OT en IT scheiden in de productie
Een productielocatie heeft meestal twee netwerken die doen alsof ze er een zijn. De kantoorkant wordt elke maand gepatcht; de machinekant draait software die actueel was toen de lijn werd opgeleverd en die je niet aanraakt zonder de fabrikant.
Machinebesturing kan vaak niet gepatcht worden, omdat de fabrikant alleen een specifieke softwareversie ondersteunt en eraan komen het supportcontract laat vervallen. Dat is een gegeven om omheen te ontwerpen, geen probleem om op te lossen.
Het antwoord is scheiden: zet het machinenetwerk op een eigen segment, laat alleen het specifieke verkeer toe dat over moet, en laat een productiesysteem nooit rechtstreeks internet bereiken of een segment delen met kantoorlaptops.
Begin met inventariseren wat er echt aangesloten is. Op de meeste locaties vinden we machines waarvan niemand wist dat ze vanaf het kantoornetwerk bereikbaar waren, en die ontdekking alleen al rechtvaardigt de oefening.
Twee werelden met tegengestelde regels
| Kantoor-IT | Machinebesturing | |
|---|---|---|
| Patchen | Maandelijks, automatisch waar het kan | Alleen met de fabrikant, vaak nooit |
| Levensduur | Drie tot vijf jaar | Vijftien tot vijfentwintig jaar |
| Prioriteit | Vertrouwelijkheid van gegevens | Beschikbaarheid en veiligheid van het proces |
| Stilstand | Vervelend | Duur per minuut, soms onveilig |
| Wie is eigenaar | IT | Productie of onderhoud, zelden IT |
De laatste regel veroorzaakt de meeste wrijving. Het machinenetwerk hoort meestal bij de mensen die de lijn draaien, en het is op enig moment aan het kantoornetwerk gekoppeld zodat er een rapport uit kon. Niemand heeft dat vastgelegd.
Begin met uitzoeken wat er aangesloten is
Elk OT-project dat we gedaan hebben begon met een verrassing. Een verpakkingslijn met een besturings-pc op een besturingssysteem dat tien jaar geleden uit ondersteuning ging, bereikbaar vanaf elk bureau in het pand. Een onderhoudslaptop die permanent in het machinenetwerk hing en ook op wifi zat. Een supportverbinding die een leverancier in 2019 opende en nooit gesloten heeft.
Een inventarisatie is een dag werk en het is het enige eerlijke startpunt. Al het andere is ontwerpen voor een netwerk waarnaar je gokt.
Segmentatie, in de volgorde die werkt
- Scheid eerst het machinenetwerk. Eigen segment, eigen adressering, eigen firewallinterface.
- Standaard weigeren, daarna toestaan wat nodig is. Meestal een handvol specifieke stromen: een rapportageserver, een licentiecontrole, een leverancierskoppeling.
- Haal directe internettoegang weg. Heeft een machine een update nodig, dan gaat die via een beheerst pad en niet via een browser.
- Beheers leverancierstoegang. Support op afstand op aanvraag aan en daarna weer dicht, in plaats van een permanente tunnel waar niemand naar kijkt.
- Ga daarna pas monitoren. Zodra het verkeer gescheiden is wordt onverwacht verkeer zichtbaar, en op een plat netwerk is het dat nooit.
Ontwerp en beheer daarvan valt onder managed netwerk, met het beveiligingsbeleid onder cybersecurity.
Wat je doet met systemen die niet gepatcht kunnen worden
Compenserende maatregelen, wat de nette term is voor het weghouden bij alles wat het pijn kan doen. Kan een besturings-pc niet bijgewerkt worden, dan hoort hij niet bereikbaar te zijn vanaf het kantoornetwerk, hoort hij niet op internet te komen, hoort er geen verwisselbare media op te werken, en hoort er een image te liggen die je binnen een uur terugzet.
Dat laatste punt telt zwaarder dan mensen verwachten. Wordt een ongepatchte machine uiteindelijk toch geraakt, dan is het herstelpad een restore en geen opruimactie, en bestaat die image niet, dan staat de lijn stil tot de fabrikant hem opnieuw kan opbouwen. Dat is een gesprek dat in dagen gemeten wordt.
Back-up ook de machinekant
Machinebesturing valt regelmatig buiten het back-upregime omdat het niet als IT gezien wordt. De configuratie van een lijn, de recepturen, de kalibratiegegevens: het is allemaal uniek, het staat nergens op een gedeelde schijf, en de fabrikant heeft meestal geen kopie.
Wij behandelen het als elk ander systeem: een kopie, een onveranderbare kopie, en een restore die echt getest is. De redenering staat in immutable back-up.
Industrie valt er vaker onder dan mensen denken
Industrie staat in de sectorlijst van NIS2, en voedsel en chemie ook. Ook waar een organisatie onder de omvangsdrempel blijft, komen de verplichtingen via het contract binnen zodra je aan een klant levert die er wel onder valt.
Segmentatie en een inventarisatie zijn twee van de dingen waar een auditor als eerste naar vraagt, dus het werk heeft waarde die verder gaat dan de beveiliging. Hoe dat bewijs eruitziet staat in NIS2 in de praktijk.
Vragen die we hierover krijgen
Wat productie- en onderhoudsmanagers vragen.
Wat doen we met machines die niet gepatcht kunnen worden?
Ontwerp eromheen. Houd de machine van het kantoornetwerk en van internet, schakel verwisselbare media uit, beheers leverancierstoegang, en houd een image die je kunt terugzetten. Je gaat een besturingssysteem zonder ondersteuning niet veilig maken; je gaat hem onbereikbaar en herstelbaar maken.
Waar beginnen we met OT-segmentatie?
Met inventariseren wat er echt aangesloten is. Op de meeste locaties levert dat minstens een verrassing op, meestal een besturingssysteem dat vanaf elk bureau bereikbaar is of een leverancierstunnel die nooit gesloten werd. Ontwerp na de inventarisatie, niet ervoor.
Moeten machinesystemen geback-upt worden?
Ja, en ze worden regelmatig overgeslagen omdat ze niet als IT gezien worden. Lijnconfiguratie, recepturen en kalibratiegegevens zijn uniek en de fabrikant heeft meestal geen kopie. Zonder herstelbare image betekent een storing wachten op een nieuwe opbouw.
Geldt NIS2 voor de industrie?
Industrie staat op de sectorlijst, net als voedsel en chemie. Er gelden omvangsdrempels, maar leveren aan een klant die er wel onder valt brengt de verplichtingen hoe dan ook via het contract binnen. Segmentatie en een inventarisatie horen bij de eerste dingen waar een auditor naar vraagt.
Waar dit bij ons terechtkomt
Waar dit werk zit.
Wil je dit voor je eigen locaties laten bekijken?
Een half uur bellen is meestal genoeg om te weten of wij de juiste partij zijn, en we zeggen het als we dat niet zijn.