OT-segmentatie verdeelt de operationele techniek op uw productievloer in aparte netwerksegmenten, elk met eigen toegangsregels. Denk aan een aparte zone voor een robotcel, een voor een assemblagelijn en een voor de gebouwbeheersystemen. Tussen die zones loopt alleen het verkeer dat echt nodig is.
Het doel is dat een aanval, een besmette laptop of een verkeerd commando zich niet ongehinderd door uw hele productie verspreidt. Waar u vroeger één groot netwerk had, krijgt u beheersbare stukken met deuren ertussen die u kunt sluiten.
Ooit is de productie aan het kantoornetwerk gekoppeld om op afstand te kunnen meekijken. Die verbinding is er nog, en vormt een directe route van het internet naar de vloer.
Voor onderhoud op afstand krijgt een leverancier toegang tot zijn machine. Vaak staat die verbinding permanent open en kijkt niemand mee wie er langskomt.
Een PLC uit een vorig decennium doet gewoon zijn werk, dus hij blijft staan. Updaten kan niet zonder de lijn stil te leggen, dus het gebeurt niet.
Zolang de productie draait, blijven deze zwakke plekken onzichtbaar. Ze vallen pas op als er iets misgaat, en dan staat de lijn stil.
OT-segmentatie is het opdelen van een productienetwerk in gescheiden zones met eigen toegangsregels. Zo beperkt u hoe ver een incident in één deel zich kan verspreiden. Tussen de zones loopt alleen het verkeer dat echt nodig is.
In een plat netwerk vertrouwt elk apparaat elk ander apparaat, waardoor een aanval op de kantoor-IT kan doorlopen tot op de productievloer. Segmentatie zet daar grenzen tussen, zodat een probleem beheersbaar blijft. Voor een productiebedrijf is dat het verschil tussen één stilgevallen machine en een volledige productiestop.
Oude PLC's kunt u meestal niet beveiligen door ze aan te passen, want ze missen de mogelijkheden en een update legt de machine stil. In plaats daarvan beschermt u de omgeving: u plaatst de PLC in een eigen afgeschermde zone en laat er alleen het noodzakelijke verkeer bij. De besturing zelf blijft ongemoeid.
Ja. De scheiding wordt op netwerkniveau aangebracht, zonder de besturingen zelf te wijzigen, en de ingrepen worden rond uw productie ingepland. Wijzigingen worden vooraf getest voordat ze live gaan.
Een VLAN scheidt verkeer logisch. Zodra VLAN's op een coreswitch zonder filtering met elkaar worden gerouteerd, kan alles alsnog met elkaar praten. Een echte OT-zone heeft een bewaakte grens met een firewall of gateway die bepaalt wat er in en uit mag, inclusief authenticatie en logging. Segmentatie vraagt dus meer dan alleen VLAN's aanmaken.
Een leverancier krijgt alleen toegang tot zijn eigen machine, alleen wanneer het nodig is, en elke sessie is herleidbaar. Permanente open verbindingen worden vervangen door gecontroleerde, tijdelijke toegang.
Ja. Segmentatie via zones en conduits is een kernprincipe van IEC 62443, en netwerksegmentatie is een van de meest concrete maatregelen om aan NIS2 te voldoen. U kunt de maatregel bovendien goed aantonen, wat voor compliance belangrijk is.
“Elke nieuwe machine of leverancierskoppeling is een nieuwe doorgang in uw netwerk. Die wil ik vooraf kunnen uitleggen.”
Wordt u aangevallen?
