Wat is Configuration Management?
Configuration Management (configuratiebeheer) is het proces waarmee een organisatie de technische instellingen, softwareversies, firmware en onderlinge afhankelijkheden van haar systemen gedurende de hele levenscyclus vastlegt, vastzet in een goedgekeurde basisconfiguratie (baseline), gecontroleerd wijzigt en periodiek controleert op afwijkingen. Het doel is inzicht, controle en reproduceerbaarheid: u weet op elk moment wat er draait, hoe het is ingesteld en hoe u het na een storing of aanval in de laatst bekende goede toestand terugbrengt. In IT-omgevingen gaat het om servers, werkplekken en netwerkapparatuur; in OT-omgevingen ook om PLC-programma’s, SCADA-projecten, HMI-schermen en de parameters van veldapparatuur.
🧠 Waarom is Configuration Management belangrijk?
Standaardinstellingen van apparaten en software zijn vooral gericht op gebruiksgemak, niet op beveiliging. Bovendien veranderen configuraties ongemerkt: een monteur zet tijdens een storing een poort open, een leverancier past een parameter aan of een engineer laadt een oudere programmaversie. Zonder configuratiebeheer ziet niemand dat verschil, totdat het misgaat.
| Voordeel | Toelichting |
|---|---|
| Inzicht in configuraties | Wie draait wat, waar, met welke instellingen en welke versie? |
| Reproduceerbaarheid | Identieke configuraties bij herstel, migratie, vervanging of test |
| Beheersing van wijzigingen | Samen met Change Management: geen ongecontroleerde aanpassingen |
| Beveiliging | Detectie van ongeautoriseerde of onveilige configuratiewijzigingen |
| Snelle impactanalyse | Bij een nieuwe kwetsbaarheid direct zien welke systemen een getroffen versie draaien |
| Ondersteuning bij audits | Aantoonbaar voldoen aan BIO, IEC 62443, ISO 27001 en de Cyberbeveiligingswet |
🧱 Wat valt er onder een configuratie-item?
Een configuratie-item (CI) is elk onderdeel dat u moet beheren om een dienst of proces betrouwbaar te laten draaien. ITIL 4 noemt de bijbehorende praktijk service configuration management. Een CI kan zijn:
- Hardware - bijvoorbeeld een PLC, Router, switch, server of Engineering Station
- Software en Firmware - versies, patchniveau en licenties
- Instellingen en parameters - gebruikersrollen, policies, regelparameters, alarmgrenzen
- Netwerkconfiguratie - VLAN’s, firewallregels, IP-adressen en routering
- Documentatie - tekeningen, I/O-lijsten, functionele specificaties
- Locatie, eigenaar en afhankelijkheden - welk systeem op welk ander systeem steunt
Elk CI heeft een unieke identiteit, een eigenaar, een geregistreerde status en een gedocumenteerde relatie met andere CI’s.
Niet elk asset is een CI. Een Asset Inventory en Asset Management gaan over wat u bezit en wat het kost; configuration management gaat over hoe het is ingesteld en hoe die instellingen veranderen. De gegevens komen samen in een configuratiebeheersysteem, vaak met een CMDB als kern.
🔧 Hoe werkt Configuration Management in de praktijk?
De klassieke configuratiebeheernorm SAE EIA-649C (2019) en de richtlijn ISO 10007:2017 beschrijven dezelfde vijf functies. NIST SP 800-128 (2011, bijgewerkt in 2019) vertaalt die naar security-focused configuration management in vier fasen: plannen, identificeren en implementeren, wijzigingen beheersen en monitoren.
| Functie | Wat u doet | Typisch resultaat |
|---|---|---|
| Planning en beheer | Beleid, rollen, tooling en een wijzigingsraad (CCB) vastleggen | Configuratiebeheerplan |
| Identificatie | CI’s benoemen, uniek nummeren en een baseline vastleggen | Goedgekeurde basisconfiguratie per systeemtype |
| Wijzigingsbeheer | Wijzigingen aanvragen, impact beoordelen, testen, goedkeuren | Bijgewerkte baseline na elke goedgekeurde wijziging |
| Statusregistratie | Bijhouden welke versie waar draait en wat er veranderde | Actuele configuratiehistorie |
| Verificatie en audit | De werkelijke configuratie vergelijken met de baseline | Afwijkingsrapport en correctieacties |
Een praktische aanpak in vijf stappen:
- Breng de assets in kaart - begin met een volledige inventaris; zonder lijst geen baseline.
- Definieer baselines - gebruik CIS Benchmarks of leveranciersrichtlijnen voor Hardening en leg per systeemtype de goedgekeurde instellingen vast.
- Leg alles onder versiebeheer - configuratiebestanden, scripts en PLC-projecten, met per wijziging wie, wat, wanneer en waarom.
- Koppel aan wijzigingsbeheer - geen wijziging zonder ticket; na goedkeuring wordt de baseline bijgewerkt.
- Controleer automatisch op afwijkingen - vergelijk geplande back-ups met de baseline, bijvoorbeeld dagelijks voor servers en wekelijks of na elk onderhoud voor PLC’s.
🏭 Waarom is configuratiebeheer in OT extra belangrijk?
In operationele technologie (OT) raakt een configuratiefout direct het fysieke proces. Daar komen typische OT-kenmerken bij:
- Veel apparaten draaien op Embedded firmware zonder automatische Logging van wijzigingen.
- Een gewijzigde PLC-configuratie kan productie, kwaliteit of veiligheid raken.
- OT-Assets gaan vaak twintig jaar of langer mee en zijn slecht gedocumenteerd.
- Herstel na een storing gebeurt vaak handmatig, met de laatste back-up die toevallig op een laptop staat.
Stuxnet liet zien waarom dit telt: de malware wijzigde de code in Siemens S7-PLC’s en verborg die wijziging voor de engineeringsoftware. Alleen een onafhankelijke vergelijking met een bekende goede versie maakt zo’n manipulatie zichtbaar.
| OT-onderdeel | Configuratieaspect |
|---|---|
| SCADA-systeem | IP-adressen, loggingparameters, gebruikersrollen, tagdatabase |
| PLC-programma | Versiebeheer van ladder logic, function blocks en hardwareconfiguratie |
| Netwerkswitches | QoS-instellingen, VLAN-configuratie, redundantiemodus |
| Remote I/O-modules | Signaalmapping, samplefrequentie, diagnoseopties |
| Veiligheidssystemen | Parameters en logica van het SIS, onder IEC 61511-wijzigingsbeheer |
Gespecialiseerde tools zoals octoplant van AUVESY-MDT (de samenvoeging van versiondog en MDT AutoSave) en Rockwell FactoryTalk AssetCentre halen periodiek de projecten uit PLC’s, robots en drives op en vergelijken ze met de vorige versie. Zo wordt een niet-geregistreerde wijziging automatisch gemeld.
🛠 Welke hulpmiddelen en technieken gebruikt u?
| Tooling / methode | Toepassing |
|---|---|
| CMDB (Configuration Management Database) | Centrale registratie van CI’s en hun relaties |
| Version Control (bijv. Git) | Softwareconfiguraties, PLC-programma’s en scripts |
| Geautomatiseerde baselinecontroles | Detectie van afwijkingen ten opzichte van de goedgekeurde configuratie |
| Back-ups en snapshots | Periodieke opslag van actuele configuraties als herstelpunt |
| Beleid en procedures | Levenscyclus-, wijzigings- en incidentbeheer |
🔐 Welke normen en wetten eisen configuratiebeheer?
Configuration Management ondersteunt Security doordat het misconfiguraties zichtbaar maakt, bijdraagt aan Security by Design en de basis vormt voor Patchmanagement en Vulnerability Management. Het kan een Zero-day niet detecteren, maar bij een nieuw gepubliceerde kwetsbaarheid ziet u direct welke systemen een getroffen versie draaien.
- ISO 27002:2022 - maatregel 8.9 Configuration management is in de editie van 2022 nieuw toegevoegd: configuraties, inclusief beveiligingsinstellingen van hardware, software, diensten en netwerken, moeten worden vastgesteld, gedocumenteerd, geïmplementeerd, gemonitord en beoordeeld.
- BIO - de BIO2, vastgesteld op 23 september 2025, volgt ISO 27002:2022 en neemt deze maatregel daarmee over.
- IEC 62443-3-3 - systeemeis SR 7.6 (netwerk- en beveiligingsinstellingen) en SR 7.8 (inventaris van systeemcomponenten).
- NIST SP 800-53 - de CM-familie, met onder meer CM-2 (baseline), CM-3 (wijzigingsbeheersing), CM-6 (instellingen), CM-7 (minimale functionaliteit) en CM-8 (componenteninventaris); NIST SP 800-82 Rev. 3 past dit toe op OT.
- NIS2 en Cyberbeveiligingswet - de zorgplicht vraagt om beveiliging bij aanschaf, ontwikkeling en onderhoud van systemen. Voor onder meer cloud-, datacenter-, DNS- en managed (security) service providers maakt Uitvoeringsverordening (EU) 2024/2690 dit concreet met een aparte paragraaf over configuratiebeheer (bijlage, paragraaf 6.3), inclusief herbeoordeling op geplande momenten en na significante incidenten of wijzigingen.
❓ Veelgestelde vragen
Wat is het verschil tussen Configuration Management en Change Management?
Configuration Management legt vast hoe systemen zijn ingesteld en houdt de goedgekeurde baseline actueel. Change Management is het proces dat beslist óf en hoe een wijziging wordt doorgevoerd. Samen zorgen ze ervoor dat elke goedgekeurde wijziging ook in de configuratieadministratie terechtkomt.
Wat is een configuratiebaseline?
Een configuratiebaseline is een formeel goedgekeurde momentopname van de instellingen, softwareversies en firmware van een systeem. Configuration Management gebruikt die baseline als referentie om afwijkingen te detecteren en om systemen na een storing in een bekende goede toestand te herstellen.
Is een CMDB hetzelfde als Configuration Management?
Nee, een CMDB is een database die configuratie-items en hun relaties opslaat, terwijl Configuration Management het hele proces is van identificeren, wijzigen, registreren en controleren. Een CMDB zonder bijbehorend proces raakt snel verouderd en verliest dan zijn waarde.
Hoe vaak moet u OT-configuraties controleren op afwijkingen?
Geen enkele norm schrijft een vaste frequentie voor; een gangbare richtlijn is een geautomatiseerde vergelijking minstens wekelijks en altijd na onderhoud of een storing. Voor kritische installaties is dagelijks vergelijken van PLC-projecten met de laatste goedgekeurde versie verstandig, zodat een ongeregistreerde wijziging binnen een dag opvalt.
Kan Git gebruikt worden voor PLC-programma’s?
Git werkt goed voor tekstgebaseerde configuraties en scripts, maar veel PLC-engineeringomgevingen slaan projecten op in binaire formaten die Git niet inhoudelijk kan vergelijken. Daarom gebruiken industriële bedrijven vaak gespecialiseerde tools voor versiebeheer van PLC’s, die de verschillen in logica en hardwareconfiguratie leesbaar maken.
Is Configuration Management verplicht onder de Cyberbeveiligingswet?
De Cyberbeveiligingswet noemt configuratiebeheer niet letterlijk, maar de zorgplicht vraagt passende maatregelen voor beveiliging bij aanschaf, ontwikkeling en onderhoud van systemen. In de praktijk is aantoonbaar configuratiebeheer, bijvoorbeeld volgens ISO 27002 maatregel 8.9 of IEC 62443, de gangbare manier om daaraan te voldoen.
📌 Samengevat
Configuration Management legt per configuratie-item vast hoe het is ingesteld, houdt een goedgekeurde baseline bij en controleert of de werkelijkheid daarmee overeenkomt. In OT is dat extra belangrijk omdat installaties lang meegaan, wijzigingen het fysieke proces raken en ongeregistreerde aanpassingen anders onopgemerkt blijven. Normen als ISO 27002:2022, IEC 62443-3-3 en NIST SP 800-53 maken het tot een vaste beveiligingsmaatregel, en voor herstel na een incident is het onmisbaar.
Configuration Management zorgt voor grip op de techniek: zonder goedgekeurde baseline is betrouwbare dienstverlening, beveiliging of herstel bij storingen nauwelijks mogelijk, zeker in OT-omgevingen.