OT-netwerksegmentatie zonder productiestilstand: een aanpak voor brownfieldlocaties

English: Read the original English article.

OT-netwerksegmentatie hoeft geen groot stilstandsproject te worden. Op een bestaande productielocatie begint het werk met begrijpen wat er werkelijk communiceert. Pas daarna worden zones, conduits en firewallregels stap voor stap ingevoerd.

De grootste fout is ontwerpen vanuit een gewenst eindplaatje zonder de afhankelijkheden van de huidige installatie te kennen. Historianverkeer, engineeringtools, licentieservers en leveranciersverbindingen komen dan pas boven water wanneer een regel al blokkeert.

Waarom segmentatieprojecten productie raken

Brownfield-OT bevat jaren aan uitbreidingen en tijdelijke oplossingen. Documentatie loopt achter, systemen gebruiken vaste adressen en sommige protocollen gedragen zich anders dan een regulier IT-team verwacht. Segmentatie moet daarom samen met operations en engineering worden voorbereid.

Een aanpak in zes stappen

1. Bepaal scope en faalvoorwaarden

Leg vast welk proces wordt beschermd, welke productietoestanden relevant zijn en welke communicatie absoluut niet onderbroken mag worden. Benoem ook wie tijdens de wijziging kan besluiten om terug te draaien.

2. Bouw een geverifieerde verkeersbasislijn

Gebruik passieve waarneming, bestaande netwerkdata en gesprekken met engineers. Meet lang genoeg om receptwissels, onderhoud, batchovergangen en leveranciersactiviteiten te zien. Een stille verbinding kan nog steeds bedrijfskritiek zijn.

3. Ontwerp zones rond functie en gevolg

Groepeer systemen op procesfunctie, vertrouwen en mogelijk effect van verstoring. Een productielijn, utilities, een veiligheidsfunctie en een engineeringomgeving vragen niet automatisch om dezelfde grens.

4. Maak een conduitregister

Beschrijf per toegestane verbinding bron, bestemming, protocol, richting, eigenaar, reden en vervaldatum. Daarmee wordt een firewallregel een beheerde bedrijfsbeslissing in plaats van technische erfenis.

5. Handhaaf in stappen

Begin waar gevolgen en afhankelijkheden goed begrepen zijn. Gebruik waar mogelijk eerst zichtbaarheid of een gecontroleerde pilot. Voer wijzigingen uit binnen afgesproken vensters, met monitoring en een getest rollbackplan.

6. Beheer segmentatie als levende maatregel

Nieuwe machines, software-updates en leveranciers veranderen de communicatie. Regelreviews, wijzigingsbeheer en monitoring horen daarom bij regulier beheer.

Waar plaatst u de handhaving?

Dat hangt af van procesontwerp, beschikbaarheid en beheerbaarheid. Industriële firewalls, interne segmentatiefirewalls, router-ACL’s en hostmaatregelen kunnen elkaar aanvullen. Externe toegang en diensten tussen IT en OT horen via een gecontroleerde tussenlaag, bijvoorbeeld een industriële DMZ.

Wanneer is het goed genoeg?

• Toegestane verbindingen hebben een aantoonbare eigenaar en reden.
• Onbedoelde laterale beweging wordt technisch beperkt.
• Operations weet wat bij een storing moet worden gecontroleerd.
• Wijzigingen en uitzonderingen hebben een vervaldatum.
• De actuele architectuur komt overeen met de technische werkelijkheid.

Veelgestelde vragen

Moeten oude PLC’s worden vervangen?

Niet automatisch. Vaak kan handhaving vóór een legacy-systeem worden geplaatst. De beperking en het restrisico moeten wel zichtbaar blijven.

Moet iedere machine een eigen zone krijgen?

Nee. Zonegrenzen volgen functie, risico en beheermogelijkheden. Te veel grenzen zonder beheerproces leveren vooral complexiteit op.

Van inzicht naar uitvoering

OT-Guard helpt organisaties om dit onderwerp te vertalen naar hun eigen locaties, risico’s en verantwoordelijkheden. Bekijk onze OT-securitydiensten of bespreek uw situatie met een specialist.