“Security is geen product, het is een proces”: Hoe IT en OT elkaar echt kunnen versterken
Nu digitale en fysieke systemen steeds nauwer met elkaar verweven raken, staan organisaties voor een enorme uitdaging: hoe laat je IT en OT veilig naast en met elkaar functioneren?
De druk om beide werelden te integreren neemt toe, maar die integratie blijkt in de praktijk bijzonder complex. Verschillende prioriteiten, technologieën en culturen zorgen ervoor dat veilig samenwerken tussen IT en OT allesbehalve vanzelfsprekend is.
Volgens Jef Pauwels, Project Manager bij Fox Crypto, is het gebrek aan wederzijds begrip tussen IT en OT één van de grootste struikelblokken. “IT en OT hebben andere prioriteiten, een andere cultuur, andere standaarden — en zolang we dat negeren, blijven we achter de feiten aanlopen.”
De kloof tussen OT en IT: meer dan techniek
Voor wie nog denkt dat je IT-beveiligingsmaatregelen zomaar kunt kopiëren naar een OT-omgeving, heeft Jef een duidelijke boodschap: “IT is niet hetzelfde als OT.” Volgens hem worden er vaak aannames gedaan die niet stroken met de realiteit van operationele technologie.
“Wat ik veel zie gebeuren, is dat er op OT wordt gewerkt alsof het een IT-systeem is. Maar de OT-omgeving is anders gebouwd, anders beheerd, en draait soms op technologieën die twintig jaar oud zijn of ouder en dat is helemaal prima.”
Die kloof is niet alleen technisch, maar ook organisatorisch. “In OT draait alles om beschikbaarheid van het proces. Bij IT is dat vaak vertrouwelijkheid en integriteit. Als die prioriteiten niet op elkaar zijn afgestemd, dan krijg je wrijving. Dan wordt een security update die uit IT komt in OT als risico gezien.”
Zichtbaarheid als fundament van veiligheid
Het eerste probleem dat Jef regelmatig tegenkomt in de business: niemand weet precies wat er allemaal draait. “In veel gevallen hebben bedrijven onvoldoende zicht op wat er op ieder moment in hun netwerk zit. Als je niet weet wat er in je netwerk zit, hoe ga je het dan beveiligen?”
Die gebrekkige zichtbaarheid maakt het onmogelijk om gerichte maatregelen te nemen. “Assetmanagement wordt vaak als saai en procedureel gezien, maar het is echt de basis. Zonder dat weet je gewoon niet waar je mee werkt.”
Daarbij merkt hij op dat OT-systemen vaak nog in een ‘air gap’-illusie leven. “Men denkt: als het netwerk niet verbonden is met internet, is het veilig. Maar we zien vaak dat dit niet volledig klopt. Mensen nemen een laptop overal mee naartoe, sluiten misschien zelfs nog een USB-stick aan, voeren een update uit vanaf een extern apparaat — en dan is de air gap al verbroken. Je moet dus verder denken dan alleen fysieke segmentatie.”
Vertrouwen, communicatie en gedeelde verantwoordelijkheid
Een belangrijke boodschap die Jef wil meegeven: de oplossing zit niet alleen in technologie, maar vooral in samenwerking. “Security is een gedeelde verantwoordelijkheid, maar dat moet groeien. Je moet als organisatie de juiste mensen aan tafel zetten, en zorgen dat OT en IT elkaar begrijpen. Dat betekent ook: elkaars taal leren spreken.”
Hij noemt het voorbeeld van organisatie waarin IT een securitybeleid oplegt aan OT zonder OT erbij te betrekken. “Dat werkt niet. Je moet begrijpen wat de impact is van een maatregel. In OT kan een verkeerde update leiden tot een productiestop. Dat risico is te groot.” Daarom pleit hij voor een stapsgewijze, context gedreven aanpak. “Je moet niet zomaar alles willen veranderen. Kijk naar wat er echt nodig is, en bouw van daaruit verder.”
Ook benadrukt hij het belang van procesgericht denken. “Security is geen product, het is een proces. Het gaat om continu verbeteren, aanpassen aan de realiteit van je organisatie, en vooral: samenwerken.”
Meld je aan voor het webinar op 12 juni
De inzichten van Jef zijn actueler dan ooit. IT/OT-integratie neemt toe, net als de kwetsbaarheden die daarmee gepaard gaan. Wil je leren hoe je die integratie op een veilige, duurzame manier kunt vormgeven?
Tijdens dit webinar delen experts van o.a. Fox-IT, Batenburg Techniek en Splunk praktijkvoorbeelden, actuele dreigingsbeelden en technische oplossingen om de brug tussen IT en OT succesvol te slaan — zonder dat je hoeft in te leveren op veiligheid of continuïteit.
