OSO

Wat is een Operational Security Officer (OSO)?

Een Operational Security Officer (OSO) is de functionaris die binnen een organisatie met industriële automatisering de dagelijkse uitvoering van cybersecuritymaatregelen in de OT-omgeving verzorgt: hij past beveiligingsbeleid toe op PLC’s, SCADA, DCS-systemen en het industriële netwerk, bewaakt de beveiligingsstatus en grijpt in bij afwijkingen. De OSO is het operationele sluitstuk van een drieslag: de CISO bepaalt de strategie, de Information Security Officer vertaalt die naar beleid en risicoanalyses, en de OSO zorgt dat de maatregelen in de fabriek ook echt werken. In vacatures heet dezelfde rol vaak OT Security Officer; geen enkele norm schrijft de functietitel voor.

De OSO slaat de brug tussen beleid en praktijk, en werkt nauw samen met IT, productie, engineering, onderhoud en securityteams.

🧠 Wat doet een Operational Security Officer?

De taken van een OSO vallen in vijf clusters. Samen zorgen ze dat beveiliging in de OT-omgeving geen papieren werkelijkheid blijft.

1. Technische maatregelen beheren - configureert en onderhoudt beveiligingsmaatregelen of laat dit doen, zoals firewalls, industriële switches, netwerksegmentatie, toegangsbeheer en patchmanagement.
2. Monitoring en detectie - houdt toezicht op de beveiligingsstatus met SIEM, anomaliedetectie en security monitoring, beoordeelt meldingen en analyseert logbestanden.
3. Incidenten ondersteunen - speelt een actieve rol in het Incident Response Plan, werkt samen met het CSIRT of SOC bij OT-incidenten en draagt bij aan forensisch onderzoek en root-cause-analyse.
4. Wijzigingen en assets bewaken - beoordeelt de beveiligingsimpact van systeemwijzigingen via management of change (MOC), en houdt de asset-inventaris en bekende kwetsbaarheden bij als onderdeel van assetmanagement.
5. Afstemmen en rapporteren - ondersteunt de ISO en CISO met cijfers en signalen uit de praktijk, en schakelt met productie, onderhoud en IT over geplande ingrepen.

Het verschil met een IT-securityfunctie zit in de prioriteit. In OT gaan veiligheid en beschikbaarheid van het proces vóór vertrouwelijkheid. Een OSO weet dat patchen vaak pas tijdens een geplande stop kan, dat een actieve scan een oudere besturing kan laten vastlopen en dat elke wijziging via de MOC-procedure loopt.

🔄 Hoe verhoudt de OSO zich tot andere securityrollen?

Organisaties beleggen informatiebeveiliging meestal op drie niveaus. De OSO zit op het operationele niveau, het dichtst bij de installatie.

In kleinere organisaties vallen de OSO en de OT Security Engineer vaak samen in één persoon. In grotere organisaties stuurt de OSO de maatregelen aan en voert een engineer of leverancier ze uit. De precieze afbakening verschilt per werkgever, dus leg haar vast in een functieprofiel of RACI-matrix.

🏭 Welke activiteiten voert een OSO uit in industriële netwerken?

🔐 Welke kennis en vaardigheden heeft een OSO nodig?

• Industriële protocollen - Modbus, OPC UA, S7 en IP, inclusief hun zwakke plekken: veel oudere protocollen kennen geen authenticatie.
• Netwerken - VLAN’s, routing, firewallregels en de opbouw van een industrieel netwerk.
• Tooling - Wireshark voor verkeersanalyse, een OT-IDS voor passieve monitoring, kwetsbaarheidsscanners (in OT alleen met grote voorzichtigheid inzetten) en firewallbeheerplatforms.
• Normen en wetgeving - de IEC 62443-reeks, ISO 27001 op hoofdlijnen, NIS2 en de Cyberbeveiligingswet.
• Procesbegrip - weten hoe een installatie draait en wat u niet mag aanraken, zoals het veiligheidssysteem.
• Communicatie - risico’s uitleggen in procestermen aan operators, onderhoud en management.

Scripting en automatisering zijn een pré. Certificeringen als GICSP van GIAC of het ISA/IEC 62443-certificaatprogramma maken kennis aantoonbaar; een overzicht staat in OT-securitycertificeringen.

⚖️ Is een OSO verplicht onder IEC 62443 of de Cyberbeveiligingswet?

Nee, geen wet of norm eist een functie met de naam OSO. Wel moeten verantwoordelijkheden aantoonbaar zijn belegd, en de dagelijkse uitvoering in OT is precies het gat dat de OSO vult.

🛠️ Hoe richt u de OSO-rol praktisch in?

1. Beschrijf het mandaat - leg vast welke systemen onder de OSO vallen, welke beslissingen hij zelf mag nemen (zoals een verdacht apparaat isoleren) en wanneer hij moet escaleren.
2. Koppel de rol aan het informatiebeveiligingsbeleid - zodat het beleid van ISO en CISO een vaste uitvoerder in de fabriek heeft.
3. Geef toegang tot de juiste informatie - de asset-inventaris, netwerktekeningen, firewallregels, IDS-meldingen en de wijzigingskalender.
4. Stel een werkritme vast - bijvoorbeeld dagelijks meldingen beoordelen, wekelijks wijzigingen afstemmen met productie, maandelijks kwetsbaarheden en patches prioriteren en per kwartaal firewallregels en toegangsrechten herzien.
5. Oefen incidenten - neem de OSO op in tabletop-oefeningen samen met productie, IT en het SOC.
6. Meet en rapporteer - rapporteer aan ISO of CISO over kengetallen zoals de dekking van de asset-inventaris, het aantal openstaande kritieke kwetsbaarheden en de doorlooptijd van incidenten.

Een voorbeeld: een waterschap met tientallen gemalen en zuiveringen benoemt een OT Security Officer die rapporteert aan de CISO. Hij beoordeelt elke wijziging aan het SCADA-netwerk, houdt de inventaris van PLC’s en remote-accessverbindingen van leveranciers bij en is het eerste aanspreekpunt voor het CSIRT bij een verdachte melding.

❓ Veelgestelde vragen

Wat is het verschil tussen een OSO en een ISO?

Een Information Security Officer (ISO) werkt op tactisch niveau: hij vertaalt beleid naar risicoanalyses, maatregelen en controles. Een Operational Security Officer (OSO) werkt op operationeel niveau en zorgt dat die maatregelen in de OT-omgeving daadwerkelijk worden toegepast en bewaakt.

Is een Operational Security Officer hetzelfde als een OT Security Officer?

In de praktijk wel: beide titels beschrijven de functionaris die de dagelijkse OT-beveiliging uitvoert en bewaakt. Nederlandse vacatures, bijvoorbeeld bij waterschappen en energiebedrijven, gebruiken vaak de titel OT Security Officer.

Wat is het verschil tussen een OSO en een OT Security Engineer?

Een OSO is verantwoordelijk voor de uitvoering en het toezicht, inclusief afstemming, rapportage en incidentopvolging. Een OT Security Engineer ontwerpt en bouwt de technische maatregelen zelf. In kleine organisaties combineert één persoon beide rollen.

Aan wie rapporteert een Operational Security Officer?

Een OSO rapporteert meestal aan de ISO of de CISO, en soms aan het hoofd techniek of de vestigingsmanager. Belangrijk is dat de OSO ook een lijn naar de securityorganisatie heeft, zodat OT-risico’s in de totale risicorapportage terechtkomen.

Welke achtergrond heeft een OSO meestal?

Een OSO heeft vaak een hbo-achtergrond in informatica, elektrotechniek of procesautomatisering, aangevuld met kennis van netwerken en securitynormen zoals IEC 62443. Ervaring met SCADA en PLC’s weegt zwaar, omdat de OSO het vertrouwen van operators en onderhoud moet winnen.

Heeft elke organisatie een OSO nodig?

Niet als aparte functie, maar elke organisatie met een OT-omgeving heeft iemand nodig die de dagelijkse beveiliging uitvoert en bewaakt. Voor organisaties onder de Cyberbeveiligingswet is het aantoonbaar beleggen van die taak extra belangrijk.

📌 Samengevat

De Operational Security Officer is de operationele OT-securityrol die zorgt dat beveiligingsbeleid in de fabriek daadwerkelijk wordt toegepast, bewaakt en verbeterd. De OSO werkt dicht bij de productie, beheert maatregelen als segmentatie, patching en monitoring, en vormt samen met de ISO en de CISO de ruggengraat van de cyberweerbaarheid van industriële netwerken.