Ervaring in kritische infrastructuur nu inzetbaar in industrie Cybersecurity


voor cybersecurity R


Redactie Process Control


ond 2013 was cyber security in de industrie nauwelijks nog een thema. “Vrijwel geen klant vroeg er om, geen ontwerp


hield er rekening mee en niemand wilde er voor betalen”, weet cyber security expert Rob Roodenburg, werkzaam voor Croon- wolter&dros. “Bedrijven bouwen dan dus ook geen kennis op het gebied van cyber security op.” Toch was in 2013 het internet al zeker een jaar of 15 vrij gangbaar aan het worden. “Daarom gebruikte ik ook het woord ‘vrij- wel’”, verduidelijkt Roodenburg. “Onze klanten die zich bezighouden met nucleaire systemen waren in 2013 uiteraard al maxi- maal beveiligd voor cyber aanvallen, zo ook de kritische overheidsinstanties, de banken, enzovoorts. De industrie was er in die tijd echter nog nauwelijks mee bezig.”


9-11 De industrie in Amerika liep voor op de Europese industrie als het om cyber security ging. Na 9-11 vroegen veel bedrijven zich af hoe ‘secure’ ze nu eigenlijk waren. Naast fy- sieke veiligheid begonnen veel partijen zich na de aanslagen ook zorgen te maken om hun digitale veiligheid. “Je zou kunnen zeg- gen dat die industriële cyber security vanuit Amerika is komen overwaaien”, meent Roodenburg. “ Er ontstond awareness, niet alleen vanwege de ontwikkelingen in Ame- rika, maar ook door een toename in het aantal cyberincidenten, niet specifiek in de industrie, maar in het algemeen. Als gevolg daarvan werd er in Europa en in Nederland regelgeving geïntroduceerd, in eerste instantie alleen voor de kritische infrastruc- tuur, maar nu sectorbreed in de Wbni.” (zie kader op pagina 12).


Aan internet hangen De industrie heeft dus een achterstand op het gebied van cybersecurity. En dat geldt vooral voor de OT-domeinen. Roodenburg: “Binnen de IT zijn we gewend dat hardware vrij vlot wordt vervangen en dat in de tus- sentijd het systeem goed up to date wordt gehouden. In de OT zie je systemen die rustig 25 jaar meegaan. Die systemen die zo oud zijn, werden destijds niet ontworpen


Vrijwel geen klant vroeg er om, geen ontwerp hield er rekening mee en niemand wilde er voor betalen...


om cybersecure te zijn. Daar komt bij dat die OT-systemen vaak maatwerk zijn. Dat is veel lastiger up to date te houden, vooral als je leverancier van 20 jaar geleden niet meer bestaat.” Dat oudere OT-systemen niet altijd even cybersecure zijn, is niet vreemd. De syste- men die destijds geleverd werden, waren niet bedoeld om ‘aan het internet te han- gen’, laat staan te kunnen communiceren met talloze devices, sensoren en systemen.


Ervaring Maar anno 2019 dienen systemen veilig te zijn en Roodenburg merkt dat over de hele linie: “In de scheepvaart zijn er stevige eisen gekomen, bruggen en sluizen moeten ook niet meer gehackt kunnen worden en men vindt het ook niet prettig dat een scholier z’n eigen cijfers in de cijferadministratie kan bewerken. Met andere woorden: al onze


klanten hebben eisen en wensen met be- trekking tot cybersecurity.” De vraag is dus groot, maar het aanbod is dat niet. Het besef dat cybersecurity essen- tieel is, bestaat nog maar kort. En de hoe- veelheid ervaren cybersecurity experts is dus ook gering, helemaal als het om OT- domeinen gaat. “Als je in OT-domeinen wilt kunnen werken, moet je dus een grondige OT-domein kennis hebben én veel van cybersecurity weten”, verduidelijkt Rooden- burg. “Om voldoende ervaring op te doen in OT-domeinen zul je simpelweg een aantal jaren moeten meelopen in die branche. Een opleiding voor het OT-domein geeft je niet voldoende ervaring om daar in te kunnen werken.”


Kenniscentrum Dat er bij Croonwolter&dros veel expertise is op het gebied van cybersecurity, ook in het OT-domein, is te danken aan het feit dat het bedrijf al lange tijd in de kritische infra- structuur actief is. “Wij waren ver voor 2013 al bezig met cybersecurity in nucleaire toe- passingen”, vertelt Roodenburg. “Voor elke branche hadden we een paar mensen die gespecialiseerd waren in die materie. Toen we merkten dat cybersecurity over de hele breedte van de markt een thema werd, heb- ben we een nieuwe afdeling opgezet waar we ons specialiseerden in cybersecurity. De experts uit die verschillende branches heb- ben we dus in één afdeling samengebracht. Het idee is dat er op deze manier een cyber- security kenniscentrum ontstaat, waarin de intern mensen kunnen opleiden en de cyber vragen vanuit de andere afdelingen centraal kunnen behandelen.”


Cyber security expert Rob Roodenburg, werkzaam voor Croonwolter&dros


Meedraaien Bij het oprichten van het kenniscentrum stond Croonwolter&dros voor de keuze om de experts uitsluitend in te zetten als con- sultants voor de overige medewerkers, of ze ook te laten meedraaien in de projecten. Roodenburg: “We hebben er voor gekozen om ook de experts te laten werken aan het parametreren en het hardenen van de sys- temen van klanten, juist om ze uitstekende consultants te laten blijven. Uiteraard zetten we de experts in op de complexere projec- ten. Tijdens dat soort projecten leren andere medewerkers weer door mee te draaien met zo’n project.”


11


Page 1  |  Page 2  |  Page 3  |  Page 4  |  Page 5  |  Page 6  |  Page 7  |  Page 8  |  Page 9  |  Page 10  |  Page 11  |  Page 12  |  Page 13  |  Page 14  |  Page 15  |  Page 16  |  Page 17  |  Page 18  |  Page 19  |  Page 20  |  Page 21  |  Page 22  |  Page 23  |  Page 24  |  Page 25  |  Page 26  |  Page 27  |  Page 28  |  Page 29  |  Page 30  |  Page 31  |  Page 32  |  Page 33  |  Page 34  |  Page 35  |  Page 36  |  Page 37  |  Page 38  |  Page 39  |  Page 40  |  Page 41  |  Page 42  |  Page 43  |  Page 44  |  Page 45  |  Page 46  |  Page 47  |  Page 48