IDMZ

Wat is een IDMZ?

Een IDMZ (Industrial Demilitarized Zone) is een afgeschermde netwerkzone tussen het kantoornetwerk (IT) en het productienetwerk (OT), waarin al het verkeer tussen beide kanten eindigt, zodat er nooit een directe verbinding van IT naar OT of andersom bestaat. In de IDMZ staan alleen tussenschakels, zoals een gespiegelde historian, een jump server en een patchserver. Ze nemen data of sessies van de ene kant aan en zetten zelf een nieuwe verbinding op naar de andere kant. In het Purdue Model heet deze zone niveau 3,5, en binnen een Defense in Depth-architectuur is ze de belangrijkste grens tussen bedrijfsvoering en het fysieke proces.

🧠 Hoe werkt een IDMZ?

Een IDMZ ligt tussen twee firewalls, of achter een firewall met minstens drie poorten: één grens naar IT, één naar OT. Het werkingsprincipe is makelen in plaats van doorlaten. Een IT-gebruiker of het ERP-systeem dat productiedata uit het MES wil zien, leest een kopie in de IDMZ. Een engineer die een PLC op afstand wil bekijken, logt in op een jump server in de IDMZ en start van daaruit een tweede, gecontroleerde sessie naar OT.

Cisco en Rockwell Automation legden die werkwijze vast in hun Converged Plantwide Ethernet-architectuur (CPwE). De ontwerpprincipes zijn inmiddels de feitelijke standaard:

• Geen doorgaand verkeer — al het verkeer van beide kanten eindigt in de IDMZ; er is geen direct pad tussen enterprise- en industriële zone
• Industriële protocollen blijven thuis — EtherNet/IP, Modbus TCP en ander besturingsverkeer komen niet in de IDMZ
• Geen gemeenschappelijke protocollen — een protocol dat aan de OT-kant wordt gebruikt, wordt niet ook aan de IT-kant toegestaan, zodat een worm of andere malware niet met één kwetsbaarheid door beide firewalls komt
• Data is tijdelijk — de IDMZ bewaart geen primaire data; de bron blijft in de eigen zone
• Afkoppelbaar — wordt de IDMZ gecompromitteerd, dan kunt u hem loskoppelen en draait de productie zelfstandig door

Een IDMZ is geen firewallregel maar een zone met eigen servers, eigen beheer en eigen logging.

📦 Welke diensten horen in een IDMZ?

De IDMZ bevat alleen diensten die nodig zijn om IT en OT gecontroleerd met elkaar te laten samenwerken:

Wat er níét in hoort: domeincontrollers van OT, PLC’s, engineeringwerkstations en publieke webservers. Wat de fabriek nodig heeft om te draaien, blijft in de OT-zone. De internet-DMZ aan de rand van het bedrijf is een aparte zone; combineer die nooit met de IDMZ.

🔄 Wat is het verschil tussen een IDMZ en een gewone DMZ?

Het principe is hetzelfde, maar het beschermdoel verschilt. Een klassieke DMZ beschermt vooral vertrouwelijke bedrijfsgegevens tegen internet. Een IDMZ beschermt de beschikbaarheid en integriteit van het fysieke proces tegen alles wat in het kantoornetwerk gebeurt, inclusief ransomware.

🔐 Wat zeggen IEC 62443 en NIST over de IDMZ?

IEC 62443 noemt de IDMZ niet bij naam, maar dwingt haar wel af. Volgens het zones-en-conduits-model wordt de IDMZ een eigen zone met een conduit naar IT en een conduit naar OT. IEC 62443-3-2 beschrijft hoe u die zones op basis van risico vaststelt en er een doel-security level aan koppelt. IEC 62443-3-3 stelt de technische eisen: SR 5.1 vraagt netwerksegmentatie en SR 5.2 bescherming van zonegrenzen. De uitbreidingen van SR 5.2 sluiten direct aan op de IDMZ-praktijk: deny by default, allow by exception, island mode (de zone kan zich afsluiten) en fail close (bij een storing gaat de grens dicht).

NIST SP 800-82 vergeleek in revisie 2 (2015) vijf manieren om IT en OT te scheiden en wees een opzet met twee firewalls en een DMZ ertussen aan als de sterkste. Revisie 3 (september 2023) houdt de DMZ als kern van een OT-architectuur vast. In Nederland vraagt de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026, van essentiële en belangrijke entiteiten passende maatregelen voor netwerkbeveiliging. Voor een fabriek of waterschap is een gedocumenteerde IDMZ een van de meest controleerbare bewijzen daarvan, ook richting NIS2-toezicht.

🛠️ Hoe richt u een IDMZ stap voor stap in?

1. Inventariseer alle stromen tussen IT en OT — bron, doel, protocol, richting en eigenaar. In de praktijk vindt u er tientallen, waarvan een deel overbodig blijkt.
2. Geef elke stroom een tussenschakel — historian-kopie, broker, patchserver of jump server. Een stroom zonder tussenschakel vervalt of wordt herontworpen.
3. Kies de firewalls — bij voorkeur twee, eventueel van verschillende fabrikanten, uitgevoerd als next-generation firewall of industriële firewall en redundant volgens high availability.
4. Scheid identiteit — OT krijgt een eigen Active Directory-domein of lokale accounts; geen domeinvertrouwen dat van IT tot in OT doorloopt.
5. Virtualiseer bewust — IDMZ-servers draaien vaak op een klein eigen cluster. Deel geen hypervisor met IT of OT, anders omzeilt het beheernetwerk de zone.
6. Verhard en bewaak — minimale software, snelle patching, toegangsbeheer met MFA en logging van elke sessie voor forensisch onderzoek.
7. Beheer de regels — elke regel heeft een eigenaar en een reden; herzie ze periodiek via firewallregelbeheer.
8. Test het afkoppelen — oefen het scenario waarin u de IDMZ loskoppelt en controleer dat de productie doorloopt.

Typische waarden helpen bij het ontwerp. Een RDP-sessie via een Remote Desktop Gateway loopt over HTTPS op TCP-poort 443, zodat de IT-firewall maar één poort naar de gateway hoeft te openen. Historian-replicatie en log-forwarding kunnen meestal vanuit OT worden opgezet, zodat de OT-firewall geen inkomende verbindingen vanuit de IDMZ nodig heeft.

⚠️ Waar gaat het in de praktijk mis?

• Dual-homed servers — een historian met één netwerkkaart in IT en één in OT omzeilt de hele IDMZ
• Leveranciersmodems in de kast — een eigen VPN-router van een leverancier gaat buiten de jump server om; laat toegang op afstand altijd via de IDMZ lopen
• “Tijdelijke” regels — een regel die RDP direct van IT naar OT toestaat, blijft vaak jaren staan
• Gedeeld domein — NotPetya (2017) verspreidde zich met gestolen inloggegevens over gedeelde Windows-omgevingen en trof zo ook productielocaties
• Geen bewaking — de IDMZ wordt gebouwd en daarna niet meer bekeken, terwijl juist hier anomaliedetectie en laterale beweging zichtbaar worden

Het Colonial Pipeline-incident van mei 2021 laat zien waarom dit telt: ransomware trof alleen IT, maar omdat niet duidelijk was of OT bereikbaar was, werd de pijpleiding uit voorzorg stilgelegd. Een aantoonbaar gescheiden IDMZ maakt zo’n beslissing beter onderbouwd.

❓ Veelgestelde vragen

Waar staat IDMZ voor?

IDMZ staat voor Industrial Demilitarized Zone, ofwel industriële gedemilitariseerde zone. Het is een bufferzone tussen het IT-netwerk en het OT-netwerk waarin al het verkeer tussen beide eindigt. De term is vooral bekend geworden via de CPwE-architectuur van Cisco en Rockwell Automation.

Is een IDMZ verplicht?

Geen wet noemt de IDMZ letterlijk, maar IEC 62443-3-3 eist segmentatie en bescherming van zonegrenzen, en de Cyberbeveiligingswet vraagt passende netwerkbeveiliging. Een IDMZ is de gangbare manier om daar tussen IT en OT aan te voldoen. Auditors en toezichthouders vragen er daarom vaak naar.

Kan een IDMZ met één firewall?

Een IDMZ kan worden gebouwd met één firewall met drie poorten, wat goedkoper en eenvoudiger is. Twee firewalls, bij voorkeur van verschillende fabrikanten, geven echter twee onafhankelijke grenzen en laten IT en OT elk hun eigen grens beheren. Voor kritieke installaties is de opzet met twee firewalls daarom de norm.

Is een datadiode een alternatief voor een IDMZ?

Een datadiode maakt verkeer fysiek eenrichting en is sterker dan een IDMZ voor stromen die alleen van OT naar IT gaan, zoals procesdata. Voor patches, antivirusupdates en onderhoud op afstand is tweerichtingsverkeer nodig, en daarvoor blijft een IDMZ met firewalls nodig. Veel installaties combineren beide.

Past een IDMZ bij Zero Trust?

Een IDMZ en Zero Trust vullen elkaar aan. Zero Trust controleert elke gebruiker en elk apparaat, maar de meeste PLC’s en veldapparaten kunnen zelf niet sterk authenticeren of loggen. Een IDMZ blijft daarom de grens die zulke apparaten beschermt, terwijl Zero Trust-principes de toegang via de jump server aanscherpen.

Hoort cloudkoppeling via de IDMZ te lopen?

Een koppeling tussen OT en de cloud hoort via de IDMZ of een gelijkwaardige gecontroleerde zone te lopen, niet rechtstreeks vanuit een PLC of SCADA-server. Een edge-gateway of databroker in de IDMZ verzamelt de data en stuurt die uitgaand door. Zo blijft er geen inkomende verbinding van internet naar OT nodig.

📌 Samengevat

Een IDMZ is de bufferzone op Purdue-niveau 3,5 waarin al het verkeer tussen IT en OT eindigt, zodat productiesystemen nooit rechtstreeks bereikbaar zijn vanuit het kantoornetwerk. Met gespiegelde data, een jump server, gescheiden identiteit, strikte regels en voortdurende bewaking beschermt de IDMZ het fysieke proces, ondersteunt ze IEC 62443 en de Cyberbeveiligingswet en vormt ze de kern van segmentatie tussen IT en OT.