Wat is een air gap?
Een air gap is een beveiligingsmaatregel waarbij een computer of netwerk fysiek volledig gescheiden is van andere netwerken, zodat er geen kabel-, wifi-, Bluetooth- of andere draadloze verbinding bestaat met internet of het kantoor-IT-netwerk. Gegevens kunnen een air-gapped systeem alleen bereiken via een mens die iets fysiek overbrengt, zoals een USB-stick, een dvd of een laptop. Daardoor is het systeem niet bereikbaar voor aanvallers op afstand en biedt het sterke bescherming tegen malware die zich via netwerken verspreidt.
In de OT-wereld is de air gap lang beschouwd als dé verdediging voor industriële besturingssystemen. Incidenten als Stuxnet hebben laten zien dat die aanname te rooskleurig is: een air gap verkleint het aanvalsoppervlak sterk, maar vraagt om strikte procedures rond alles wat de scheiding wél passeert.
🧠 Waarom gebruikt u een air gap?
Een air gap wordt ingezet waar vertrouwelijkheid, integriteit of beschikbaarheid zo belangrijk zijn dat geen enkele netwerkverbinding het risico waard is. De maatregel beschermt tegen:
- Aanvallen op afstand - zonder route vanaf internet kan een aanvaller niet scannen, inloggen of kwetsbaarheden misbruiken.
- Zichzelf verspreidende malware - virussen, wormen, ransomware en spyware die via het netwerk springen, bereiken het systeem niet.
- Onbedoelde datastromen - gevoelige gegevens kunnen niet per ongeluk via een koppeling of clouddienst weglekken.
NIST SP 800-82 Rev. 3 (september 2023), de Amerikaanse richtlijn voor OT-beveiliging, verwoordt het nuchter: apparaten die geen zakelijke reden hebben om te communiceren, horen niet verbonden te zijn. Tegelijk stelt dezelfde richtlijn dat vertrouwen op traditionele maatregelen zoals air gaps niet meer voldoende is, nu OT steeds vaker aan IT gekoppeld wordt.
🔄 Wat is het verschil tussen een air gap, een datadiode en segmentatie?
Het woord air gap wordt in de praktijk ruim gebruikt. Strikt genomen is alleen een volledige fysieke scheiding een air gap. Een firewall of VLAN is netwerksegmentatie, ook als leveranciers van back-upsoftware hun geïsoleerde opslag een “logische air gap” noemen.
| Maatregel | Verbinding | Richting van data | Typische toepassing |
|---|---|---|---|
| Air gap | Geen enkele | Alleen handmatig (USB, dvd, laptop) | Geclassificeerde systemen, offline back-ups, losstaande machines |
| Datadiode | Fysiek, maar eenrichtings | Alleen van binnen naar buiten (of omgekeerd) | Procesdata naar historian of SOC, nucleaire installaties |
| IDMZ met firewalls | Gecontroleerd, tweerichtings | Via proxy’s en jump hosts | Koppeling tussen kantoor-IT en OT volgens het Purdue Model |
| Netwerksegmentatie | Logisch gescheiden | Volgens firewallregels | Zones en conduits volgens IEC 62443 |
Een datadiode wordt vaak een air gap genoemd, maar is dat niet: er loopt wel degelijk een fysieke verbinding, alleen kan data hardwarematig maar één kant op. Daarmee combineert een datadiode veel van de bescherming van een air gap met bruikbare procesdata buiten de installatie.
🏭 Waar worden air gaps toegepast?
| Toepassing | Toelichting |
|---|---|
| Nucleaire installaties | Veiligheidskritische systemen zonder verbinding met externe netwerken; gegevens naar buiten doorgaans alleen eenrichtings via een datadiode |
| Industriële besturingssystemen (ICS) | PLC-, SCADA-, RTU- of DCS-systemen die volledig los van het bedrijfsnetwerk draaien |
| Overheid en defensie | Netwerken voor gerubriceerde of staatsgevoelige informatie |
| Back-ups | Een offline kopie die ransomware niet kan versleutelen, naast een immutable back-up |
| Cryptografische sleutels | Root-CA’s en sleutelbeheer die alleen offline worden gebruikt |
| Noodplannen | NIST adviseert incidentresponsplannen op papier of op een offline systeem te bewaren |
In de praktijk zijn volledig geïsoleerde productienetwerken zeldzaam. Leveranciers willen onderhoud op afstand, planning wil productiecijfers en kwaliteit wil meetdata. Veel installaties die als air-gapped te boek staan, blijken bij een inventarisatie toch een vergeten modem, een 4G-router of een dubbel aangesloten engineeringlaptop te hebben.
⚠️ Hoe wordt een air gap toch overbrugd?
Een air gap is zo sterk als de procedures rond de mensen en media die hem passeren. Bekende voorbeelden:
- Stuxnet (ontdekt in juni 2010) - de worm bereikte de afgeschermde verrijkingsfabriek in Natanz via USB-sticks en Step 7-projectbestanden van contractors en saboteerde daar Siemens-PLC’s.
- agent.btz (2008) - een besmette USB-stick op een Amerikaanse legerbasis in het Midden-Oosten verspreidde de worm naar gerubriceerde en niet-gerubriceerde netwerken. De opruimactie, Operation Buckshot Yankee, duurde ongeveer veertien maanden.
- GoldenJackal (gepubliceerd door ESET in 2024) - deze spionagegroep gebruikte speciale toolsets om via USB-sticks bestanden te stelen van air-gapped systemen bij een Europese overheidsorganisatie, tussen mei 2022 en maart 2024.
Daarnaast toonden onderzoekers van de Ben-Goerion-universiteit in Israël tientallen verborgen kanalen aan waarmee malware data uit een air-gapped computer kan lekken: via radiosignalen (AirHopper, 2014), GSM-frequenties (GSMem, 2015), stroomkabels (PowerHammer, tot 1.000 bit/s), warmte, geluid en led-lampjes. Deze aanvallen veronderstellen wel dat het systeem al besmet is en dat er een ontvanger in de buurt staat, dus voor de meeste OT-omgevingen is de USB-stick het grotere risico.
🔧 Hoe richt u een air gap verantwoord in?
Een air gap werkt alleen als onderdeel van defense in depth. Een praktisch stappenplan:
- Inventariseer alle verbindingen - maak een volledige assetinventaris en zoek actief naar modems, draadloze adapters en dubbele netwerkkaarten. Een air gap die niemand controleert, bestaat vaak alleen op papier.
- Regel verwisselbare media - gebruik alleen geregistreerde USB-sticks en laat alles eerst langs een scanstation met meerdere antivirus-engines gaan. Zie USB Control.
- Beheer engineeringlaptops apart - een engineeringstation dat zowel op kantoor als in de fabriek komt, is de klassieke brug. Gebruik vaste, geharde stations die het OT-domein niet verlaten.
- Plan updates bewust - patches en signatures moeten handmatig naar binnen. Leg vast wie dat doet, hoe vaak en met welke verificatie (hashes, digitale handtekeningen).
- Beperk wat er kan draaien - application whitelisting voorkomt dat onbekende software start, ook als die via een stick binnenkomt.
- Vergeet monitoring niet - zonder netwerkverbinding ziet het SOC niets. Verzamel logs lokaal of exporteer ze via een datadiode naar een SIEM.
- Train mensen - bewustzijn bij operators, onderhoudsmonteurs en leveranciers voorkomt dat een gevonden USB-stick “even” wordt geprobeerd.
| Aandachtspunt | Zonder procedure | Met procedure |
|---|---|---|
| Patches | Jaren achterstand of ongecontroleerde stick van leverancier | Vaste cyclus, gescande en gehashte bestanden |
| Leverancierslaptop | Direct aangesloten op het OT-netwerk | Alleen via scanstation of eigen geharde laptop |
| Logging | Geen zicht op incidenten | Lokale logging, eenrichtingsexport |
| Back-ups | Online en dus kwetsbaar voor ransomware | Ten minste één offline kopie, regelmatig getest |
🇳🇱 Wat betekent een air gap voor NIS2 en de Cyberbeveiligingswet?
De Cyberbeveiligingswet, van kracht sinds 15 augustus 2026, zet NIS2 om in Nederlands recht. De wet schrijft geen air gap voor, maar vraagt wel passende maatregelen voor onder meer netwerkbeveiliging en bedrijfscontinuïteit. Artikel 21, lid 2, onder c, van NIS2 noemt daarbij uitdrukkelijk back-upbeheer en herstel na een calamiteit. Een offline of air-gapped back-up is een gangbare manier om bedrijfscontinuïteit tegen ransomware aantoonbaar te borgen.
Ook IEC 62443 eist geen air gap. De norm werkt met zones, conduits en security levels. Een air gap is daarin de strengste denkbare scheiding tussen twee zones: er bestaat simpelweg geen conduit. Voor de meeste kritieke infrastructuur in Nederland, zoals drinkwater en energie, is een volledig geïsoleerd netwerk onwerkbaar, en wordt gekozen voor segmentatie met datadiodes voor de meest kritieke stromen.
❗ Wat zijn de nadelen van een air gap?
- Moeizaam beheer - updates, licenties en configuratiewijzigingen moeten handmatig worden overgebracht, waardoor systemen vaak achterlopen.
- Weinig zicht - logverzameling, monitoring en incidentdetectie zijn lastig zonder netwerk.
- Menselijke fouten - elke fysieke overdracht (“sneakernet”) is een kans op besmetting of verkeerd gekopieerde bestanden.
- Vals gevoel van veiligheid - organisaties die op de air gap vertrouwen, investeren soms te weinig in hardening, detectie en incidentrespons.
- Geen data voor optimalisatie - Industrie 4.0-toepassingen hebben procesdata nodig die een air gap niet doorlaat.
❓ Veelgestelde vragen
Is een air gap nog veilig?
Een air gap blijft een van de sterkste maatregelen tegen aanvallen op afstand, omdat er geen netwerkroute is. Een air gap is echter niet waterdicht: Stuxnet, agent.btz en GoldenJackal kwamen via USB-sticks binnen. De veiligheid hangt daarom af van mediabeleid, geharde werkstations en training.
Is een datadiode hetzelfde als een air gap?
Een datadiode is geen air gap, omdat er een fysieke verbinding bestaat die data in één richting doorlaat. Een datadiode biedt wel vergelijkbare bescherming tegen binnendringen van buitenaf. Daarom wordt hij vaak gekozen wanneer een volledige air gap onwerkbaar is.
Wat is een logische air gap?
Een logische air gap is een term van back-upleveranciers voor opslag die alleen tijdelijk of via strenge toegangsregels bereikbaar is. Technisch is dat netwerksegmentatie en geen echte air gap. Een logische air gap kan nuttig zijn, maar beschermt minder dan een fysiek losgekoppelde kopie.
Hoe komen updates op een air-gapped systeem?
Updates komen op een air-gapped systeem via gecontroleerde media, zoals een USB-stick of dvd die eerst langs een scanstation gaat. Goede praktijk is de herkomst te controleren met hashes of digitale handtekeningen en vast te leggen wie de update uitvoert. Zonder vaste procedure lopen air-gapped systemen vaak jaren achter met patches.
Vereist NIS2 een air gap?
NIS2 en de Nederlandse Cyberbeveiligingswet vereisen geen air gap. Ze vragen passende maatregelen voor onder meer back-upbeheer, bedrijfscontinuïteit en netwerkbeveiliging. Een offline back-up of een air-gapped kritiek systeem kan helpen om aan die zorgplicht te voldoen.
Kan malware data uit een air-gapped systeem stelen zonder USB?
Onderzoekers hebben aangetoond dat malware data uit een air-gapped systeem kan lekken via radiosignalen, stroomkabels, warmte of geluid. Die verborgen kanalen zijn traag en vereisen een eerdere besmetting en een ontvanger in de buurt. In de praktijk vormen USB-sticks en laptops van derden een veel groter risico voor een air gap.
📌 Samengevat
Een air gap scheidt een systeem fysiek van alle andere netwerken en houdt daarmee aanvallers op afstand buiten. In OT is een volledige air gap zeldzaam en kwetsbaar voor USB-sticks, laptops van leveranciers en vergeten verbindingen. Combineer de air gap daarom met mediabeleid, geharde engineeringstations, offline back-ups en monitoring, of kies voor segmentatie met een datadiode.
Een air gap is een sterke maatregel voor kritieke infrastructuur, maar beschermt alleen als alles wat de scheiding fysiek passeert even streng wordt gecontroleerd.