Industriële bedrijven hoeven niet al hun verouderde machines, besturingssystemen en industriële netwerken te vervangen om hun cybersecurity te verbeteren. Met gerichte beveiligingsmaatregelen kunnen ook oudere OT-omgevingen aanzienlijk beter worden beschermd. Dat stelt de Amerikaanse National Security Agency (NSA) in nieuwe richtlijnen voor de toepassing van zero trust binnen operationele technologie.

De Amerikaanse inlichtingendienst publiceerde op 8 oktober het document Hardening Department of War Critical Operational Technology Environments with Zero Trust Principles. Daarin beschrijft de NSA hoe organisaties hun operationele technologie (OT) beter kunnen beveiligen, ook wanneer apparatuur niet geschikt is voor moderne beveiligingssoftware.

De richtlijnen zijn in eerste instantie bedoeld voor Amerikaanse defensieorganisaties en bedrijven die onderdeel uitmaken van de defensie-industrie. Toch zijn de aanbevelingen ook relevant voor andere sectoren, zoals de maakindustrie, energievoorziening, waterbedrijven en de procesindustrie. Juist in deze sectoren zijn veel installaties afhankelijk van besturingssystemen en apparatuur die soms al tientallen jaren meegaan.

Zero trust zonder alles te vervangen

Het uitgangspunt van zero trust is dat gebruikers, apparaten en verbindingen niet automatisch worden vertrouwd, ook niet wanneer ze zich binnen het bedrijfsnetwerk bevinden. Toegang tot systemen moet steeds worden gecontroleerd en beperkt blijven tot wat daadwerkelijk noodzakelijk is.

In moderne IT-omgevingen kan dat bijvoorbeeld met identiteitsbeheer, multifactorauthenticatie en software die voortdurend controleert of apparaten veilig zijn. In industriële omgevingen ligt dat ingewikkelder.

Veel oudere PLC’s, industriële controllers en andere OT-componenten beschikken niet over de mogelijkheden om dergelijke beveiligingsfuncties zelf uit te voeren. Bovendien kunnen aanpassingen aan deze systemen gevolgen hebben voor de beschikbaarheid van productieprocessen. Het vervangen van apparatuur is daardoor niet altijd technisch of economisch haalbaar.

De NSA kiest daarom voor een pragmatische benadering. Wanneer een apparaat niet rechtstreeks kan worden beveiligd, kunnen aanvullende maatregelen in de omgeving van dat apparaat bescherming bieden. Denk aan netwerksegmentatie, strengere toegangscontrole en het monitoren van netwerkverkeer.

Daarmee verschuift de aandacht van het beveiligen van afzonderlijke apparaten naar het beschermen van de complete industriële omgeving.

26 maatregelen met directe impact

De nieuwe publicatie bevat 26 maatregelen die volgens de NSA relatief veel kunnen bijdragen aan de beveiliging van kritieke OT-systemen. Deze zijn geselecteerd uit een uitgebreider raamwerk met 84 activiteiten.

Een belangrijk aandachtspunt is het verkrijgen van inzicht in de apparatuur die binnen een organisatie aanwezig is. Veel industriële bedrijven beschikken wel over documentatie van hun installaties, maar die is niet altijd volledig of actueel. Apparaten kunnen in de loop der jaren zijn toegevoegd, vervangen of anders met het netwerk zijn verbonden.

De NSA adviseert daarom om een actuele inventarisatie bij te houden van OT-apparatuur. Daarbij gaat het niet alleen om het type apparaat en de gebruikte software, maar ook om de functie ervan, de verantwoordelijke afdeling en de verbindingen met andere systemen.

Vooral de apparatuur die rechtstreeks of indirect vanaf internet bereikbaar is, verdient aandacht. Hetzelfde geldt voor systemen die essentieel zijn voor de continuïteit of veiligheid van productieprocessen.

Toegang voor leveranciers beter controleren

Een tweede belangrijk onderwerp is externe toegang. Industriële installaties worden regelmatig op afstand onderhouden door machinebouwers, systeemintegratoren en andere leveranciers. Dat is praktisch, maar kan ook een beveiligingsrisico vormen.

De NSA adviseert organisaties daarom kritisch te kijken naar de manier waarop externe partijen toegang krijgen tot hun OT-omgeving.

Niet iedere leverancier hoeft permanent toegang te hebben tot een machine of installatie. Een alternatief is om toegang uitsluitend toe te staan wanneer onderhoud daadwerkelijk nodig is. Daarbij kunnen sterke authenticatie, beperkte gebruikersrechten en vooraf goedgekeurde toegangsmomenten helpen.

Ook moeten bedrijven inzicht hebben in de accounts en verbindingen die voor onderhoud op afstand worden gebruikt. Accounts die niet langer nodig zijn, kunnen worden verwijderd of uitgeschakeld.

Voor industriële bedrijven betekent dit dat cybersecurity niet uitsluitend een verantwoordelijkheid is van de IT-afdeling. Ook onderhoudsafdelingen, productie-engineers en externe leveranciers moeten afspraken maken over wie toegang krijgt tot welke systemen en onder welke omstandigheden.

Voorzichtig met actieve beveiligingstests

Opvallend is de aandacht die de NSA besteedt aan de risico’s van beveiligingsonderzoek binnen industriële netwerken.

In traditionele IT-omgevingen worden regelmatig actieve scans uitgevoerd om kwetsbaarheden en verkeerd geconfigureerde systemen op te sporen. Bij oudere OT-apparatuur kan zo’n scan echter onverwachte gevolgen hebben. Sommige industriële controllers reageren slecht op onbekend netwerkverkeer, waardoor communicatieproblemen of zelfs verstoringen van het productieproces kunnen ontstaan.

Daarom adviseert de NSA om waar mogelijk te beginnen met passieve controles. Daarbij wordt informatie verzameld zonder actief in te grijpen in de werking van systemen.

Voorbeelden zijn het controleren van configuraties, analyseren van logbestanden en observeren van netwerkverkeer via SPAN-poorten of TAP-apparatuur. Daarmee kunnen afwijkingen en ongewenste verbindingen worden ontdekt zonder dat de betreffende apparaten rechtstreeks worden belast.

Wanneer actieve tests toch noodzakelijk zijn, moeten deze vooraf worden afgestemd met de verantwoordelijke engineers. Ook moeten duidelijke afspraken worden gemaakt over onderhoudsvensters, mogelijke gevolgen en de manier waarop wijzigingen kunnen worden teruggedraaid.

Cybersecurity moet passen bij productieprocessen

De richtlijnen onderstrepen een belangrijk verschil tussen IT- en OT-beveiliging. Waar binnen kantoorautomatisering een systeem soms tijdelijk kan worden uitgeschakeld om een beveiligingsprobleem te verhelpen, is dat bij industriële installaties lang niet altijd mogelijk.

Een onverwachte onderbreking kan leiden tot productieverlies, beschadigde apparatuur of veiligheidsrisico’s. Beveiligingsmaatregelen moeten daarom rekening houden met de operationele eisen van een installatie.

Dat betekent overigens niet dat oudere systemen ongemoeid moeten blijven. Juist wanneer apparatuur niet eenvoudig kan worden aangepast, wordt het belangrijker om de toegang ertoe te beperken, netwerkverkeer te controleren en afhankelijkheden tussen systemen goed in kaart te brengen.

De boodschap van de NSA is daarmee vooral praktisch: zero trust hoeft in industriële omgevingen geen grootschalig vervangingsproject te zijn. Ook met bestaande apparatuur kunnen organisaties stappen zetten, mits beveiligingsmaatregelen zorgvuldig worden afgestemd op de technische mogelijkheden en de eisen van het productieproces.

Voor bedrijven die met verouderde OT-systemen werken, biedt de publicatie daarmee een bruikbaar uitgangspunt om hun beveiliging stapsgewijs te verbeteren.