Wat is IACS/OT?
Industrial Automation & Control Systems (IACS) zijn systemen die hardware en software combineren om fysieke processen en machines te automatiseren en te controleren. Het wordt bijvoorbeeld veel gebruikt in de maakindustrie, energie en transport om de efficiëntie en veiligheid te verbeteren. Daarom wordt het ook wel operationele technologie (OT) genoemd. IACS zijn vaak een onmerkbaar onderdeel van veel processen, zoals in de technische infrastructuur bij telecom, verkeerslichten en netbeheerders. IACS zijn (bijna) overal. Ook binnen onderwijs en onderzoek. Denk bijvoorbeeld aan de gebouwbeheersystemen (liften, klimaatbeheersing) of aan de eigen energiecentrales die sommige universiteiten hebben. Bovendien is het voorstelbaar dat we binnen onze sector onderzoeksopstellingen voor landbouw-, energie- of infrastructuuronderzoek kunnen vinden. Een zoektocht binnen de HORA/MORA laat zien dat er aandacht is voor het beheren van gebouwen en daaraan verbonden systemen, maar daar stopt de directe link met OT. In het SURFaudit toetsingskader besteden we geen expliciete aandacht aan OT cybersecurity.
OT en IT
Een poll onder de deelnemers van de conferentie leverde op dat 70% van die deelnemers vond dat OT een betere term is dan IACS. In zijn keynote ging professor Van Eeten (TU Delft) daar meteen op in. Want OT lijkt ook gewoon IT te zijn. Is het dan toch een spelfout? Assets die vroeger handmatig werden bediend zijn nu steeds meer gedigitaliseerd en op afstand te monitoren en te bedienen. Is OT daarmee IT geworden?
Cyberdreigingen en OT
Wanneer machines een digitale (smart) component krijgen, dan zijn ze kwetsbaar voor cyberdreigingen. Dit zijn veelal dezelfde dreigingen als voor IT systemen. Voorbeelden zijn verstoringen, spoofing en manipulatie. De impact van cyberdreigingen op OT kunnen potentieel fysieke gevaren voor mensen en omgeving opleveren. Daarnaast kunnen systemen onderdeel van een botnet worden gemaakt waardoor andere organisaties last kunnen krijgen van DDoS aanvallen.
OT systemen zijn anders dan IT systemen omdat de gemiddelde levensduur 15 tot 20 jaar is, terwijl reguliere IT-systemen 3 tot 5 jaar meegaan. Dit geldt niet alleen voor hardware, maar vooral ook voor software zoals besturingssystemen, webtechnologieën en databases. Het simpelweg vervangen van OT systemen is vaak niet alleen onwenselijk, maar financieel ook onhaalbaar. Gebruik van deze producten heeft tot gevolg dat kwetsbaarheden in deze producten een springplank kunnen vormen voor uiteindelijke manipulatie van de procesbesturingen. Daarnaast worden OT-omgevingen daarmee ook vatbaarder voor malware die eigenlijk (alleen) bedoeld is voor standaard IT-voorzieningen.
Nadenken over OT/IT
Is OT cybersecurity een thema waar we het (meer) over moeten hebben? Wij denken van wel omdat we momenteel (te) weinig overzicht hebben van hoe groot het OT 'oppervlakte' is binnen onderwijs en onderzoek. Misschien is niet alle OT even belangrijk voor onderwijs, onderzoek en bedrijfsvoering, maar wellicht is het wel belangrijk voor de bedrijfscontinuiteit van faciliteiten op de campus en voor de veiligheid van medewerkers, studenten en bezoekers. Ook vragen wij ons af of de inkopers en beheerders van OT voldoende samenwerken met de cybersecurity experts binnen hun organisaties om risicobeoordelingen uit te voeren. Tenslotte is het belangrijk om het overzicht te hebben hoe OT systemen zijn verbonden, bijvoorbeeld aan het internet of zelfs met het eigen IT netwerk, en hoe de cybersecurity is geborgd.
Wat denk jij? Moeten we het over OT hebben? Reageer in de comments!
Auteurs: Nicole van Deursen en Mick Deben
2 Praat mee