IACS

IACS staat voor Industrial Automation and Control Systems en verwijst naar het geheel van hardware, software en netwerken dat wordt ingezet voor het monitoren en aansturen van industriële processen. IACS omvat systemen zoals SCADA (Supervisory Control and Data Acquisition), PLC's (Programmable Logic Controllers), DCS (Distributed Control Systems) en industriële netwerken. Deze systemen vormen het hart van industriële productie, energieopwekking, waterbehandeling en tal van andere kritieke processen. De beveiliging van IACS valt onder de internationale standaard IEC 62443.

Hoe werkt IACS?

Een IACS-omgeving bestaat uit meerdere lagen die samen een industrieel proces aansturen. Op de onderste laag bevinden zich sensoren en actuatoren die fysieke parameters meten en beïnvloeden: temperatuur, druk, debiet, rotatiesnelheid. Deze apparaten communiceren met PLC's die de directe procescontrole uitvoeren op basis van geprogrammeerde logica.

De middelste laag bestaat uit controllers en HMI's (Human Machine Interfaces) die operators in staat stellen het proces te monitoren en bij te sturen. SCADA-systemen verzamelen data van meerdere controllers en bieden een centraal overzicht van het gehele productieproces. Op deze laag worden alarmen gegenereerd, trends geanalyseerd en operationele beslissingen genomen.

De bovenste laag verbindt de operationele technologie (OT) met bedrijfssystemen zoals ERP en MES. Hier worden productiedata gecombineerd met bedrijfsinformatie voor planning, rapportage en optimalisatie. Deze verbinding tussen OT en IT is vanuit beveiligingsoogpunt het meest kwetsbare punt, omdat het een pad creëert van het kantoornetwerk naar de industriële systemen die fysieke processen aansturen.

Moderne IACS-omgevingen gebruiken steeds vaker standaard IT-protocollen en besturingssystemen, wat de connectiviteit en functionaliteit verbetert maar ook de kwetsbaarheid vergroot. Waar industriële systemen voorheen geïsoleerd opereerden met propriëtaire protocollen, zijn ze nu potentieel bereikbaar via IP-netwerken. Deze convergentie van IT en OT creëert nieuwe aanvalsoppervlakken die specifieke beveiligingsmaatregelen vereisen.

Wanneer heb je IACS-beveiliging nodig?

Elke organisatie die industriële processen aanstuurt met geautomatiseerde systemen heeft IACS-beveiliging nodig. Dit geldt voor fabrikanten, energiebedrijven, waterleidingbedrijven, chemiebedrijven, voedselproducenten en transportbedrijven. De ISA/IEC 62443 standaard definieert de beveiligingseisen voor IACS en is van toepassing op alle industriële sectoren.

Onder NIS2 zijn organisaties in essentiële en belangrijke sectoren verplicht om adequate beveiligingsmaatregelen te treffen voor hun netwerk- en informatiesystemen, inclusief IACS. Dit betekent dat IACS-beveiliging niet langer optioneel is voor organisaties in energie, water, transport, gezondheidszorg en digitale infrastructuur. Niet-naleving kan leiden tot aanzienlijke boetes en bestuurdersaansprakelijkheid.

Het dreigingslandschap voor IACS is de afgelopen jaren drastisch veranderd. Waar industriële systemen traditioneel werden beschermd door fysieke isolatie (air-gapping), zijn veel omgevingen inmiddels verbonden met IT-netwerken en het internet. Cybersabotage door statelijke actoren richt zich specifiek op IACS in vitale infrastructuur. Incidenten zoals de aanval op het Oekraïense elektriciteitsnet in 2015 en de poging tot sabotage van een waterzuiveringsinstallatie in Florida in 2021 tonen de reële impact van IACS-kwetsbaarheden.

Voordelen en beperkingen van IACS-beveiligingsstandaarden

De ISA/IEC 62443 standaard biedt een gestructureerd raamwerk voor IACS-beveiliging dat rekening houdt met de specifieke uitdagingen van industriële omgevingen. Anders dan generieke IT-beveiligingsstandaarden begrijpt IEC 62443 dat industriële systemen andere prioriteiten hebben: beschikbaarheid en veiligheid (safety) gaan boven vertrouwelijkheid. Het patchcyclusmodel dat in IT gangbaar is, werkt niet altijd in OT waar systemen 24/7 moeten draaien en ongecontroleerde updates productieprocessen kunnen verstoren.

De standaard adresseert alle stakeholders in het IACS-ecosysteem: asset owners die de systemen exploiteren, systeemintegratoren die ze implementeren, productleveranciers die componenten ontwikkelen en dienstverleners die onderhoud en beheer verzorgen. Elk van deze rollen heeft specifieke verantwoordelijkheden en beveiligingseisen. Dit holistische perspectief is een sterk punt van de standaard.

Beperkingen bestaan ook. De implementatie van IEC 62443 vereist specialistische kennis op het snijvlak van OT en cybersecurity, een combinatie die schaars is op de arbeidsmarkt. Legacy-systemen die niet zijn ontworpen met beveiliging in gedachten, laten zich lastig beveiligen volgens de standaard zonder dure vervanging of omvangrijke aanpassingen. De standaard biedt een ideaalbeeld, maar de praktijk van brownfield-omgevingen met twintig jaar oude controllers is weerbarstiger.

IACS in de praktijk

Een Nederlands waterleidingbedrijf beheert tientallen pompstations en zuiveringsinstallaties via een centraal SCADA-systeem. De PLC s op elke locatie sturen pompen, kleppen en doseerinstallaties aan op basis van sensordata over waterkwaliteit en drukniveaus. Voorheen waren deze systemen volledig geïsoleerd, maar de behoefte aan remote monitoring en centraal beheer heeft geleid tot netwerkconnectiviteit die nieuwe beveiligingsuitdagingen creëert.

De implementatie van IEC 62443 bij dit waterbedrijf begint met het opstellen van een asset-inventaris van alle industriële componenten, van PLC-firmware versies tot netwerkprotocollen. Vervolgens wordt het netwerk gesegmenteerd in zones en conduits conform het model van de standaard. Kritieke controlesystemen worden geplaatst in een beveiligde zone met strikte toegangscontrole, terwijl monitoringsystemen in een aparte zone met beperkte lees-toegang worden geplaatst. De communicatie tussen zones verloopt via gecontroleerde conduits met firewalls die specifiek zijn geconfigureerd voor industriele protocollen.

Een veelvoorkomende uitdaging bij IACS-beveiliging is de levensduur van industriële systemen. Waar IT-apparatuur doorgaans na drie tot vijf jaar wordt vervangen, draaien industriele controllers vijftien tot vijfentwintig jaar. Veel van deze systemen werken op verouderde besturingssystemen waarvoor geen beveiligingsupdates meer beschikbaar zijn. Het patchen van deze systemen is vaak niet mogelijk zonder het productieproces stil te leggen, wat aanzienlijke kosten met zich meebrengt. Compenserende maatregelen zoals netwerksegmentatie, monitoring en application whitelisting bieden bescherming voor systemen die niet gepatcht kunnen worden.

De convergentie van IT en OT vereist een cultuurverandering binnen organisaties. IT-teams en OT-teams hebben traditioneel verschillende prioriteiten en werkwijzen. IT focust op vertrouwelijkheid en snelle updates, OT op beschikbaarheid en stabiliteit. Succesvolle IACS-beveiliging vereist samenwerking tussen beide disciplines, met wederzijds begrip voor elkaars beperkingen en vereisten.

Veelgestelde vragen over IACS

Wat is het verschil tussen IACS en SCADA?

SCADA is een specifiek type systeem binnen de bredere categorie IACS. IACS omvat alle industriële automatiserings- en controlesystemen, waaronder SCADA, PLC's, DCS en industriële netwerken. SCADA richt zich specifiek op supervisory control en dataverzameling.

Is IEC 62443 verplicht?

IEC 62443 is geen wettelijke verplichting op zichzelf, maar wordt door regelgeving zoals NIS2 en sectorspecifieke eisen steeds vaker als de facto standaard verwezen. In sectoren zoals energie en water is naleving praktisch onvermijdelijk geworden.

Hoe verschilt IACS-beveiliging van IT-beveiliging?

IACS prioriteert beschikbaarheid en safety boven vertrouwelijkheid. Patching is complexer vanwege continue operatie. Protocollen zijn anders (Modbus, OPC UA). Levensduur van systemen is 15-25 jaar versus 3-5 jaar in IT. Real-time vereisten beperken de inzet van traditionele IT-beveiligingstools.

Wat zijn de grootste risico's voor IACS?

De convergentie van IT en OT vergroot het aanvalsoppervlak. Legacy-systemen met bekende kwetsbaarheden die niet gepatcht worden, vormen het grootste risico. Statelijke actoren die voorpositioneren voor sabotage en ransomware-groepen die industriële omgevingen targeten zijn de primaire dreigingen.

Hoe begin je met IACS-beveiliging?

Start met een asset-inventarisatie van alle industriële systemen. Segmenteer OT- en IT-netwerken. Implementeer monitoring op het OT-netwerk. Voer een risicoanalyse uit conform IEC 62443. Prioriteer maatregelen op basis van het risico voor safety en bedrijfscontinuïteit.

Beveilig jouw industriële systemen professioneel. Vergelijk OT & ICS Security aanbieders op IBgidsNL.