Offensieve security voor industriële en OT-omgevingen.
Op de fabrieksvloer is het risico geen datalek: het is een stilstaande lijn, een verloren batch en de veiligheid van mensen. Wij testen de grens tussen IT en OT vanuit het uitgangspunt dat de productie niet stil mag vallen.
De grens die het zwakke punt werd
Decennialang werd de industriële omgeving beschermd door fysieke isolatie. Die scheiding is feitelijk verdwenen: onderhoud op afstand door leveranciers, gegevensverzameling voor productiecijfers en koppeling met het ERP hebben permanente paden geopend tussen het kantoornetwerk en de fabrieksvloer. Aanvallers komen vrijwel nooit binnen via de controller — zij komen binnen via kantoor en lopen ernaartoe.
- Toegang op afstand voor leveranciers is doorgaans permanent, ruim en nauwelijks bewaakt.
- Industriële controllers zijn ontworpen op betrouwbaarheid, niet op authenticatie.
- Onderhoudsvensters om te patchen zijn zeldzaam en concurreren met de productie.
- Een incident kan fysieke gevolgen hebben, niet alleen financiële of reputationele.
Wat wij testen in een industriële omgeving
De focus ligt op het pad tussen de administratieve wereld en de wereld die de machines aanstuurt — en hoe smal dat pad werkelijk is.
Wij testen of de netwerklagen echt isoleren: wat een steunpunt in de kantooromgeving richting de besturingszone bereikt.
Onderhoudstunnels, jump hosts en gedeelde inloggegevens van integrators — een terugkerende vector en de meest onderschatte.
Operatorstations en supervisieservers: authenticatie, patchniveau, blootstelling van interfaces en de integriteit van wat de operator te zien krijgt.
Gegevensstroom van de fabrieksvloer naar ERP en dashboards, inclusief connectoren die de grens in beide richtingen oversteken.
Dekking, authenticatie en isolatie van de netwerken die door handterminals, heftrucks en mobiele apparaten in de fabriek worden gebruikt.
Gedeelde beheeraccounts, toegangscontrole tot technische ruimtes en deuren die rechtstreeks naar apparatuur leiden.
Technische referentie en wettelijke plicht
Wij gebruiken referenties die specifiek zijn voor industriële omgevingen, niet alleen het kader voor kantoor-IT.
- IEC 62443
- Wij werken met het model van zones en conduits, de gevestigde referentie voor het segmenteren van automatiseringsomgevingen, en rapporteren bevindingen in dat vocabulaire.
- Veiligheid van mensen
- Elke bevinding die een veiligheidsinstrumentatiesysteem kan raken, wordt apart behandeld en onmiddellijk gemeld, buiten de normale rapportagestroom om.
- NIS2 voor de maakindustrie
- Producenten en energiebedrijven vallen onder de plichten rond risicobeheer en ketenveiligheid. Bevindingen worden daartegen afgezet.
- Operationele continuïteit
- Wij vertalen technische bevindingen naar het risico op stilstand en batchverlies, de taal waarin de industriële directie over investeringen beslist.
Hoe wij werken zonder de productie stil te leggen
Basisregel vooraf afgesproken
Niets wat rechtstreeks een controller of een veiligheidsinstrumentatiesysteem raakt, wordt actief getest. Dat wordt schriftelijk vastgelegd voordat er enige activiteit begint.
Aanvallen vanaf de IT-kant
De opdracht start normaal gesproken in de kantooromgeving en meet hoe ver wij richting OT komen. Dat is bij de meeste incidenten het werkelijke scenario.
Passieve observatie binnen OT
Binnen de besturingszone geven wij de voorkeur aan passieve analyse en het doornemen van configuratie, zonder verkeer te injecteren dat een controller in de war kan brengen.
Herstel afgestemd op onderhoud
Het plan scheidt wat te herstellen is zonder de lijn stil te leggen van wat een onderhoudsvenster vereist, zodat de aanbevelingen ook echt uitvoerbaar zijn.
Wat u ontvangt
- Bestuurlijk rapport in termen van stilstandsrisico
- Reproduceerbaar technisch rapport
- Kaart van waargenomen zones en conduits
- Analyse van toegang op afstand door leveranciers
- Onderbouwde CVSS-score
- Herstelplan per onderhoudsvenster
- Hertest van de herstelde bevindingen
- Verklaring over de opdracht
Veelgestelde vragen over deze sector
Bestaat het risico dat een test de productielijn stillegt?
+
De opdracht is zo opgezet dat dat niet gebeurt. Controllers en veiligheidsinstrumentatiesystemen zijn per regel uitgesloten van actief testen, schriftelijk vastgelegd vóór aanvang. Binnen de besturingszone gebruiken wij passieve analyse en het doornemen van configuratie. Actief testen gebeurt aan de kantoorkant, waar de echte aanval begint.
Testen jullie PLC's en SCADA rechtstreeks?
+
Niet rechtstreeks en niet agressief. Wij beoordelen blootstelling, authenticatie, versies en segmentatie, en tonen aan hoe ver een aanvaller zou reiken vanaf het punt dat wij bereikten. Waar een lab of replica bestaat, gaan wij wel dieper met actief testen, omdat er dan geen risico op fysieke gevolgen is.
Valt de toegang op afstand van onze integrators binnen de scope?
+
Ja, en wij raden sterk aan die mee te nemen. Het is de meest voorkomende vector en de minst herziene: permanente tunnels, inloggegevens die tussen technici worden gedeeld en rechten die veel ruimer zijn dan onderhoud vraagt. Doorgaans levert dit de bevindingen met de grootste impact op.
Hoe rapporteren jullie het risico aan de industriële directie?
+
In operationele taal. Het bestuurlijke rapport vertaalt technische bevindingen naar het risico op stilstand, batchverlies en gevolgen voor de veiligheid van mensen, met een herstelplan gescheiden naar de vraag of een onderhoudsvenster nodig is. De technische details staan in een eigen document.