Operationele technologie (OT) vormt de ruggengraat van veel industriële bedrijven, maar het toepassen van zero trust principes in deze omgevingen blijkt complex. Sinds het Colonial pipeline ransomware incident in 2021 is de vraag "Zijn we al zero trust?" vaker gesteld, vooral in audits en veiligheidsrichtlijnen zoals TSA Directive 2021-02C en NERC CIP-013. Deze regelgeving dwingt bedrijven om hun netwerksegmentatie, leveranciersbeheer en remote toegang te herzien.

Het model van de Zero Trust Architecture (SP 800‑207) van NIST is oorspronkelijk gericht op IT-netwerken en sluit niet naadloos aan bij OT-omgevingen waar apparatuur continu moet draaien en vaak ouder is. De richtlijnen van CISA voor het toepassen van zero trust in OT helpen deze kloof te dichten, maar vereisen afstemming tussen OT-teams en het management.

In gesprekken over zero trust ligt de nadruk op praktische principes: elke gebruiker en elk systeem moet zich identificeren en motiveren voor toegang. De focus ligt op de raakvlakken tussen IT en OT, zoals jump hosts, historian-verbindingen en gedeelde identiteitsopslag. Deze knelpunten lenen zich voor snelle verbeteringen met maatregelen als sterke authenticatie, het principe van minste privilege en gedetailleerde logging, zonder de operationele continuïteit te verstoren. Door deze aanpak te koppelen aan bestaande compliance-eisen verschuift het gesprek van 'waarom veranderen?' naar 'hoe doen we dit goed?'.