De inzet van draagbare opslagmedia zoals USB-sticks en externe harde schijven blijft wijdverbreid in industriële omgevingen. Ze worden gebruikt om firmware te updaten, logbestanden te exporteren of software te installeren op systemen die vaak niet aan een netwerk gekoppeld zijn. Maar waar de functionaliteit onmisbaar lijkt, schuilt ook een aanzienlijk risico: een geïnfecteerd opslagmedium kan een compleet productienetwerk ontregelen.

Het Amerikaanse National Cybersecurity Center of Excellence (NCCoE), onderdeel van het National Institute of Standards and Technology (NIST), heeft daarom een compacte gids uitgebracht: NIST Special Publication 1334, “Reducing the Cybersecurity Risks of Portable Storage Media in Operational Technology (OT) Environments”. De publicatie van september 2025 biedt managers en technici in de industrie een overzicht van maatregelen om het gebruik van draagbare opslagmedia beter te beheersen en de kans op cyberincidenten drastisch te verkleinen .

Het risico van gemak

In veel operationele technologie-omgevingen (OT) – denk aan energiecentrales, waterzuiveringsinstallaties en productiebedrijven – is het gebruik van USB-media een dagelijkse praktijk. Zeker bij systemen die niet of slechts beperkt toegang hebben tot externe netwerken, is de fysieke overdracht van data de enige manier om updates of configuraties door te voeren. Maar diezelfde media kunnen ook een kanaal zijn voor malware, spyware of ransomware.

Incidenten uit het verleden, zoals de verspreiding van Stuxnet via USB-sticks, hebben laten zien dat een ogenschijnlijk onschuldig apparaatje de werking van complete industriële installaties kan verstoren en zelfs fysieke schade kan veroorzaken. De urgentie om strikte maatregelen te nemen, is dan ook groot.

Beleid en procedures als fundament

Volgens de nieuwe NIST-richtlijn begint veilige omgang met draagbare opslagmedia bij duidelijke procedures en beleid. Organisaties wordt aangeraden enkel zelf aangeschafte en geregistreerde media toe te staan. Media die door derden worden ingebracht, moeten standaard als onbetrouwbaar worden beschouwd.

Belangrijke aanbevelingen zijn onder meer:

• een verbod op ongeautoriseerd gebruik;
• het beperken van toegang tot specifieke personen en doeleinden;
• het vastleggen van processen voor aanschaf, gebruik, opslag, schoonmaak (sanitization) en uiteindelijke vernietiging;
• het bijhouden van logs om te weten wie welk medium heeft gebruikt en wanneer;
• het trainen van medewerkers zodat zij zich bewust zijn van het beleid.

Dit sluit aan bij bredere assetmanagementprogramma’s waarin alle hardware en software onder beheer staat.

Fysieke maatregelen

Naast beleid spelen ook fysieke controles een cruciale rol. NIST adviseert om draagbare opslagmedia in beveiligde ruimtes op te slaan, alleen toegankelijk voor geautoriseerd personeel.

Inventarisatie en labeling zijn essentieel: een USB-stick kan bijvoorbeeld worden voorzien van informatie over de gebruiker, het systeem waarop hij ingezet mag worden en het doel waarvoor hij bestemd is. Zo wordt voorkomen dat hetzelfde medium op meerdere netwerken wordt gebruikt, wat het risico op besmetting zou vergroten.

Het creëren van een centrale, gecontroleerde opslagruimte voor deze media wordt gepresenteerd als een goede basis.

Technische beveiliging

Waar mogelijk dienen organisaties technische controles in te zetten. Voorbeelden zijn:

• Het uitschakelen van niet-noodzakelijke USB-poorten, zowel softwarematig (via BIOS of besturingssysteem) als fysiek (met port locks of epoxy).
• Het inzetten van allowlisting om alleen goedgekeurde bestanden of applicaties uit te voeren.
• Het scannen van opslagmedia met actuele antimalwaretools, zowel vóór als ná gebruik.
• Het formatteren van een medium voordat het op een ander systeem wordt aangesloten.
• Het inschakelen van schrijfbeveiliging als alleen lezen nodig is.
• Het uitschakelen van autorun-functies.
• Het versleutelen van data op media met FIPS-gecertificeerde algoritmes.
• Het configureren van alerts bij detectie van nieuwe media of ongebruikelijke datatransfers.

Door deze maatregelen te combineren, wordt de kans kleiner dat malware ongemerkt via een USB-stick het netwerk binnendringt.

Transport en vernietiging

Het risico beperkt zich niet tot het gebruik op de werkvloer. Ook tijdens transport tussen locaties kan informatie onderschept of gemanipuleerd worden. NIST adviseert daarom encryptie of fysieke beveiliging (zoals een afgesloten container) tijdens transport.

Bij het uitwisselen van bestanden moet hash- of checksum-verificatie plaatsvinden om te controleren of data niet is veranderd. Voor de afvoer van afgeschreven media gelden strikte sanitizatieprocedures, zoals omschreven in NIST SP 800 – 88. Dit omvat het monitoren, registreren en documenteren van elke vernietigingsactie.

Praktische leidraad

De kracht van de nieuwe publicatie ligt volgens het NCCoE in de beknoptheid. Waar eerdere richtlijnen vaak omvangrijk en technisch diepgaand zijn, is SP 1334 samengevat in een overzichtelijke two-pager. Daarmee wil NIST managers en technici in de industrie een snel toepasbare set handvatten bieden, gebaseerd op bestaande standaarden zoals NIST SP 800 – 82 (OT Security) en NIST SP 800 – 53 (Security and Privacy Controls).

Voor OT-professionals betekent dit een praktische leidraad die direct inzetbaar is in de dagelijkse praktijk.

Conclusie: balans tussen gebruiksgemak en veiligheid

De uitdaging voor industriële organisaties is om het gemak van draagbare opslagmedia te behouden, zonder de veiligheid van cruciale productienetwerken op het spel te zetten. Door een combinatie van beleidsregels, fysieke beveiliging en technische maatregelen kunnen de risico’s aanzienlijk worden beperkt.

NIST benadrukt dat het niet alleen gaat om techniek, maar ook om bewustzijn en discipline binnen de organisatie. Training en naleving van procedures zijn minstens zo belangrijk als encryptie en malwaredetectie.

De boodschap van de gids is duidelijk: USB blijft nuttig, maar alleen als organisaties het gebruik streng reguleren en de risico’s actief beheersen. Voor managers en technici in de industrie ligt hier een directe opdracht om beleid en praktijk op elkaar af te stemmen en zo de weerbaarheid van hun OT-systemen te versterken.