Insider Threat

Wat is een Insider Threat?

Een insider threat (interne dreiging) is het risico dat iemand die legitieme toegang heeft of had tot de mensen, locaties, systemen of gegevens van een organisatie, die toegang opzettelijk of onbewust gebruikt om schade aan te richten. Het gaat om huidige en voormalige medewerkers, maar ook om leveranciers, aannemers en servicetechnici. In OT-omgevingen is het risico extra groot, omdat insiders vaak rechtstreeks werken met PLC’s, SCADA, HMI’s en het Engineering Station, en daarmee een fysiek proces kunnen beïnvloeden.

Een insider hoeft geen firewall te omzeilen: hij staat er al achter. Daarom vraagt deze dreiging om andere maatregelen dan aanvallen van buitenaf.

🧠 Welke soorten insider threats zijn er?

Het Amerikaanse CISA onderscheidt vier hoofdtypen, waarbij de onbewuste insider nog wordt gesplitst in nalatig en per ongeluk. Die indeling is ook in Nederland bruikbaar, omdat zij verschillende maatregelen vraagt per type.

CISA noemt daarnaast vijf verschijningsvormen: geweld, spionage, sabotage, diefstal en cyber. In industriële omgevingen gaat het vooral om sabotage (installaties of code beschadigen), diefstal van intellectueel eigendom zoals recepturen en PLC-programma’s, en cyber-incidenten zoals het binnenbrengen van Malware.

Onbewuste insiders veroorzaken in de praktijk de meeste incidenten. Denk aan Phishing, hergebruikte wachtwoorden of een laptop die zowel op kantoor als in de fabriek wordt gebruikt. Kwaadwillende insiders zijn zeldzamer, maar hun schade is vaak groter, omdat zij precies weten waar het proces kwetsbaar is.

🏭 Hoe ziet een insider threat eruit in industriële netwerken?

Typische scenario’s in de fabriek, het waterbedrijf of de energiecentrale:

• Ongedocumenteerde wijziging - een engineer past PLC-code aan zonder change request, waardoor niemand de afwijking later herkent.
• Omzeilde beveiliging - een operator overbrugt Safety-interlocks via de HMI om een storing “even snel” op te lossen.
• Eigen software - een onderhoudsmonteur installeert een tool op het Engineering Station die niet is getest of goedgekeurd.
• Achtergebleven toegang - een ex-medewerker behoudt een account op de VPN of Jump Server.
• Te ruime rechten - een tijdelijke contractor krijgt beheerrechten op het hele SCADA-systeem in plaats van alleen op zijn eigen deel.

Twee bekende incidenten laten zien hoe dit afloopt. In Maroochy Shire (Australië) gebruikte Vitek Boden in 2000 zijn kennis als voormalig medewerker van de installateur van het rioolbeheersysteem. Nadat hij geen baan bij de gemeente kreeg, stuurde hij tussen februari en april minstens 46 keer radiocommando’s naar pompstations, waardoor honderdduizenden liters ongezuiverd rioolwater in parken en rivieren stroomden. Hij kreeg twee jaar cel. In Ellsworth, Kansas logde een oud-medewerker van het Post Rock Rural Water District in maart 2019, twee maanden na zijn vertrek, met een gedeeld wachtwoord via zijn telefoon in op het systeem voor beheer op afstand en schakelde hij zuiveringsprocessen uit. Hij bekende in 2021 schuld. Beide incidenten draaiden om toegang die na vertrek niet was ingetrokken.

In OT zijn insider threats vaak lastig te detecteren, omdat de handelingen er legitiem uitzien: een engineer die een PLC-programma laadt, doet niets ongewoons.

🔍 Wat is het verschil tussen een insider threat en een externe dreiging?

Het onderscheid vervaagt bij een collusieve insider of een gestolen account: een externe aanvaller met geldige inloggegevens gedraagt zich als insider. Daarom gaan Zero Trust en insider-maatregelen goed samen.

🔐 Welke maatregelen beperken insider threats?

Insider threats vragen om een combinatie van technische, organisatorische en menselijke maatregelen:

• Least Privilege - geef alleen de rechten die iemand voor zijn taak nodig heeft, en niet langer dan nodig.
• RBAC en functiescheiding - leg rechten vast per rol, zodat één persoon niet zowel een wijziging maakt als goedkeurt.
• PAM - beheer beheeraccounts centraal, met tijdelijke toegang en Session Recording voor sessies op kritieke systemen.
• MFA en 802.1X - sterke Authenticatie voor gebruikers en apparaten; geen gedeelde accounts op HMI’s en jump servers.
• Logging en Anomaliedetectie - verzamel inloggegevens, PLC-downloads en configuratiewijzigingen in een SIEM en let op afwijkingen.
• Group Policy en Hardening - blokkeer onnodige software en poorten, en gebruik USB Control voor verwisselbare media.
• Change Management - elke wijziging aan PLC-logica of SCADA-configuratie verloopt via een geregistreerd en goedgekeurd verzoek.
• Toegang voor derden - laat leveranciers alleen via een gecontroleerde Jump Server of Remote Access-oplossing werken, en beoordeel ze via Third Party Risk Management.
• Security Awareness - train OT-personeel in herkenning van phishing en in het melden van verdacht gedrag van collega’s.

🧭 Hoe pakt u een insider-threatprogramma stapsgewijs aan?

1. Breng kritieke functies en systemen in kaart. Welke rollen kunnen een proces stilleggen of een SIS beïnvloeden? Dit zijn de functies die extra aandacht verdienen.
2. Screen bij indiensttreding. In Nederland vraagt u een Verklaring Omtrent het Gedrag (VOG) aan via Justis; voor vertrouwensfuncties in vitale sectoren kan een veiligheidsonderzoek door de AIVD gelden.
3. Regel het volledige accountproces. Koppel HR aan het rechtenbeheer, zodat accounts bij functiewijziging worden aangepast en bij vertrek dezelfde dag worden ingetrokken, inclusief VPN, cloudportalen en lokale PLC-wachtwoorden.
4. Monitor gedrag in context. Signalen zijn toegang buiten werktijden, pogingen tot escalatie van rechten, configuratiewijzigingen zonder change request en verbindingen met onbekende apparaten. Combineer technische signalen met HR-signalen, zoals een conflict of aangekondigd vertrek.
5. Bereid de reactie voor. Neem insiderscenario’s op in uw Incident Response-plan, met afspraken tussen security, HR en juridische zaken over privacy en bewijsvoering.
6. Evalueer periodiek. Controleer minstens jaarlijks alle rechten en ongebruikte accounts.

De CERT-afdeling van Carnegie Mellon University bundelde de lessen uit honderden insiderzaken in de Common Sense Guide to Mitigating Insider Threats; de zevende editie uit september 2022 telt 22 best practices.

📜 Welke normen en wetten raken aan insider threats?

In de watersector en de energiesector speelt het onderwerp extra, omdat een insider daar directe gevolgen voor de volksgezondheid of leveringszekerheid kan veroorzaken.

❓ Veelgestelde vragen

Wat is een insider threat in eenvoudige woorden?

Een insider threat is het risico dat iemand met legitieme toegang, zoals een medewerker, ex-medewerker of leverancier, schade toebrengt aan de organisatie. Dat kan bewust gebeuren, bijvoorbeeld uit wraak, of onbewust, bijvoorbeeld door een besmette USB-stick.

Is een ex-medewerker ook een insider?

Ja, een ex-medewerker valt onder insider threats zolang hij kennis of toegang heeft die hij tijdens zijn dienstverband kreeg. Accounts, gedeelde wachtwoorden en remote-toegang die niet zijn ingetrokken, waren de oorzaak van bekende OT-incidenten zoals Maroochy Shire en Post Rock.

Waarom zijn insider threats in OT moeilijk te detecteren?

Insider threats in OT zijn moeilijk te detecteren omdat de handelingen technisch legitiem zijn: een engineer mag een PLC-programma laden en een operator mag setpoints wijzigen. Pas door context, zoals tijdstip, ontbrekend change request of ongebruikelijke systemen, wordt het afwijkend gedrag zichtbaar.

Zijn leveranciers en aannemers ook een insider threat?

Ja, leveranciers en aannemers met toegang tot systemen of locaties vallen onder de categorie derde-partij-insiders. Hun risico is vaak groter dan dat van eigen personeel, omdat zij soms permanente remote-toegang hebben en buiten de eigen HR-processen vallen.

Welke maatregel helpt het meest tegen insider threats?

Er is geen enkele maatregel die insider threats volledig voorkomt, maar strikt rechtenbeheer volgens least privilege, gecombineerd met het direct intrekken van toegang bij vertrek, voorkomt veel incidenten. Monitoring en change management zorgen ervoor dat de resterende gevallen sneller worden ontdekt.

Verplicht NIS2 maatregelen tegen insider threats?

NIS2 noemt insider threats niet letterlijk, maar artikel 21 eist wel personeelsbeveiliging, toegangsbeleid, assetbeheer, training en meerfactorauthenticatie. In Nederland zijn die eisen via de Cyberbeveiligingswet sinds 15 augustus 2026 van kracht.

📌 Samengevat

Een insider threat is het risico dat mensen met legitieme toegang, zoals medewerkers, ex-medewerkers of leveranciers, bewust of onbewust schade aanrichten aan industriële systemen. Met least privilege, functiescheiding, strak accountbeheer, monitoring en training beheerst u dit onderschatte risico, en voldoet u tegelijk aan NIS2 en de Cyberbeveiligingswet.