OT herstellen na een cyberincident: bepaal de herstelvolgorde vóórdat u die nodig hebt

OT herstellen na een cyberincident betekent niet dat iedere server zo snel mogelijk weer online moet. Het is een beheerste volgorde waarmee een fysiek proces terugkeert naar een bekende, veilige en ondersteunbare toestand. Die volgorde is bepalend. Een HMI terugzetten voordat identity, tijdsynchronisatie en netwerkgrenzen betrouwbaar zijn, kan dezelfde ongewenste toegang opnieuw mogelijk maken.

Een herstelplan begint daarom bij procesafhankelijkheden en niet bij de lijst met back-uptaken. Het beschrijft de minimale bedrijfstoestand, de systemen en mensen die daarvoor nodig zijn, het bewijs waarmee onderdelen weer worden vertrouwd en wie toestemming geeft om productie te hervatten.

Definieer herstel in operationele termen

“Het systeem draait weer” zegt te weinig. Definieer per kritisch proces een minimale werkbare toestand: veilig stilgezet, lokale handbediening, beperkte productie of volledige automatisering. Leg per toestand vast welke voorwaarden gelden voor veiligheid, milieu, kwaliteit en wetgeving.

NIST SP 800-82 Rev. 3 adviseert herstel te beoordelen vanuit de geleverde dienst, niet alleen vanuit het getroffen systeem. Het onderscheid tussen hersteltijd en dataverlies is voor OT belangrijk. Een server kan snel opnieuw zijn opgebouwd terwijl de laatste vertrouwde recipe of PLC-wijziging dagen ouder is.

Maak de afhankelijkheden zichtbaar

Begin bij het proces en redeneer terug. Wat moet beschikbaar zijn voordat een operator veilig kan starten, bewaken en stoppen? Vaak omvat dat meer dan PLC’s en HMI’s:

• energievoorziening, klimaatbeheersing en fysieke toegang;
• switches, routing, firewalls en verbindingen met externe locaties;
• identity, privileged access, DNS en tijdsynchronisatie;
• virtualisatie, storage en back-upinfrastructuur;
• engineeringstations, software, licenties en projectbestanden;
• PLC-, DCS-, SCADA-, safety- en historianconfiguraties;
• recipes, setpoints, batchinformatie en kwaliteitsdata;
• leverancierskennis, herstelmedia en reservehardware.

Controleer dit beeld met operators, onderhoud en control engineers. Een CMDB kent zelden alle praktische relaties. Afhankelijkheid van één specialist of leverancier verdient dezelfde aandacht als afhankelijkheid van een server.

Een uitvoerbare herstelvolgorde

1. Regel bevoegdheid en een schone werkomgeving

Bepaal wie herstel leidt, wie forensisch bewijs bewaakt en wie operationele wijzigingen goedkeurt. Gebruik een communicatiekanaal buiten mogelijk getroffen systemen. Zorg voor een schoon beheerstation, vertrouwde installatiemedia en een afgescheiden omgeving waarin herstelde systemen worden gecontroleerd.

Containment en herstel kunnen botsen. Uitschakelen kan verspreiding stoppen, maar ook vluchtig bewijs verwijderen of een fysiek proces raken. Security, engineering, safety en operations moeten zulke besluiten samen voorbereiden.

2. Herstel eerst de vertrouwensbasis

Herstel authenticatie, naamresolutie, tijd en beveiligingsbeleid. Wijzig gecompromitteerde beheeraccounts en trek onbetrouwbare tokens of certificaten in. Bouw netwerkgrenzen vanuit bekende configuraties terug en begin restrictief. Open conduits pas nadat bron, bestemming en noodzaak zijn gecontroleerd.

3. Herstel engineeringcapaciteit

Een engineeringstation is onderdeel van het herstelgereedschap. Zet het goedgekeurde besturingssysteem, engineeringsoftware, licenties, devicebestanden en projectrepositories terug. Controleer versies en installatiemedia voordat er configuraties naar OT worden geladen.

“De nieuwste back-up” is niet automatisch “de vertrouwde back-up”. Bepaal wanneer de omgeving voor het laatst aantoonbaar betrouwbaar was en welke latere wijzigingen handmatig moeten worden gereconstrueerd.

4. Herstel volgens het fysieke proces

Breng alleen de onderdelen terug die nodig zijn voor de gekozen bedrijfstoestand. Utilities en ondersteunende installaties moeten mogelijk eerder beschikbaar zijn dan de hoofdlijn. Safety-systemen vragen een eigen bevoegde validatie en mogen niet als gewone controllers worden behandeld.

Sluit één netwerkgrens tegelijk aan. Observeer verkeer en gedrag voordat de volgende stap volgt. Onverklaarde verbindingen na herstel zijn een reden om te stoppen en onderzoeken.

5. Valideer vóór herstart

Een geslaagde boot is onvoldoende. Controleer waar mogelijk hashes van logica en configuraties, alarmsignalering, interlocks, operatorrechten, tijdstempels, historianverkeer, monitoring en nieuwe back-uptaken. Operations voert een gecontroleerde functietest uit die past bij het proces.

De aangewezen operationele verantwoordelijke besluit over herstart. Leg bewijs, tijdelijke beperkingen en geaccepteerde restrisico’s vast.

Wat hoort in een complete OT-back-up?

De NIST OT Backup Quick Start Guide (SP 1339) uit juni 2026 benadrukt dat OT-back-ups zowel cyberincidenten als technische storingen ondersteunen. Een bruikbare set bevat meer dan serverimages:

• PLC- en safetylogica met versiehistorie;
• HMI-, SCADA-, historian- en netwerkconfiguraties;
• engineeringsoftware, patches, licenties en installatiemedia;
• recipes, setpoints, certificaten en apparaatspecifieke bestanden;
• golden images waar veilig toepasbaar;
• herstelprocedures, contactgegevens en benodigde documentatie;
• offline of anders beschermde kopieën die hetzelfde incident niet kan wijzigen.

De CISA #StopRansomware Guide adviseert offline en versleutelde back-ups, regelmatige hersteltests en toegang tot software, bronbestanden en licenties die voor herbouw nodig zijn. Iedere locatie moet dit afstemmen op eigen veiligheid, beschikbaarheid en leveranciersafspraken.

Test de volgorde, niet alleen het medium

Een geslaagde back-uptaak bewijst dat gegevens zijn gekopieerd. Een hersteloefening bewijst dat mensen de juiste versie kunnen vinden, licenties beschikbaar hebben, een compatibel platform kunnen bouwen en in de goede volgorde kunnen handelen.

1. Componenttest: herstel één configuratie of systeem geïsoleerd en controleer integriteit.
2. Afhankelijkhedenoefening: loop de volgorde door met operations, engineering, IT, security en leveranciers.
3. Technische ketentest: herstel een representatieve keten in een lab, reserveomgeving of onderhoudsstop.

Meet ook hoe lang besluiten kosten. Ontbrekende bevoegdheden, wachtwoorden, licenties en leverancierscontacten veroorzaken vaak meer vertraging dan het terugkopiëren van data.

Veelvoorkomende faalwijzen

• Productie en back-up gebruiken dezelfde accounts en netwerktoegang.
• PLC-logica, recipes en netwerkconfiguraties ontbreken.
• De herstelvolgorde volgt de IT-assetlijst in plaats van het proces.
• Golden images bevatten verlopen certificaten of oude agents.
• Herstel overschrijft bewijs voordat de incidentomvang bekend is.
• Een noodzakelijke leverancier heeft geen getest noodcontact.
• Productie start terwijl monitoring of segmentatie nog uitgeschakeld is.

Checklist voor herstelgereedheid

• Kritieke processen hebben een minimale bedrijfstoestand.
• RTO- en RPO-keuzes bevatten operationele en veiligheidsgevolgen.
• De afhankelijkhedenkaart bevat techniek, mensen, leveranciers en utilities.
• Back-ups zijn geïnventariseerd, beschermd en daadwerkelijk teruggezet.
• Software, licenties, accounts en reservehardware zijn beschikbaar.
• De schone herstelomgeving en heraansluiting zijn beschreven.
• De bevoegdheid voor herstart is benoemd.
• Verbeterpunten uit oefeningen krijgen eigenaar en datum.

Maak herstel onderdeel van engineering

Geloofwaardig herstel wordt ontworpen zoals een productiewijziging: bekende voorwaarden, goedgekeurde configuraties, beheerste stappen, zichtbare resultaten en een terugvalpunt. Het doel is niet zo snel mogelijk terug naar de oude situatie, maar veilig terug naar een vertrouwde situatie.

OT-Guard helpt afhankelijkheden in kaart te brengen, back-updekking te beoordelen en een praktische hersteloefening te begeleiden. Bekijk onze OT-securitydiensten of bespreek een gerichte herstelbeoordeling.

Bronnen: NIST SP 1339 OT Backup Quick Start Guide; NIST SP 800-82 Rev. 3; CISA #StopRansomware Guide en Cross-Sector Cybersecurity Performance Goals. Beoordeeld op 14 september 2026. Dit is praktische cybersecuritybegeleiding; herstelbesluiten moeten passen bij het proces, de safety case en toepasselijke verplichtingen.