Als de sluis gehackt wordt: waarom OT-security nu alle aandacht verdient.

Bij een cyberaanval denken we al snel aan gestolen data en platgelegde mailboxen. Maar wat als een hacker geen bestanden steelt, maar bijvoorbeeld een pomp uitzet, een klep opent of de stroom onderbreekt? In de nieuwste aflevering van PRISM de Podcast sprak Joyce de Jong met mededirecteur Jorrit van der Walle, voormalig Security Officer bij een grote netbeheerder, over OT-security: wat het is, waarom het zo kwetsbaar is en waar je begint. 

Wat is OT eigenlijk? 

Naast IT, informatietechnologie, bestaat er een tweede tak, genaamd OT, operationele technologie. Dat zijn systemen die machines en installaties aansturen. Een sensor meldt hoogwater, het systeem neemt een beslissing en opent een klep of zet een pomp aan. 

De bouwstenen daarvan zijn PLC's (Programmable Logic Controllers). Dat zijn programmeerbare apparaatjes die op sensorsignalen reageren. Daarboven hangen SCADA-systemen, die alles overzien, visualiseren en alarmeren. Denk aan de controlekamer vol beeldschermen. Je vindt OT bij waterschappen, netbeheerders, fabrieken en in de petrochemie. 

Maar ook dichter bij huis. Via het IOT (Internet of Things) worden liften en luchtbehandeling op afstand bestuurd. Jorrit onderscheidt daarom drie soorten organisaties: zonder OT, met OT, en organisaties die niet weten dat ze OT hebben. Wat gebeurt er als iemand de luchtbehandeling van een ziekenhuis of wooncomplex in de zomer op 40 graden zet? 

De perfecte storm: grote impact, weinig moeite 

Het aantal aanvallen op OT neemt toe. Zo noemt Jorrit de hack op een Noorse aluminiumfabrikant die zijn systemen opnieuw moest opbouwen, de aanval op het Poolse energienetwerk eind 2025, een infiltratiepoging bij een Zweedse verwarmingsinstallatie en aanvallen op Amerikaanse waterzuiveringen. 

Daar zijn volgens hem twee redenen voor. Ten eerste zorgt OT sneller voor ontwrichting: valt de stroom of de waterzuivering uit, dan zijn de maatschappelijke gevolgen direct voelbaar. Ten tweede is OT vaak eenvoudiger te hacken. Er is minder kennis, er wordt minder geïnvesteerd en veel systemen hangen bewust of onbewust aan het internet. 

"Dan krijg je eigenlijk een soort perfecte storm, waarbij het effect groot is en de investering in mensen en uren beperkt." Of zoals Joyce het samenvat: prijsschieten. 

Van spionage naar ontwrichting 

De geopolitieke situatie speelt een grote rol. Hackerscollectieven die door de Russische staat worden gesteund zijn actief in heel Europa, en hun doel is verschoven van inlichtingen vergaren naar stopzetten en kapotmaken. Ook Iran en China zijn actief. Bedrijven die leveren aan Defensie van Oekraïne, vaak innovatieve start-ups, zijn extra kwetsbaar. 

Opvallend is hoe weinig consequenties zo'n aanval heeft. "Een Russische staatsgroep hackt een OT-systeem, maar er gaat geen bom richting Rusland." De grens van wat we tolereren schuift daardoor steeds verder op. 

Zeven oorzaken waardoor hackers zo ver komen: 

1. Systemen aan het internet: SCADA-systemen en PLC's die van buitenaf benaderbaar zijn, soms met een te eenvoudig wachtwoord of zonder enige beveiliging.
   
2. Geen scheiding tussen IT en OT: wie de kantooromgeving binnenkomt, kan zo door naar de installaties. Het Purdue-model biedt hiervoor een bekende oplossing, maar is lang niet overal ingevoerd.
   
3. Te weinig kennis: OT-securityspecialisten zijn zeldzaam. Jorrit roept studenten op om juist nu voor dit vak te kiezen.
   
4. De menselijke factor: phishing blijft werken en wordt met AI slimmer. Iedereen kan erin trappen.
   
5. Verouderde systemen: OT wordt niet elke drie of vier jaar vervangen. Een Windows XP-machine in een controleruimte is geen uitzondering.
   
6. Patchen is complex: kantoorautomatisering patch je op vrijdagavond. "Maar op vrijdagavond moet de stroomvoorziening wel blijven draaien."
   
7. Ketenafhankelijkheid: de software is vaak maatwerk voor een handvol organisaties en wordt beheerd door externe partijen. 
   
   

Waar begin je? 

Jorrits conclusie is eenvoudig: draai de oorzaken om en je hebt de maatregelen. Daarbij helpen een paar kaders: 

• IEC 62443: een complexe maar waardevolle standaard met een eigen managementsysteem voor OT, het CSMS. De waterschappen hebben deze al vertaald naar een eigen norm.
• NIS2 en de Cyberbeveiligingswet: die gelden volledig voor OT, juist vanwege de maatschappelijke impact.
• ABDO en ABRO: normenkaders voor organisaties die zakendoen met Defensie en de Rijksoverheid. 

Er is echter ook goed nieuws. Nederland is namelijk op het gebied van OT-security een van de grote innovatoren. 

Conclusie 

OT-security was lang een niche binnen de informatiebeveiliging, maar die tijd is voorbij. Zoals Joyce zegt: "Het is geen toekomstmuziek, het zijn geen doemscenario's, het is gewoon wat het nu is." Wie weet wat er aan zijn netwerk hangt, IT en OT scheidt en investeert in mensen, haalt zichzelf uit de categorie makkelijk doelwit. 

Wil je weten hoe je OT in kaart brengt of wat de Cyberbeveiligingswet voor jouw organisatie betekent? Op het PRISM-platform vind je formats, het laatste nieuws en een inhoudelijke helpdesk. Beluister de volledige aflevering van de PRISM-podcast op prismmembers.nl  of via je favoriete podcast-app!