Blog
Tags:
Oude OT aan het internet: niet een achterdeur, maar de hoofdingang
Dit keer wil ik het met je hebben over een vaak over het hoofd gezien deel van je IT-operatie die de deur naar je gehele IT wagenwijd openzet.
Deel 1 van dit blog gaat over de risico’s van OT. Deel 2 is een handleiding om direct aan de slag te gaan: stuur dit blog door naar je IT-afdeling wanneer het te technisch voor je wordt maar je wel ziet dat je organisatie risico loopt.
Kijk, je organisatie draait op meer dan laptops en SaaS. Het échte werk gebeurt bij bruggen, pompen, verpakkingslijnen, koelinstallaties, turbines. Operational Technology. Vaak oersterk. Vaak (oer)oud. En vaak ontworpen in een tijd dat “netwerk” betekende: één afgesloten kast, nul verbindingen naar buiten.
Vandaag is álles gekoppeld. Voor gemak. Voor data. Voor kostenbesparing. “Even” monitoren op afstand. “Even” leveranciers mee laten kijken. “Even” je dashboards in de cloud bekijken. Tot je beseft dat die OT-koppeling niet neutraal is. Het is een keuze met een zeer hoog risico voor je veiligheidsprofiel.
Veel OT praat nog met protocollen die nooit voor het internet bedoeld waren. Veel systemen draaien firmware waar niemand meer aan mag komen. Documentatie ontbreekt. Wachtwoorden zijn van iemand die allang met pensioen is. Ondertussen ziet de buitenwereld wel activiteit. Ha, een kans! En je weet, nieuwsgierigheid is gratis, de gevolgen … kostbaar.
Vergelijk: je denkt dat de slagboom naar de parkeerplaats dicht is, maar de deuren naar de fabriekshal staan wagenwijd open. Niet via een kelderraam, maar via de entree. Met een nette vloermat: “Welkom”.
Waarom gebeurt dit? Omdat we gewend zijn geraakt aan frictieloos. Omdat “disconnected” voelt als ouderwets. Omdat de business vraagt om realtime grafieken en de leverancier om “remote support”. En omdat vervanging geen optie lijkt: OT gaat twintig jaar mee, soms langer. Stilstand is duurder dan wat dan ook.
De vraag is dus niet: “Hebben wij OT-risico?”
De vraag is: “Waar zit het, hoe groot is het en wie kijkt er al mee?”
In dit blog zoomen we in op de blinde vlekken die bijna iedere organisatie heeft als OT en IT elkaar ontmoeten. Welke signalen verraden dat je risico’s onderschat? Welke aannames je ongemerkt maakt. En waarom “we doen dit al jaren zo” precies is wat aanvallers hopen te horen.
Lees vooral door als je denkt dat jouw koppelingen “veilig genoeg” zijn. Dat dachten de meeste organisaties ook … tot de headlines kwamen.
Je OT vertrouwt nog steeds iedereen met een stekker
Security by design ontbreekt nog steeds in veel OT-omgevingen. Niet omdat niemand het wil, maar omdat de apparatuur uit een ander tijdperk komt. Toen gold: beschikbaarheid en snelheid eerst. Beveiliging? Zet er een firewall voor en klaar. Het internet was extern, het procesnetwerk intern. Tot malware leerde om zelf naar buiten te bellen. Vandaag maakt een geïnfecteerde controller moeiteloos een uitgaande verbinding naar een command-and-control server, voorbij aan poortregels die vooral ‘van buiten naar binnen’ denken.
Daaronder ligt iets nog fundamentelers: het communicatie-model van veel OT is nooit ontworpen voor vijandige netwerken. Protocollen zijn vaak onversleuteld, zonder integriteitscontrole, zonder echte authenticatie. Alles gaat uit van impliciet vertrouwen: “als je kunt praten, hoor je erbij”. In een wereld van LAN-eilanden was dat acceptabel. In een wereld van supply-chains, remote support en cloud dashboards is het een gevaarlijke uitnodiging.
En dan is er de oerlaag: systemen die helemaal geen TCP/IP spreken. Ze praten serieel. Om ze “netwerk-klaar” te maken krijgt de kast een seriële device server mee – de bekende Moxa-achtigen – die communicatie uitzet op Ethernet. Het protocol blijft wat het was: blind, stom en volgzaam. De buitenkant oogt modern; binnenin draait de klok decennia terug. Oeps.
Belangrijk detail: “oud” gaat over het ontwerpjaar, niet over de productiedatum. Het is geen uitzondering dat gloednieuwe laboratoriumapparatuur vandaag wordt geleverd met exact die seriële hartslag, plus een geïntegreerde converter. Het marketinglabel zegt “network versie”; de beveiliging zegt “1998”. Ondertussen zijn de dreigingen van 2025: doelgerichte ransomware, living-off-the-land en aanvallers die OT-specifieke commando’s begrijpen.
Het gevolg is een landschap vol impliciet vertrouwen, lage zichtbaarheid en hoge impact. Apparaten die stilzwijgend aannemen dat elke instructie legitiem is. Logging die niet bestaat of niets betekent. Firmware waar niet op wordt gelet, omdat elke minuut stilstand kost. En een culturele erfenis die veiligheid nog te vaak ziet als verstoring van het proces, niet als voorwaarde voor continuïteit.
Zonder security by design ontstaat een paradox: hoe meer we koppelen om te sturen en te besparen, hoe groter het aanvalsoppervlak dat we niet zien, niet meten en niet controleren. Dat is geen randzaak. Dat is het kernrisico van moderne OT. Voor elke sector.
Maak OT bestuurd, niet bereikbaar
OT is geen IT. Behandel het dus ook niet zo. De functie is fysiek, de impact is direct en de tolerantie voor ruis is nul. Beveiliging begint met ontwerpkeuzes die frictie wegnemen voor het proces en wrijving toevoegen voor aanvallers. Zo krijg je het zelf onder controle:
1) Zoneer alsof je het meent
OT hoort niet “ergens” in je corporate LAN te bungelen. Maak dedicated OT-zones met eigen VLANs en subnets, gescheiden van kantoor-IT, wifi, leveranciers-VPN en beheer. Pas default deny toe tussen zones; expliciet whitelisten wat echt moet. Geen “even” een access point of printer inprikken: OT is geen gemengd verkeer.
2) Stop laterale beweging vóórdat die begint
Aanvallers leven van zijwaartse sprongen. Knip daarom “platte” OT-segmenten op en verplicht dat elk gesprek door een controlepunt gaat (L3/L4 policies). Sta alleen vereiste <bron, doel, poort, protocol>-paren toe. OT-apparaat naar OT-apparaat? Alleen als het proces dat strikt nodig heeft — anders: blok. Gebruik waar beschikbaar de ingebouwde host-firewalls; anders netwerkgestuurde microsegmentatie.
3) Plaats een beveiligde voor- en achterdeur
De OT zelf heeft zelden moderne security. Zet ertussen wat het wel heeft: hardened jump servers voor beheer, reverse proxies voor applicatie-toegang en waar eenrichtingsverkeer volstaat: data diodes. Dwing sterke authenticatie en least privilege af op deze koppelpunten; zij zijn je choke points én je logbronnen.
4) Meet het normale, jaag op het afwijkende
Vertrouwen is geen controle. Monitor OT-verkeer aan de randen én binnen de zones. Leer wat “normaal” is per asset (frequentie, richting, protocol, payloadgrootte) en alarmeer op afwijkingen. Koppel netwerk-telemetrie aan asset-inventaris, zodat “vreemd verkeer” meteen te herleiden is tot een concreet apparaat en een verantwoordelijke.
5) Beperk wat kan breken
Minimaliseer protocollen (minder is beter), sluit ongebruikte services, schakel discovery/broadcasts uit waar mogelijk, en leg vast wie wanneer bij welk OT-deel mag. Elk uitgezet vinkje is één aanvalspad minder en één incident minder dat je moet uitleggen.
Kern: maak OT bestuurd, niet bereikbaar. Alles gaat door een poortwachter, niets praat zonder reden en afwijkingen krijgen voorrang. Zo beperk je risico’s, blijft je proces snel en maak je je aanvalsoppervlak klein.
Plan je OT-veiligheidscheck nu
Je OT moet draaien maar niet meer openstaan. Als jouw bruggen, pompen of productielijnen “netwerk-enabled” zijn zonder strakke regie, vergroot je het aanvalsoppervlak elke dag. Wil je wél data en remote inzicht, maar zónder de voordeur open te zetten?
Plan een vrijblijvende afspraak met mij. In één gesprek verkennen we waar jouw grootste blootstellingen zitten en wat er nodig is om OT veilig te koppelen: heldere zones, gecontroleerde koppelpunten en zicht op afwijkingen. Geen theoretisch praatje; concrete bevindingen, toegesneden op jouw omgeving en risico’s.
Resultaat: jij weet precies waar je vandaag kwetsbaar bent, wat je morgen kunt dichtzetten en hoe je OT bestuurd houdt. Zonder je proces te verstoren.
👉 Wil je je OT veilig netwerk-enabled maken? Laten we praten. Stuur me een bericht of plan direct een afspraak.