Het beveiligen van IT-systemen in operationele omgeving (IT/OT) draait om een gebalanceerde aanpak

Terwijl we blijven evolueren in de richting van een steeds meer gedigitaliseerde wereld, worden de veiligheidsrisico's voor Operationele Technologie (OT) systemen steeds groter. Uit recent onderzoek van het NCTV blijkt dat operationele systemen steeds vaker worden aangevallen. Veel organisaties met operationele technologie zijn daarom druk bezig om hun security op orde te krijgen. Het hardenen van IT computer systemen in operationele omgeving, de zogenoemde IT/OT-systemen speelt daarbij een grote rol, wat neerkomt op het verbeteren van beveiliging.

Er zijn diverse redenen waarom het beveilgen van IT/OT-systemen belangrijk zijn. Ten eerste zijn IT/OT-systemen vaak het doelwit van cyberaanvallen. Het doeltreffend hardenen van deze systemen vermindert het risico op succesvolle aanvallen die de normale werking kunnen verstoren of zelfs veiligheidsrisico's kunnen veroorzaken. Compliance met regelgeving is een andere belangrijke overweging. Veel sectoren hebben strikte voorschriften voor de beveiliging en het beheer van IT/OT-systemen, en het hardenen ervan is vaak een wettelijke verplichting.

IT/OT-systemen bevatten bovendien vaak gevoelige operationele gegevens, zoals procesparameters en productieplanningen. Door deze systemen te hardenen, worden deze gegevens beschermd tegen ongeoorloofde toegang en manipulatie, wat van cruciaal belang is voor de bedrijfsvoering. Een storing in IT/OT-systemen kan tevens fysieke schade veroorzaken en de veiligheid van mensen in gevaar brengen. Het beveiligen van dergelijke systemen is essentieel om risico's tot een minimum te beperken. Bovendien draagt het ook bij aan de continuïteit van kritieke diensten, zoals elektriciteitsvoorziening en waterdistributie, die sterk afhankelijk zijn van goed functionerende IT/OT-systemen.

Het hardenen van IT/OT-systemen heeft niet alleen betrekking op externe bedreigingen, maar ook op interne, zoals menselijke fouten of kwaadwillige acties van medewerkers. Hierdoor wordt de kans op zowel externe als interne kwetsbaarheden en incidenten verkleind. Het bevordert ook het bewustzijn van beveiliging binnen een organisatie, waarbij beveiliging als een integraal onderdeel van de bedrijfsvoering wordt beschouwd. Dit is met name van cruciaal belang in een tijd waarin cyberdreigingen blijven evolueren en toenemen.

Hardening is vaak een ondergeschoven kindje
Toch vergeten veel organisaties soms om hun IT/OT-systemen te hardenen, oftewel te beveiligen. Een belangrijke reden is gebrek aan bewustzijn. Soms zijn organisaties zich niet volledig bewust van de beveiligingsrisico's die hun IT/OT-systemen lopen. Als ze het idee hebben dat ze niet het doelwit zullen zijn van cyberaanvallen, kunnen ze hardening over het hoofd zien. De complexiteit van IT-systemen kan een andere belemmering vormen. Sommige organisaties hebben zeer complexe IT-omgevingen met talloze systemen, applicaties en apparaten. Het hardenen van deze complexe infrastructuren kan ontmoedigend lijken, wat kan leiden tot uitstel of verwaarlozing.

Tijdsdruk kan ook een rol spelen, vooral wanneer organisaties onder druk staan om nieuwe systemen snel in gebruik te nemen of om downtime te minimaliseren. Beveiligingsmaatregelen kunnen dan als vertragend worden beschouwd. Verouderde systemen, bekend als legacy systemen, kunnen ook moeilijker te hardenen zijn vanwege beperkte ondersteuning voor moderne beveiligingsmaatregelen. Organisaties kunnen aarzelen om deze systemen te vervangen of te upgraden vanwege de kosten en complexiteit die ermee gemoeid zijn. Ten slotte kan het ontbreken van de nodige expertise een uitdaging vormen. Effectieve hardening vereist expertise op het gebied van beveiligingspraktijken en de specifieke technologieën die worden gebruikt. Organisaties zonder toegang tot deze expertise kunnen hardening als uitdagend ervaren.

Gebalanceerde aanpak cruciaal
Om verwaarlozing van IT/OT-systemen te voorkomen doen organisaties er verstandig aan het hardenen van hun IT/OT-systemen grotendeels te automatiseren. Het hardenen automatiseren is belangrijk omdat automatisering zorgt voor consistentie in de configuratie-instellingen, waardoor menselijke fouten en onbedoelde configuratiewijzigingen worden verminderd. Daarnaast bespaart automatisering tijd, vooral in complexe OT-omgevingen, waar het handmatig aanpassen van instellingen tijdrovend kan zijn. Hierdoor wordt een mooi optimum tussen de primaire functie en de beveiliging gerealiseerd en kan de levensduur van een asset worden verlengd. De automatisering vindt plaats op basis van beveiligingsstandaarden en richtlijnen, waardoor toegepaste compliancy zichtbaar wordt.

Automatisering maakt het bovendien mogelijk om verdachte activiteiten te monitoren en sneller te reageren op beveiligingsincidenten. Het is ook schaalbaar, wat belangrijk is naarmate het aantal OT-systemen groeit. Daarnaast helpt automatisering bij het bijhouden van gedetailleerde documentatie van configuratie-instellingen en wijzigingen, wat belangrijk is voor audits en compliance. Tot slot verkleint automatisering het aanvalsoppervlak door onnodige services en open poorten te identificeren en uit te schakelen, wat de algemene beveiliging verbetert.

Hoewel automatisering veel voordelen biedt, is het belangrijk om altijd te kiezen voor een gebalanceerde aanpak bij hardening. Automatisering kan de menselijke expertise en beoordelingsvermogen immers niet volledig vervangen. Mensen kunnen unieke inzichten bieden en creatieve oplossingen bedenken voor beveiligingsuitdagingen. Dankzij handmatige inspectie kunnen bijvoorbeeld diepgaandere evaluaties mogelijk worden maken, waarbij experts specifieke configuraties en systemen grondig kunnen evalueren. Dit is met name van belang voor kritieke systemen waarbij fouten aanzienlijke gevolgen kunnen hebben.

Daarnaast is handmatige inspectie belangrijk om de effectiviteit van geautomatiseerde beveiligingsprocessen te valideren. Het zorgt ervoor dat geautomatiseerde systemen de beoogde resultaten behalen en geen onbedoelde gevolgen hebben. Soms is handmatige inspectie ook nodig vanwege regelgeving en compliance-vereisten. Met name is dit vaak het geval in sectoren met strikte regelgeving, zoals bij defensie en de gezondheidssector.

Kortom, het is essentieel om de specifieke behoeften en uitdagingen van een organisatie te overwegen bij het bepalen van de juiste mix van automatisering en handmatige interventie bij hardening. Het hardenen van IT/OT-systemen is dan ook geen luxe, maar een fundamentele stap om onze maatschappij te beschermen tegen de toenemende dreiging van cyberaanvallen.

Photo: Istock.com/Tero Vesalainen