IT/OT-segmentatie: waarom het de basis is van goede OT-security

IT/OT-segmentatie: waarom het de basis is van goede OT-security

Zonder duidelijke IT/OT-segmentatie is OT-security kwetsbaar. Wanneer IT- en OT-netwerken onvoldoende van elkaar zijn gescheiden, kan een incident in het kantoornetwerk direct doorwerken naar productieprocessen of kritieke infrastructuur. Met gerichte cyberaanvallen en striktere NIS2-verplichtingen is IT/OT-segmentatie geen technisch detail meer, maar een strategische vereiste. Met deze 5 principes leg je hiervoor de juiste basis.

IT en OT groeien steeds verder naar elkaar toe. Data uit productielijnen worden realtime gedeeld met IT-systemen voor monitoring, analyse en optimalisatie. Dat levert efficiëntie op, maar vergroot ook het aanvalsoppervlak. Hoe nauwer IT en OT samenwerken, hoe scherper je de grens moet bewaken.

Wat begint als een phishingmail in het IT-domein, kan zonder segmentatie eindigen in stilstand of een veiligheidsincident in de OT-omgeving. Voor organisaties in energie, productie of andere kritieke infrastructuur is dit geen theorie. Het is een verantwoordelijkheid op directieniveau.

Dreiging en regelgeving zetten druk

Cyberaanvallen zijn professioneler en gerichter geworden. Aanvallers zoeken niet alleen naar data, maar naar verstoring. OT-systemen die SCADA-platforms of industriële installaties aansturen, zijn aantrekkelijk omdat de impact daar meteen voelbaar is.

Tegelijk verplicht NIS2 organisaties om risico’s in zowel IT als OT aantoonbaar te beheersen. Dat vraagt om structurele maatregelen. Segmentatie hoort daarbij. Zonder duidelijke netwerkscheiding kun je risico’s niet goed beperken. Laat staan dat je kunt aantonen dat je ze onder controle hebt.

Waarom IT-security niet automatisch OT-security is

Veel organisaties hebben hun IT-security goed geregeld. Denk aan patchmanagement, monitoring en toegangsbeheer. In OT ligt de nadruk anders. Daar draait alles om beschikbaarheid en veiligheid van fysieke processen. Stilstand is vaak geen optie.

Daarnaast werken OT-omgevingen met industriële protocollen zoals Modbus of Profinet. Die zijn ontworpen voor betrouwbaarheid, niet voor beveiliging. Koppel je IT en OT zonder goed ontwerp aan elkaar, dan groeit het aanvalsoppervlak snel. IT/OT-segmentatie is daarom geen verlengstuk van IT-security. Het is een zelfstandig ontwerpprincipe binnen OT-security.

Wat is IT/OT-segmentatie?

IT/OT-segmentatie betekent dat je IT- en OT-netwerken logisch en technisch van elkaar scheidt. Niet alle communicatie is standaard toegestaan, maar alleen wat functioneel nodig is. Die communicatie wordt bovendien gecontroleerd en gemonitord.

Dit sluit aan bij standaarden zoals IEC 62443. Daarin wordt gewerkt met zones en conduits. Door netwerken op te delen in duidelijke segmenten, beperk je de bewegingsvrijheid van een aanvaller. Een incident in één segment blijft dan binnen dat segment. Segmentatie vormt daarmee het fundament van een volwassen OT-securityaanpak.

Waarom het in de praktijk vaak misgaat

In veel organisaties ontbreekt een actueel overzicht van OT-assets en hun koppelingen met IT. Legacy-hardware past niet altijd binnen moderne securitymodellen, maar kan ook niet zomaar worden vervangen. Aanpassingen worden uitgesteld uit angst voor downtime.

Daarnaast begrijpen standaard IT-securitytools industriële protocollen niet altijd goed. Dat maakt het lastig om OT-verkeer correct te monitoren. Ook de menselijke factor speelt mee. Operators zijn primair gericht op procescontinuïteit. Tijdelijke oplossingen of omwegen kunnen onbedoeld bestaande segmentatie ondermijnen. Zonder heldere architectuur en eigenaarschap blijft OT-security versnipperd.

Vijf principes voor effectieve IT/OT-segmentatie

Effectieve IT/OT-segmentatie vraagt om een gestructureerde aanpak. Deze vijf principes vormen de basis:

1. Breng alles in kaart

Segmentatie begint met inzicht. Welke systemen zijn actief in de OT-omgeving? Hoe zijn ze verbonden met IT? Welke dataflows zijn noodzakelijk en welke historisch gegroeid? Zonder volledig overzicht blijft segmentatie gebaseerd op aannames.
 

2. Werk met duidelijke zones

Segmentatie is meer dan een extra firewall plaatsen. Het betekent dat je het netwerk logisch indeelt op basis van functie en risicoprofiel. Kritieke besturingssystemen horen niet in hetzelfde segment als kantoorautomatisering. Door zones helder af te bakenen, verklein je het aanvalsoppervlak.

3. Beveilig de overgang tussen IT en OT expliciet

De grens tussen IT en OT is vaak de kwetsbaarste plek. Hier zijn gerichte maatregelen nodig: industriële firewalls, strikt toegangsbeheer en monitoring die OT-verkeer begrijpt. Passieve monitoring kan afwijkingen signaleren zonder processen te verstoren.

4. Ontwerp segmentatie samen met de operatie

OT-beveiliging moet aansluiten op de praktijk. Segmentatie mag processen niet blokkeren. Dat vraagt om samenwerking tussen IT, security en operationele teams. Alleen dan ontstaat een oplossing die veilig én werkbaar is. 

5. Maak segmentatie onderdeel van structureel beleid

IT/OT-segmentatie is geen eenmalig project. Netwerken veranderen, nieuwe systemen worden toegevoegd en daarmee verschuiven ook de risico's. Door segmentatie vast te leggen in beleid en verantwoordelijkheden wordt het een blijvend onderdeel van je securityaanpak. NIS2 biedt hiervoor een duidelijk kader. 

Een solide architectuur als fundament

IT en OT blijven verder integreren. Dat is geen tijdelijke trend. Juist daarom moet de onderliggende architectuur stevig zijn. IT/OT-segmentatie beperkt risico’s, ondersteunt compliance en voorkomt dat digitale incidenten uitgroeien tot fysieke verstoringen.

Wil je weten hoe je IT/OT-segmentatie in jouw organisatie concreet kunt inrichten zonder productieprocessen te verstoren? De specialisten van Orange Cyberdefense helpen je met een gerichte analyse van je OT-security en segmentatieaanpak.