Waarom het netwerkbereik niet meer volstaat
Het klassieke beveiligingsmodel voor OT-netwerken is gebaseerd op de perimeter: „wat zich binnen de firewall bevindt, is veilig”. Dit model wordt door verschillende huidige realiteiten ondermijnd:
- Technici hebben van buitenaf toegang tot OT-netwerken (onderhoud op afstand, VPN-toegang).
- Dienstverleners en integrators hebben via gedeelde accounts toegang tot de PLC’s.
- Aangesloten IoT-apparaten vormen aanvalsvectoren vanuit het interne netwerk.
- Interne bedreigingen (sabotage, nalatigheid) worden niet tegengehouden door een externe beveiligingsperimeter.
Zero Trust vervangt „vertrouw eerst, controleer daarna“ door „vertrouw nooit, controleer altijd“ — voor elke toegang, elke gebruiker, elk apparaat, op elk moment.
De 5 pijlers van Zero Trust toegepast op OT
1. Sterke identiteit Elke menselijke gebruiker verifieert zich met MFA (wachtwoord + TOTP of certificaat). Elk IoT-apparaat verifieert zich met een uniek X.509-certificaat. Geen gedeelde identiteiten, geen algemene wachtwoorden.
2. Beperkte toegangsrechten Een onderhoudstechnicus van lijn A heeft alleen toegang tot de besturingsunits van lijn A, niet tot het gehele OT-netwerk. Een externe dienstverlener heeft uitsluitend toegang tot de apparatuur die hij moet onderhouden, gedurende de vastgestelde periode.
3. Continue controle Toegang is niet binair (aangemeld/afgemeld). De status wordt continu gecontroleerd: een pc die al 30 dagen geen beveiligingsupdate heeft ontvangen, krijgt beperkte rechten. Een sessie die al 15 minuten inactief is, wordt afgemeld.
4. Microsegmentatie Het OT-netwerk is opgedeeld in zones: elke productielijn en elk subsysteem (pompen, energie, ventilatie) bevindt zich in een afzonderlijke zone. Als een zone wordt aangetast, heeft dit geen gevolgen voor de andere zones.
5. Volledige logboekregistratie Elke verbinding, elk commando dat naar een PLC wordt verzonden en elke registeruitlezing wordt geregistreerd met de volgende gegevens: wie, vanaf waar, wanneer, duur en acties. Dit auditlogboek is onwijzigbaar en kan worden geëxporteerd voor NIS2-audits.
Zero Trust versus traditionele VPN: een vergelijking
| Criterium | Klassieke VPN | Zero Trust (ZTNA) |
|---|---|---|
| Toegangsgranulariteit | Volledige netwerktoegang | Toegang per specifieke bron |
| Authenticatie | Eenmalig bij het inloggen | Continu (periodieke herbeoordeling) |
| Minimaal privilege | Niet standaard | Ja (via beleid) |
| Toegang voor dienstverleners | Vaak gedeeld account | Tijdelijk individueel account |
| Inzicht in toegang | Gedeeltelijk (VPN-logs) | Volledig (alle acties) |
| Toegang intrekken | VPN-verbinding verbreken | Onmiddellijke gedetailleerde intrekking |
| Geschikt voor verouderde OT-netwerken | ★★★★ | ★★★ (initiële complexiteit) |
Stapsgewijze implementatie: de stappen
Volledige Zero Trust is een doel dat stapsgewijs moet worden bereikt. Dit zijn de aanbevolen stappen voor industriële OT-netwerken:
Stap 1 — Stevige basis (3 maanden)
- Uitgaande VPN op alle gateways.
- MFA voor alle externe toegangen.
- Logboekregistratie van sessies.
- Verwijdering van directe toegangen (open poorten).
Stap 2 — Beperkte toegangsrechten (6 maanden)
- Toegangsrechten per gebruiker en per apparaat.
- Tijdelijke toegangsrechten voor dienstverleners.
- Onmiddellijke intrekking.
Stap 3 — Microsegmentatie (12 maanden)
- VLAN per OT-zone.
- Firewallregels tussen zones.
- Gedragsmonitoring.
De Eziwan-aanpak
De Eziwan Gateway en de Eziwan Cloud implementeren stap 1 en 2 standaard: uitgaande VPN, MFA, volledige sessielogboekregistratie, rechten per gebruiker, tijdelijke toegang voor dienstverleners. Microsegmentatie (stap 3) wordt ondersteund via de configureerbare VLAN’s op de gateway.
Meer informatie: beveiligde industriële VPN, toegang op afstand tot industriële PLC’s en IoT-cyberbeveiliging.