Defense in Depth

Wat is Defense in Depth?

Defense in Depth (verdediging in de diepte) is een beveiligingsstrategie waarbij een organisatie meerdere, van elkaar onafhankelijke beveiligingslagen achter elkaar plaatst, zodat een aanval die één laag doorbreekt alsnog door een volgende laag wordt tegengehouden, vertraagd of opgemerkt. Het uitgangspunt is dat elke afzonderlijke maatregel vroeg of laat faalt: door een fout in de configuratie, een onbekende kwetsbaarheid of een gebruiker die op een verkeerde link klikt. In industriële automatisering, waar beschikbaarheid en fysieke veiligheid voorop staan, is Defense in Depth het leidende principe achter vrijwel alle OT-securitynormen, van IEC 62443 tot NIST SP 800-82.

🧠 Waar komt Defense in Depth vandaan?

Het begrip komt uit de militaire strategie. In plaats van alles op één verdedigingslinie in te zetten, legt een verdediger meerdere linies achter elkaar. Elke linie vertraagt de aanvaller en kost hem middelen, terwijl de verdediger tijd wint om de aanval te zien aankomen en te reageren. Ook de nucleaire veiligheid werkt al decennia met dit principe: meerdere onafhankelijke barrières tussen het radioactieve materiaal en de omgeving.

In de informatiebeveiliging werd het concept vooral bekend via de Amerikaanse NSA. Haar publicatie Defense in Depth: A practical strategy for achieving Information Assurance (2004) benadrukte drie pijlers:

• Mensen — bewustzijn, training, rollen en verantwoordelijkheden
• Technologie — beveiligingsmaatregelen op meerdere plaatsen in het netwerk, met verschillende mechanismen per laag
• Operatie — beheer, monitoring en de processen om te beschermen, te detecteren en te reageren (protect, detect, react)

Die driedeling tussen mensen, processen en techniek is nog steeds de kern. NIST SP 800-82 Rev. 3 omschrijft Defense in Depth als een strategie die mensen, technologie en operationele capaciteiten integreert, met als doel single points of failure in de verdediging te voorkomen. Een verwant beeld uit de veiligheidskunde is het Zwitserse-kaasmodel: elke laag heeft gaten, maar een incident ontstaat pas als de gaten van alle lagen op één lijn liggen.

🧱 Uit welke lagen bestaat Defense in Depth?

Er is geen vaste, universele indeling, maar de meeste modellen lijken sterk op elkaar. Onderstaande tabel combineert de gangbare lagen met typische maatregelen in een IT/OT-omgeving:

Het gaat niet om het aantal lagen, maar om hun onafhankelijkheid. IEC 62443-4-1 stelt dat elke laag zelfstandig moet werken en niet dezelfde functionaliteit of dezelfde faalwijze mag hebben als de andere lagen. Twee firewalls van hetzelfde type met dezelfde regels vormen dus in feite maar één laag.

🏭 Hoe passen IEC 62443 en NIST SP 800-82 Defense in Depth toe in OT?

In ICS- en SCADA-omgevingen is Defense in Depth nog belangrijker dan in kantoor-IT. Veel systemen zijn verouderd en niet te patchen, leveranciers hebben tijdelijke toegang nodig, veldapparatuur staat fysiek bereikbaar en IT en OT raken steeds meer met elkaar verweven. Eén enkele maatregel is daarom nooit genoeg.

IEC 62443 maakt Defense in Depth concreet met het zones-en-conduitsmodel. Systemen met vergelijkbare beveiligingseisen worden in een zone gegroepeerd, en al het verkeer tussen zones loopt via een gecontroleerd conduit. Een aanvaller die één zone binnendringt, staat daardoor nog niet in de volgende. NIST SP 800-82 noemt daarnaast concrete maatregelen, zoals een DMZ tussen kantoornetwerk en OT, MFA voor externe toegang, aparte accounts voor OT en kantoor-IT, en een ontwerp dat bij storingen geleidelijk terugvalt naar handbediening in plaats van abrupt uit te vallen.

🔧 Hoe ziet een gelaagde OT-architectuur eruit?

Een veelgebruikte opbouw volgt het Purdue Model. Een aanvaller die vanaf internet een PLC wil bereiken, moet in dit voorbeeld door zeven opeenvolgende lagen heen:

Gegevens voor het kantoor, zoals productiecijfers, haalt het kantoornetwerk niet rechtstreeks uit OT. Een historian in OT repliceert ze naar een kopie in de DMZ, eventueel via een datadiode, en gebruikers lezen alleen die kopie. De laatste laag is geen IT: een veiligheidssysteem en mechanische beveiligingen voorkomen een gevaarlijke situatie, ook als alle digitale lagen falen.

🔄 Wat is het verschil tussen Defense in Depth en Zero Trust?

Zero Trust en Defense in Depth sluiten elkaar niet uit, maar leggen een ander accent:

• Defense in Depth gaat uit van lagen rond de waardevolle systemen. Een netwerkzone wordt vaak als relatief betrouwbaar gezien zodra iemand de grens heeft gepasseerd.
• Zero Trust, beschreven in NIST SP 800-207 (2020), vertrouwt geen enkele verbinding op basis van netwerklocatie. Elke toegangsaanvraag wordt opnieuw gecontroleerd op identiteit, apparaat en context.

In de praktijk is Zero Trust een manier om de netwerk- en toegangslagen binnen Defense in Depth sterker te maken. NIST SP 800-82 Rev. 3 noemt Zero Trust ook als bouwsteen binnen de netwerklaag. Voor OT geldt wel een kanttekening: veel PLC’s en veldapparaten ondersteunen geen moderne authenticatie. Daar blijven segmentatie, conduits en monitoring de belangrijkste lagen.

🔐 Welke fouten worden vaak gemaakt?

• Eén harde buitenkant — een sterke firewall naar internet, maar daarachter een plat netwerk waarin elk systeem elk ander systeem kan bereiken. Na één geslaagde phishingaanval of een geïnfecteerde USB-stick ligt alles open.
• VLAN’s zonder filtering — een VLAN scheidt verkeer logisch, maar is pas een beveiligingslaag als een firewall of ACL het verkeer tussen VLAN’s beperkt.
• Lagen met dezelfde zwakke plek — één beheeraccount of hetzelfde wachtwoord voor alle lagen, of IT- en OT-accounts in hetzelfde domein. Eén gestolen account opent dan alle deuren.
• Alleen preventie, geen detectie — zonder monitoring merkt niemand dat een laag al doorbroken is, zoals bij Stuxnet, dat lange tijd ongemerkt actief was voordat het in 2010 werd ontdekt.
• Vergeten toegangsroutes — een 4G-modem van een leverancier of een permanente VPN-verbinding die alle lagen omzeilt.
• Papieren lagen — beleid dat bestaat, maar niet wordt gecontroleerd of geoefend.

📏 Hoe meet u of Defense in Depth werkt?

Defense in Depth is pas waardevol als u kunt aantonen dat de lagen ook echt werken. Praktische manieren om dat te meten:

1. Gap-analyse per zone — vergelijk het gewenste security level (SL-T) met het bereikte niveau (SL-A) volgens IEC 62443-3-2 en IEC 62443-3-3.
2. Aanvalspaden doorlopen — neem realistische scenario’s uit MITRE ATT&CK for ICS en controleer per stap welke laag de aanval stopt of detecteert. Een stap zonder laag is een gat.
3. Testen — een pentest of red-teamoefening toont of lagen in de praktijk standhouden, mits zorgvuldig gepland rond de productie.
4. Kengetallen bijhouden — bijvoorbeeld het aandeel assets in de inventaris, de tijd tot detectie van een incident, het aantal open firewallregels en het aandeel kritieke patches dat is geïnstalleerd of afgedekt.
5. Herstel oefenen — test periodiek of back-ups van PLC-programma’s en servers daadwerkelijk terug te zetten zijn.

Voor Nederlandse organisaties die onder de Cyberbeveiligingswet vallen, sinds 15 augustus 2026 de Nederlandse invulling van NIS2, is zo’n onderbouwing extra relevant. De wet verplicht tot passende en evenredige maatregelen voor netwerk- en informatiesystemen, en een gedocumenteerde gelaagde aanpak maakt die zorgplicht aantoonbaar.

❓ Veelgestelde vragen

Wat betekent Defense in Depth in het Nederlands?

Defense in Depth betekent letterlijk “verdediging in de diepte”. Het is een beveiligingsprincipe waarbij meerdere onafhankelijke lagen van maatregelen achter elkaar worden geplaatst. Als één laag faalt, houden de andere lagen een aanval alsnog tegen of signaleren die.

Hoeveel lagen heeft Defense in Depth?

Defense in Depth kent geen vast aantal lagen. NIST SP 800-82 Rev. 3 gebruikt er vijf (security management, fysiek, netwerk, hardware en software), terwijl andere modellen zeven of acht lagen noemen. Belangrijker dan het aantal is dat de lagen onafhankelijk van elkaar werken en niet dezelfde zwakke plek delen.

Is een firewall genoeg voor Defense in Depth?

Een firewall alleen is geen Defense in Depth, maar één laag binnen die strategie. Defense in Depth vraagt daarnaast om onder meer segmentatie, hardening, toegangsbeheer, monitoring en een plan voor incidentrespons. Juist het vertrouwen op één perimeter is de fout die Defense in Depth wil voorkomen.

Is Defense in Depth verplicht onder IEC 62443?

IEC 62443 gebruikt Defense in Depth als basisprincipe, onder meer via zones, conduits en security levels. IEC 62443-4-1 verplicht leveranciers die certificering nastreven om Defense in Depth in het productontwerp toe te passen. Voor eindgebruikers is IEC 62443 zelf niet wettelijk verplicht, maar het wordt veel gebruikt om de zorgplicht uit NIS2 in te vullen.

Vervangt Zero Trust Defense in Depth?

Zero Trust vervangt Defense in Depth niet, maar versterkt de netwerk- en toegangslagen ervan. Zero Trust controleert elke toegangsaanvraag opnieuw, ongeacht de netwerklocatie. In OT-omgevingen met oudere PLC’s blijft Defense in Depth met segmentatie en monitoring nodig, omdat die apparaten geen moderne authenticatie ondersteunen.

Hoe begin ik met Defense in Depth in een fabriek?

Een praktische start van Defense in Depth in een fabriek is een volledige inventaris van OT-assets en hun verbindingen, gevolgd door een risicoanalyse per zone. Daarna volgen meestal de scheiding tussen IT en OT met een DMZ, beveiligde externe toegang via een jump server met MFA, en passieve netwerkmonitoring. Hardening en verdere segmentatie bouwt u daarna stap voor stap op.

📌 Samengevat

Defense in Depth is het principe van meerdere, onafhankelijke en elkaar overlappende beveiligingslagen, waarbij elke laag ervan uitgaat dat de vorige kan falen. In OT-omgevingen krijgt het vorm via IEC 62443-zones en -conduits en de vijf lagen van NIST SP 800-82: van beleid en fysieke beveiliging tot segmentatie, hardening, monitoring en herstel. Zo beperkt u de gevolgen van menselijke fouten, kwetsbaarheden en aanvallen, in zowel IT als OT.