Fase 3–4
OT-kwetsbaarheden analyseren
Weet u welke apparatuur op uw OT-netwerk staat, met welke firmware en welke verbindingen naar buiten?
OT-securityarchitectuur
Verdedigbare industriële netwerken op basis van IEC 62443-3-2
Welk verkeer moet er tussen uw kantoornetwerk en uw besturing lopen, en welk niet? Zolang IT en OT op één plat netwerk staan, is dat antwoord er niet, en sinds de Cyberbeveiligingswet is een vlak netwerk meer dan een operationeel risico. U kunt niet beveiligen wat u niet kunt segmenteren.
Toelichting
Zones en conduits
Wij ontwerpen industriële netwerken volgens het IEC 62443-principe van zones en conduits. Assets met vergelijkbare beveiligingseisen worden gegroepeerd in zones; de communicatiekanalen daartussen worden strikt beheerst. Daarmee verkleint het aanvalsoppervlak en blijft de schade van een incident beperkt tot één zone.
Wat wij doen
Hoofdontwerp en segmentatiestrategie
Zonedefinitie: kritieke assets groeperen op criticaliteit, functie en gevolg van falen
Conduitontwerp: vastleggen welke protocollen, poorten en dataverkeer zijn toegestaan
Afstemming op het Purdue-model, met een heldere scheiding van het bedrijfsnetwerk
Detailontwerp
Ontwerp van de industriële DMZ die IT en OT scheidt
Toegangsstructuur voor leveranciers en onderhoud op afstand volgens least privilege
Specificatie van firewalls, datadiodes en jump hosts
Zones en conduits
Het Purdue-model verdeelt de omgeving in niveaus. Assets met vergelijkbare beveiligingseisen vormen een zone; het verkeer daartussen loopt via een beheerste conduit.
Niveau 5
Bedrijfsnetwerk
Internet, e-mail, kantoorautomatisering
IT
IT
Niveau 4
Bedrijfsapplicaties
ERP, planning, onderhoudsbeheer
Conduit
IDMZ
Industriële DMZ
Geen direct verkeer tussen IT en OT. Jump hosts, datadiodes, replica's
De grens
De grens
Conduit
Niveau 3
Productiebesturing
MES, historian, engineering workstations
OT
OT
Niveau 2
Toezicht en bediening
SCADA, HMI, alarmering
Niveau 1
Besturing
PLC's, DCS, veiligheidssystemen
Niveau 0
Proces
Sensoren, actuatoren, kleppen, motoren
Fysiek proces
Fysiek proces
Een vlak netwerk kent geen grenzen: wie binnenkomt op niveau 5 kan doorlopen tot niveau 0. Segmentatie beperkt de schade van een incident tot één zone.
- Wat u krijgt
- Een architectuurblauwdruk met zones, conduits en een leveranciersspecificatie, plus ontwerpdocumentatie die dient als bewijs bij toetsing door de RDI.
- Voor wie
- CISO, OT-manager, verantwoordelijken voor industriële automatisering.
Afbakening
Waar deze aanpak ophoudt
Wanneer dit loont
Als IT en OT op één plat netwerk staan en niemand kan zeggen welk verkeer daartussen nodig is. Of als een leverancier een permanente tunnel naar uw besturing heeft waar al jaren niemand naar heeft gekeken. Een zone-indeling maakt van die vraag een ontwerp dat u kunt toetsen en overdragen.
Wanneer een lichtere aanpak volstaat
Als de installatie binnen enkele jaren wordt vervangen. Een zone-indeling ontwerpen voor een lijn die er straks niet meer staat, is ontwerpen voor iets dat verdwijnt. Zet de beveiligingseisen dan in het bestek van de nieuwe installatie, en laat ze bij de Factory Acceptance Test toetsen voordat het systeem uw netwerk raakt. Dat is goedkoper dan achteraf herstellen en het levert een leverancier op die de eis heeft moeten halen. Ontbreekt daarnaast een actueel beeld van wat er op het netwerk staat, dan begint het daar en niet bij het ontwerp: een zonering op aannames houdt geen stand.
Werkwijze
Werkwijze
Inventarisatie
Rondgang op locatie en beoordeling van het bestaande assetoverzicht
Resultaat — Gap-analyse huidige situatie
Ontwerp
Zones en conduits uitwerken, grens tussen IT en OT bepalen
Resultaat — Zone- en conduitindeling, uitgewerkt volgens IEC 62443-3-2
Validatie
Toetsing met automatisering en IT of de maatregelen de productie niet hinderen
Resultaat — Haalbaarheidsrapport
Overdracht
Definitief ontwerp gereed voor uitvoering
Resultaat — Architectuurblauwdruk en leveranciersspecificatie
Wetgeving
Wetgeving
Cyberbeveiligingswet (Cbw)
Geldt sinds 15 augustus 2026 en zet de Europese NIS2-richtlijn om in Nederlands recht. De wet verplicht vitale en essentiële aanbieders om hun risico's te beheersen en hun netwerk te beveiligen. Segmentatie in zones en conduits is daar een directe invulling van. Uw ontwerpdocumentatie is het bewijs als de RDI komt toetsen.
IEC 62443
Wij delen uw netwerk in zones in en leggen vast wat er tussen die zones mag. Dat is de werkwijze van IEC 62443-3-2.
Verwante diensten
Cyber & Digital Assets
Fase 4–5
Penetratietesten OT
Een penetratietest laat zien of een aanvaller binnenkomt, en wat hij dan kan bereiken.
Contact
Van vraagstuk naar aanpak
Een gesprek van een half uur maakt vaak al duidelijk waar de winst zit.
Plan een kennismaking