Operational Technology

Operational technology (OT) omvat alle hardware en software die fysieke processen monitort en aanstuurt. Denk aan de systemen die een waterzuiveringsinstallatie besturen, de software die productielijnen in een fabriek aanstuurt, of de controllers die het elektriciteitsnetwerk beheren. OT verschilt fundamenteel van traditionele IT omdat het direct invloed heeft op de fysieke wereld. Een storing of compromittering van OT-systemen kan leiden tot productiestilstand, milieuschade of zelfs gevaar voor mensenlevens. Met de toenemende convergentie van IT- en OT-netwerken is de beveiliging van deze systemen een kritiek aandachtspunt geworden voor elke organisatie die industriële processen beheert of afhankelijk is van fysieke automatisering.

Hoe werkt operational technology?

OT-systemen zijn opgebouwd uit verschillende lagen die samenwerken om fysieke processen aan te sturen, vaak beschreven volgens het Purdue-model dat vijf niveaus onderscheidt. Op het laagste niveau (Level 0-1) bevinden zich de sensoren en actuatoren die direct meten en ingrijpen in het fysieke proces. Denk aan temperatuursensoren, drukkleppen, motoren en pompen. Deze worden aangestuurd door programmable logic controllers (PLC's) en remote terminal units (RTU's), die de logica bevatten om processen automatisch te regelen op basis van geprogrammeerde instructies en setpoints.

Op het controleniveau (Level 2) bevinden zich SCADA-systemen (Supervisory Control and Data Acquisition) en distributed control systems (DCS). SCADA verzamelt data van de PLC's en RTU's, visualiseert de processtatus voor operators via human-machine interfaces (HMI's) en maakt centrale besturing mogelijk van verspreide locaties. DCS-systemen worden typisch gebruikt voor continue processen zoals in de chemische industrie of energieopwekking, waar een hoge mate van automatisering en procesbetrouwbaarheid vereist is.

Op het operationele niveau (Level 3) draaien manufacturing execution systems (MES) die productieprocessen coördineren, kwaliteitscontrole uitvoeren en productieplanning aansturen. De bovenste lagen (Level 4-5) bestaan uit enterprise resource planning (ERP) systemen en bedrijfsnetwerken die de verbinding vormen tussen de operationele processen en de bedrijfsvoering. Het is juist op deze grensvlakken, waar OT en IT samenkomen, dat de grootste beveiligingsrisico's ontstaan. Een demilitarized zone (DMZ) tussen de IT- en OT-netwerken is essentieel om deze overgang veilig te houden.

Veel OT-systemen zijn oorspronkelijk ontworpen als gesloten systemen zonder netwerkverbinding en draaien soms al tientallen jaren op dezelfde hardware en software. Door de digitalisering en de behoefte aan data-uitwisseling met bedrijfssystemen zijn ze steeds vaker verbonden met het IT-netwerk en daarmee indirect met het internet. Dit stelt ze bloot aan cyberdreigingen waartegen ze oorspronkelijk niet zijn ontworpen, zoals malware en gerichte aanvallen van statelijke actoren.

Wanneer heb je OT-beveiliging nodig?

Elke organisatie die fysieke processen bestuurt met digitale systemen heeft OT-beveiliging nodig. Dit geldt voor sectoren zoals energie, watervoorziening, productie, transport, olie en gas, voedselverwerking en de gebouwbeheersector. De urgentie is de afgelopen jaren sterk toegenomen. Volgens onderzoek van Forescout werden in 2025 maar liefst 2.155 kwetsbaarheden in OT- en ICS-systemen gerapporteerd, het hoogste aantal ooit. De meest getroffen assets zijn field controllers, PLC's en SCADA-systemen op Purdue Level 1 en 2.

NIS2 maakt OT-beveiliging bovendien een wettelijke verplichting voor organisaties in essentiële sectoren. De richtlijn vereist dat je passende beveiligingsmaatregelen neemt voor alle systemen die kritieke diensten ondersteunen, inclusief OT-omgevingen. Dit omvat risicobeheer, incidentmelding en het implementeren van technische en organisatorische maatregelen die proportioneel zijn aan het risico.

De dreiging is reëel en groeiend. Aanvallen op OT-systemen zijn niet langer hypothetisch. Van de aanval op het Oekraïense elektriciteitsnetwerk tot incidenten bij waterbehandelingsinstallaties in de Verenigde Staten, de impact van OT-aanvallen is direct voelbaar in de fysieke wereld. Ransomware die OT-systemen raakt, kan productieprocessen volledig stilleggen, met enorme financiële schade en potentieel gevaar voor de veiligheid als gevolg. Geopolitieke spanningen vergroten het risico op gerichte aanvallen tegen kritieke infrastructuur aanzienlijk.

Voordelen en beperkingen van operational technology beveiliging

Een goed beveiligde OT-omgeving biedt continuïteit van kritieke processen, bescherming tegen fysieke schade en naleving van regelgeving. OT-specifieke beveiligingsoplossingen begrijpen de unieke protocollen die in industriële omgevingen worden gebruikt, zoals Modbus, DNP3, BACnet en OPC UA. Ze kunnen afwijkend verkeer detecteren zonder de procesvoering te verstoren, wat essentieel is in omgevingen waar beschikbaarheid belangrijker is dan vertrouwelijkheid.

Passieve netwerkmonitoring is een kernmethode in OT-beveiliging. In tegenstelling tot actief scannen, wat OT-apparatuur kan verstoren of laten crashen, luistert passieve monitoring mee op het netwerk zonder paketten te injecteren. Dit maakt het mogelijk om assets te inventariseren, communicatiepatronen te analyseren en afwijkingen te detecteren zonder de operationele processen te beïnvloeden of de beschikbaarheid in gevaar te brengen.

De beperkingen zijn echter aanzienlijk. Veel OT-systemen draaien op verouderde besturingssystemen zoals Windows XP of zelfs oudere versies die geen patches meer ontvangen. Het updaten van deze systemen is complex omdat ze vaak 24/7 moeten draaien en een onderhoudsvenster maanden van tevoren gepland moet worden. Traditionele IT-beveiligingstools zoals antivirussoftware en EDR-oplossingen zijn vaak niet geschikt voor OT-omgevingen vanwege de impact op realtime-prestaties en de incompatibiliteit met legacy-besturingssystemen.

Netwerksegmentatie tussen IT en OT is daarom een van de belangrijkste maatregelen: het beperkt de mogelijkheid voor aanvallers om vanuit het IT-netwerk de OT-omgeving te bereiken. Virtual patching, waarbij een intrusion prevention system kwetsbaarheden afschermt zonder de onderliggende software te wijzigen, biedt een praktisch alternatief voor systemen die niet geüpdatet kunnen worden.

Een bijkomende uitdaging is het tekort aan professionals die zowel OT- als cybersecurity-expertise combineren. ICS-beveiliging vereist kennis van industriële protocollen, procesautomatisering en cybersecurity. Deze combinatie is schaars op de arbeidsmarkt, waardoor veel organisaties afhankelijk zijn van externe specialisten voor het opstellen en uitvoeren van hun OT-beveiligingsstrategie.

Veelgestelde vragen over operational technology

Wat is het verschil tussen IT en OT?

IT (informatietechnologie) richt zich op data: opslaan, verwerken en communiceren van informatie. OT richt zich op fysieke processen: het aansturen en monitoren van machines, installaties en industriële systemen. Bij IT staat vertrouwelijkheid voorop, bij OT beschikbaarheid en veiligheid. De prioritering van de CIA-triad is dus omgekeerd.

Waarom zijn OT-systemen kwetsbaar voor cyberaanvallen?

Veel OT-systemen zijn decennia oud en ontworpen zonder beveiligingsmaatregelen. Ze draaien op verouderde besturingssystemen, gebruiken onversleutelde protocollen en waren oorspronkelijk niet verbonden met netwerken. Door de convergentie met IT worden ze nu blootgesteld aan dreigingen waartegen ze niet zijn beschermd.

Hoe beveilig je een OT-omgeving?

Begin met netwerksegmentatie tussen IT en OT. Implementeer passieve monitoring specifiek voor OT-protocollen. Voer regelmatig risicoanalyses uit en stel een patchmanagementbeleid op dat rekening houdt met de beschikbaarheidseisen. Overweeg virtual patching voor systemen die niet direct geüpdatet kunnen worden.

Valt OT onder NIS2?

Ja, organisaties in essentiële en belangrijke sectoren moeten ook hun OT-omgevingen beveiligen volgens NIS2. Dit omvat risicobeheer, incidentmelding en het implementeren van passende technische en organisatorische maatregelen voor alle systemen die kritieke diensten ondersteunen.

Wat kost OT-beveiliging?

De kosten variëren sterk afhankelijk van de omvang en complexiteit van de OT-omgeving. Een initiële assessment kost doorgaans tussen de 15.000 en 50.000 euro. Structurele OT-monitoring via een managed service begint vanaf enkele duizenden euro's per maand, afhankelijk van het aantal te bewaken assets en de gewenste dekking van monitoring.

Vergelijk aanbieders van OT-beveiliging op OT & ICS Security op IBgidsNL.