar OT-omgevingen wanneer die onderdeel zijn van een kritiek of essentieel proces, en bestuurders kunnen persoonlijk verantwoordelijk worden gehouden voor passende maatregelen.

Voor de inrichting werken we volgens de principes van IEC 62443, de internationale standaard voor cybersecurity in industriële automatisering. Waar ISO 27001 de norm is voor kantoor-IT, is IEC 62443 de tegenhanger voor de OT-wereld, met een model van zones en gecontroleerde doorgangen. Wat die standaard voor uw omgeving betekent, leest u op de pagina over [IEC 62443](#). CyberPeak levert de monitoring, rapportage en documentatie waarmee u uw maatregelen kunt aantonen, en vertaalt de eisen naar concrete stappen op de vloer.

Bespreek de mogelijkheden

Beveiligen zonder productiestilstand

De grootste zorg van een operations manager is terecht: een IT-project dat de lijn stillegt. CyberPeak werkt daarom van buiten naar binnen. We beginnen met bewaking en inzicht die de productie niet raken, en voeren wijzigingen aan het netwerk gecontroleerd door, buiten de kritieke momenten om.

Segmentatie brengen we aan zonder aanpassingen aan de besturingen zelf, en veranderingen leggen we vast in een vaste werkwijze met testen en accorderen vooraf. Zo houdt u grip op wat er gebeurt, en blijft continuïteit het uitgangspunt in plaats van een risico dat u erbij neemt.

Bespreek de mogelijkheden

Waarom productiebedrijven voor CyberPeak kiezen

Waarom bedrijven in food, agri en industrie voor CyberPeak kiezen

CyberPeak richt zich op één segment: food, agri, manufacturing en life sciences. Daardoor kent u aan tafel iemand die weet wat OT/IT-convergentie betekent op een aardappelverwerkingslijn, in een koelhuis of in een kas, en wat het kost als zo'n proces stilvalt. Die sectorkennis haalt een generalist niet in door harder te werken.

Onze referentieklanten zitten in dezelfde sector. Cosun en Hendrix Genetics kozen CyberPeak op kennis en vertrouwen, niet op prijs; hun verhaal leest u bij de case studies. Verdieping per sector vindt u op de pagina's over maakindustrie, food, agri en life sciences. En we zeggen nee als een maatregel niet bij uw proces past, ook als dat ons een opdracht kost.

Plan een kennismaking

Weet u niet zeker hoe uw OT-omgeving ervoor staat? Plan een kennismaking. In een eerste gesprek gaat het niet over techniek, maar over uw proces: welke systemen zijn kritiek, waar zitten de afhankelijkheden, en is uw OT-omgeving ontworpen of gegroeid?

Desgewenst kijken we vooraf van buitenaf mee wat er over uw domein op het internet te vinden is, zonder ook maar een systeem aan te raken. Dat levert altijd iets concreets op om over te praten.

Wilt u weten waar uw grootste risico zit?

Veelgestelde vragen

OT-security is het beveiligen van operationele techniek: de systemen die fysieke processen aansturen, zoals productielijnen, SCADA, PLC's en procesinstallaties. Het doel is de continuïteit en veiligheid van het proces beschermen, niet alleen de data. Voor productiebedrijven is dit het deel van de omgeving met de grootste impact bij een incident.

IT-security beschermt vooral de vertrouwelijkheid van data en systemen zoals e-mail en ERP. OT-security beschermt de beschikbaarheid en veiligheid van productiesystemen, waar uitval direct leidt tot stilstand, veiligheidsrisico's of schade. Omdat OT andere protocollen en verouderde systemen gebruikt, kunt u IT-maatregelen niet zomaar kopiëren.

Ja. CyberPeak werkt van buiten naar binnen, begint met monitoring die de productie niet raakt, en voert netwerkwijzigingen gecontroleerd door buiten de kritieke momenten om. Segmentatie brengen we aan zonder de besturingen zelf aan te passen.

OT/IT-convergentie is het steeds verder met elkaar verbinden van productiesystemen en kantoornetwerken. Dat geeft handig inzicht op afstand, maar maakt de productieomgeving bereikbaar vanaf het kantoornetwerk en het internet. Zonder scheiding kan een aanval op de kantoor-IT doorlopen tot op de productievloer.

IEC 62443 is de internationale standaard voor cybersecurity in industriële automatisering en besturingssystemen. Het is de OT-tegenhanger van ISO 27001 en werkt met een model van zones en gecontroleerde doorgangen tussen netwerken. CyberPeak richt OT-security in volgens de principes van deze standaard.

Ja. NIS2 en de Nederlandse Cyberbeveiligingswet kijken uitdrukkelijk ook naar OT-omgevingen die onderdeel zijn van een kritiek of essentieel proces. CyberPeak levert de segmentatie, monitoring en documentatie waarmee u uw maatregelen aantoonbaar maakt; voor essentiële en belangrijke entiteiten kunnen bestuurders persoonlijk aansprakelijk zijn.

Ja. Juist verouderde systemen zonder updates of authenticatie zijn een groot risico. Omdat we die vaak niet kunnen patchen zonder de productie te raken, beschermen we ze door segmentatie, monitoring en gecontroleerde toegang eromheen, in plaats van door ingrepen aan het systeem zelf.

OT-security is relevant voor elk bedrijf met een productie- of procesomgeving die aan het netwerk hangt. CyberPeak richt zich specifiek op food, agri, manufacturing en life sciences: bedrijven met productielijnen, laboratoria of geautomatiseerde processen waar stilstand en dataverlies direct pijn doen.