Fase 1–2
OT-securityarchitectuur
Welk verkeer moet er tussen uw kantoornetwerk en uw besturing lopen, en welk niet?
Penetratietesten OT
Toets uw verdediging tegen realistische aanvallen
Uw beveiligingsarchitectuur ziet er op papier goed uit. Houdt ze ook stand tegen iemand die er echt doorheen wil? Een penetratietest laat zien of een aanvaller binnenkomt, en wat hij dan kan bereiken.
Deze dienst leveren wij samen met een gespecialiseerde OT-securitypartner.
Toelichting
Wat een OT-penetratietest is
Een gecontroleerde, geautoriseerde simulatie van een cyberaanval. Anders dan een kwetsbaarhedenanalyse, die potentiële gebreken opsomt, wordt hier actief geprobeerd die gebreken te misbruiken om de werkelijke impact vast te stellen.
In OT vraagt dat uiterste precisie. Wij tonen het aanvalspad aan van het kantoornetwerk tot aan de PLC, zonder uw fysieke processen te verstoren of de veiligheid in gevaar te brengen.
Toelichting
De eindtoets van een OT-project
In grote kapitaalprojecten ziet de beveiligingsarchitectuur er op papier vaak perfect uit. De penetratietest laat zien of dat in de praktijk ook zo is. U beproeft mechanische belastingsgrenzen voordat u een installatie in gebruik neemt; met de digitale weerbaarheid doet u hetzelfde.
Wat wordt getest
- Netwerk en infrastructuur
Extern bereikbare toegangen zoals VPN's en onderhoudsgateways; interne verplaatsing na een veronderstelde inbraak; Active Directory-configuratie van OT-domeinen.
- Applicaties en koppelvlakken
SCADA-webinterfaces, historian-dashboards en API's; mobiele toepassingen voor veldonderhoud en HMI-bediening.
- Hardening en toeleveringsketen
Handmatige verificatie van hardening tegen CIS-benchmarks of IEC 62443-4-2; analyse van software van derden op ongewenste communicatiekanalen.
- Wat u krijgt
- Aantoonbare weerbaarheid: welke aanvalspaden werkelijk bestaan, wat een aanvaller kan bereiken en wat er moet gebeuren. Desgewenst met een hertest als bewijs.
- Voor wie
- CISO, directie van vitale aanbieders, verantwoordelijken voor de Cyberbeveiligingswet.
Afbakening
Waar deze aanpak ophoudt
Wanneer dit loont
Als de beveiligingsarchitectuur er op papier goed uitziet en u wilt weten of dat in de praktijk ook zo is. Bij een Site Acceptance Test, of wanneer de Cyberbeveiligingswet vraagt om periodiek aan te tonen dat uw maatregelen werken.
Wanneer een lichtere aanpak volstaat
Als een kwetsbaarhedenanalyse al deuren heeft gevonden die nog openstaan. Een penetratietest loopt daar dan doorheen en bevestigt wat u al weet, tegen een veelvoud van de kosten. Sluit eerst wat bekend is en test daarna of wat overblijft standhoudt. Dat is ook de goedkopere volgorde: een test is pas informatief als hij iets kan vinden dat u niet had voorzien.
Toelichting
Wie de scope bepaalt
Een penetratietest gaat verder dan een kwetsbaarhedenanalyse: er wordt actief geprobeerd binnen te komen. Juist daarom ligt vooraf vast wat er wel en niet mag gebeuren.
Die afbakening komt van u. U bepaalt welke systemen meedoen en welke er expliciet buiten blijven. U bepaalt ook het tijdvenster en waar de test stopt. Die grenzen zijn bindend, ook als er onderweg iets opduikt dat er net buiten valt.
Een test die zelf een storing veroorzaakt is mislukt, ook als hij een kwetsbaarheid vindt. In OT weegt beschikbaarheid zwaarder dan de volledigheid van een rapport. Is het risico op verstoring te groot, dan wijkt de test uit naar een testopstelling of naar het moment van de acceptatietest.
Werkwijze
Werkwijze in zes stappen
Afbakening en spelregels
Wat is in scope, welke testtypen, welke tijdvensters, welke systemen expliciet uitgesloten
Verkenning en dreigingsmodel
Informatie over doelen, technologieën, koppelingen en rollen, vertaald naar realistische aanvalsscenario's
Exploitatie en ketening
Gecontroleerd misbruik van kwetsbaarheden om toegang te verkrijgen of rechten te verhogen, binnen de afgesproken grenzen
Verdere verkenning
Waar toegestaan: hoe ver reikt een aanvaller na een geslaagde inbraak, en welke systemen komen dan in beeld
Rapportage en prioritering
Auditwaardig rapport met heldere scheiding tussen wat moet en wat kan, geschikt voor zowel techniek als management
Opvolging en hertest
Toelichting aan uw teams, ondersteuning bij herstel en desgewenst een hertest als bewijs
Toepassing
Toepassing bij de Site Acceptance Test
De SAT is het moment waarop nieuwe systemen op uw productieomgeving worden aangesloten. Daar is het risico het grootst, en het is het laatste moment om beveiligingseisen af te dwingen. Wij toetsen de naden tussen het leverancierssysteem en uw netwerk, en proberen vanuit lagere zones door te dringen tot in de kritieke zones. Dat levert een toetsbare uitkomst op die als voorwaarde voor definitieve oplevering kan gelden.
Wetgeving
Wetgeving
Cyberbeveiligingswet (Cbw)
Geldt sinds 15 augustus 2026 en zet de Europese NIS2-richtlijn om in Nederlands recht. U moet periodiek testen of uw beveiligingsmaatregelen werken. Een penetratietest levert het bewijs van weerbaarheid dat de RDI van vitale aanbieders verlangt.
IEC 62443
De werkwijze ondersteunt IEC 62443-2-1 en 62443-3-3.
Verwante diensten
Cyber & Digital Assets
Fase 3–4
OT-kwetsbaarheden analyseren
Weet u welke apparatuur op uw OT-netwerk staat, met welke firmware en welke verbindingen naar buiten?
Contact
Van vraagstuk naar aanpak
Een gesprek van een half uur maakt vaak al duidelijk waar de winst zit.
Plan een kennismaking