ICT Zine

Een waterscheiding tussen geautomatiseerde, industriële processen en kantoorautomatisering is wel het minste wat een organisatie kan doen om ongewenst bezoek te voorkomen. Maar Rockwell Automation trekt het veel breder. Beveiliging is nodig op fysiek, elektronisch en procedureel niveau. Zij dient het uitgangpunt te zijn bij alle aspecten van automatisering van industriële processen.

Heel lang ontwikkelden de werelden van procestechnologie en die van administratieve afhandeling zich geheel gescheiden van elkaar. Op tal van niveaus; je had de mensen van de fabriek en de mensen van kantoor. De automatisering van kleppen, vulmachines en noem maar op, en de automatisering van de orderverwerking en wat daar allemaal bij komt kijken. Elk met haar eigen protocollen, architecturen en procedures.
Maar internet heeft dat veranderd. IP, het Internet Protocol, is inmiddels het leidende communicatieprotocol. De wereld raakt meer en meer onderling verweven. Het ‘internet der dingen’, waarbij apparaten onderling zonder tussenkomst van mensen functioneren, is geen wazig vergezicht meer.
Dat de werkvloer en kantoor gezamenlijk optrekken, heeft voordelen. De processen kunnen vloeiender verlopen met een snellere ‘time to market’ als gevolg, hogere kwaliteit, betere klantenbinding, en de mogelijkheid tot accuratere analyses van de eigen bedrijfsprocessen in relatie tot bijvoorbeeld marktontwikkeling.

Fysieke controle
Maar er is een keerzijde aan die verwevenheid van ‘blauwe en witte boorden’: de kwetsbaarheid van geautomatiseerde systemen. Je wilt niet dat iemand van buitenaf het chloorpercentage in het zwemwater regelt, zoals enige tijd geleden bij een openbaar zwembad in Nederland is gebeurd. Je wilt niet dat een onbevoegde de bediening van een waterkering naar eigen hand weet te zetten. Of dat de energievoorziening in ons land de grillen van een terrorist volgt.
Die risico’s zijn reëel, waarbij veelal de indringers gaten in de kantoorautomatisering gebruiken om zich toegang te verschaffen tot de industriële processen. Daarom is er minstens een IDMZ (Industrial Demilitarized Zone) nodig tussen ‘fabriek’ en ‘kantoor’. Precies dat wat bij Tata Steel (het vroegere Hoogovens) in IJmuiden wordt toegepast: een waterscheiding tussen de twee werelden, die niettemin toestaat dat op een veilige manier data en diensten worden gedeeld.
Het spreekt voor zich dat beide netwerken zijn voorzien, aldus Brad Hegrat en Doug Wylie, bedrijfsrisico en –veiligheidsspecialisten van Rockwell Automation, van firewalls en intrusion detection en intrusion prevention systems (IDS/IPS). En natuurlijk beheerde switches en routers die alle geïntegreerde beveiligingsvoorzieningen actief hebben. Dit is wat zij noemen de fysieke controlelaag.

Versterkte apparaten
Fysieke bescherming op netwerkniveau laat onverlet dat er ook ingebakken verdediging nodig is in de apparatuur zelf. Rockwell bouwt anti-inbraak mogelijkheden in de apparaten – dan hebben we het bijvoorbeeld over switches en routers – in. Bijvoorbeeld door ervoor te zorgen dat gebruikers geen toegang hebben tot functies van het werktuig, of geen instructies kunnen lezen, noch schrijven, tot aan het volledig afschermen van de CPU in de machine.
Daarbij komt, aldus Hegrat en Wylie, dat het belangrijk is steeds patches en upgrades van de firmware toe te passen. Want die dichten niet alleen bekend geworden zwakke punten, maar bieden vaak ook nieuwe functionaliteit.
Bovendien is het belangrijk na te gaan of de aangeboden firmware(patch) wel authentiek is door de bijbehorende digitale handtekening te valideren.
Het tweetal beveelt overigens aan om de upgrades en patches niet automatisch te laten plaats vinden. Veel leveranciers – waaronder Microsoft – bieden die mogelijkheid, maar het is beter die mogelijkheid uit te schakelen. “Je wilt immers eerst in een testomgeving nagaan wat de gevolgen zijn van een bepaalde aanpassing van de besturingssoftware”, licht Hegrat toe. “Het kan best zijn dat die ene aanpassing een ongewenst effect heeft op het functioneren van een ander apparaat.”

80/20
Ook hier geldt de 80/20 regel. Om een goed beveiligde, geautomatiseerde omgeving op de werkvloer te krijgen, zijn niet alleen technische aanpassingen noodzakelijk. “Een goed beveiligingsprogramma”, zo meent Wylie, “bestaat voor twintig procent uit technologie, en voor tachtig procent uit processen en procedures. Samen met de richtlijnen die een bedrijf voor zijn medewerkers hanteert, vormen die processen en procedures de niet-technische kant van beveiliging.”
De fabrikanten kunnen nog zo goed hun apparatuur intrinsieke bewakingsmogelijkheden meegeven, als ze niet op de juiste manier worden gebruikt, dan ben je nog geen stap verder. Rockwell vindt dan ook dat de eigenaren van machines en andere apparatuur een doortimmerde beveiligingsstrategie moeten opzetten en handhaven.

Vijf gebieden
Volgens de twee beveiligingsspecialisten van Rockwell behelst de strategie van hun bedrijf zelf vijf gebieden. Het eerste is al aangestipt: de fysieke beveiliging. Dat gaat over toegangspoorten en fysieke beveiligingsmechanismen. Het tweede is de netwerkbeveiliging. Hiertoe werkt Rockwell nauw samen met Cisco, en andere netwerkleveranciers, op het terrein van firewalls en intrusion detectie en preventie.
Het derde gebied betreft de luchtsluis tussen de industriële automatisering en de administratieve automatisering. De eerder aangehaalde Industrial Demilitarized Zone. Hiertoe behoren ook antivirus-oplossingen en bescherming van de apparatuur die gebruikers hanteren.
‘Device hardening’ (versterkte apparaten) is het vierde aspect dat onderdeel uitmaakt van de Rockwell-aanpak.
En als laatste punt komen de twee met applicatiebeveiliging. Daarbij gaat het om rolgebaseerde toegang tot machines en apparaten.
Door op verschillende lagen beveiliging toe te passen, wordt het geheel sterker. Een zwakke plek in de ene laag, kan worden opgevangen door een sterke structuur in een volgende laag. Een inbreker moet zo een volhardende hordeloper zijn om toch binnen te komen. Een virus als Stuxnet – door geheime diensten ontworpen om de kerncentrales in Iran te beheersen – is dermate krachtig dat alle zeilen moeten worden bijgezet om kwaadwillenden buiten te houden.

Actueel houden
Juist op het vlak van applicaties komen de processen en procedures in beeld. Waarbij vooral moet worden bedacht dat automatisering dermate moet zijn ingericht dat gewenst gedrag is af te dwingen. Maar dan moet een organisatie wel eerst vaststellen wat het gewenste gedrag behoort te zijn.
Het is vaak nodig de samenwerking te zoeken tussen industriële automatisering en Active Directory van Microsoft: de software die registreert welke rechten en plichten medewerkers hebben. Wie heeft wanneer toegang tot welke applicatie? Gebruik applicatie white listing, verwijder toepassingen die niet meer worden gebruikt. Houdt dit geheel actueel. Bij uitdiensttreding van iemand, meteen gebruikersnaam en wachtwoord verwijderen.
En neem maatregelen om de beheerder te controleren die dit alles moet toepassen.
“Wij van onze kant leveren producten die de beveiligingstoets kunnen doorstaan, maar ze moeten onderdeel uitmaken van een geïntegreerde beveiligingsaanpak”, besluiten de twee.

Auteur: Teus Molenaar is journalist