PAM

Wat is PAM (Privileged Access Management)?

PAM (Privileged Access Management) is het geheel van beleid, processen en technologie waarmee een organisatie accounts met verhoogde rechten beheert, de toegang ermee beperkt en elk gebruik ervan vastlegt en controleert. Het gaat om accounts die systeem- of netwerkconfiguraties kunnen wijzigen, software kunnen installeren of industriële processen kunnen manipuleren: domeinbeheerders, lokale admin-accounts, serviceaccounts en de engineeringaccounts van leveranciers. In OT-omgevingen beschermt PAM vooral SCADA, PLC’s en engineering stations tegen misbruik en sabotage, omdat één bevoorrecht account daar direct invloed heeft op een fysiek proces.

🧠 Waarom is PAM belangrijk?

Aanvallers zoeken vrijwel altijd naar beheerrechten: wie een bevoorrecht account in handen heeft, kan beveiliging uitschakelen, logbestanden wissen en zich ongezien door het netwerk bewegen. In OT komen daar specifieke zwakke plekken bij die jarenlang zijn gegroeid.

Hoe dit uitpakt, liet de aanval op Colonial Pipeline in 2021 zien: aanvallers logden in via een niet meer gebruikt VPN-account met een uitgelekt wachtwoord en zonder MFA. PAM en goed identiteitsbeheer richten zich precies op dit soort accounts. PAM is daarmee een kernbouwsteen van Zero Trust en Defense in Depth en de technische handhaving van Least Privilege.

🔐 Wat doet een PAM-oplossing?

Een volwassen PAM-oplossing combineert meerdere functies die samen de levenscyclus van een bevoorrecht account afdekken:

Samen zorgen deze functies ervoor dat een beheerder niet langer een wachtwoord kent, maar per keer toegang krijgt, voor één taak, met een spoor dat achteraf te controleren is.

🏭 Hoe ziet PAM eruit in een OT-omgeving?

In de meeste industriële architecturen staat de PAM-oplossing, of het toegangsportaal ervan, in de IDMZ tussen kantoornetwerk en procesnetwerk. Alle beheer verloopt via die ene gecontroleerde route, meestal in combinatie met een jump server.

OT vraagt wel om aanpassingen ten opzichte van een IT-uitrol:

• Niet alles kan roteren - oudere HMI’s, PLC’s en serviceaccounts van SCADA-software hebben soms hard-coded wachtwoorden; automatische rotatie kan daar een proces stilleggen. Test eerst in een testomgeving en sluit zulke accounts uit of roteer ze handmatig in een stilstand.
• Veel apparaten kennen geen gebruikers - een PLC heeft vaak alleen een projectwachtwoord. PAM beschermt dan de route (het engineering station), niet het apparaat zelf.
• Beschikbaarheid gaat voor - valt de PAM-oplossing uit, dan moet een storingsdienst nog steeds kunnen ingrijpen. Leg daarom een noodprocedure vast, zoals de Red Envelope Procedure met verzegelde noodtoegangsgegevens.
• PAM is zelf een doelwit - wie de kluis bezit, bezit alles. In december 2024 misbruikten aanvallers een gestolen API-sleutel van de SaaS-dienst BeyondTrust Remote Support om onder meer werkstations van het Amerikaanse ministerie van Financiën te bereiken. Behandel het PAM-platform daarom als kroonjuweel: een geharde configuratie, tijdige patches en continue bewaking.

📏 Welke normen en wetten vragen om PAM?

PAM is zelden letterlijk voorgeschreven, maar de eisen eronder komen in vrijwel elk kader terug:

Sinds 15 augustus 2026 gelden de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit in Nederland. Voor essentiële en belangrijke entiteiten is aantoonbaar beheer van bevoorrechte toegang daarmee onderdeel van de zorgplicht, ook voor OT.

🧭 Hoe voert u PAM stapsgewijs in?

1. Inventariseer bevoorrechte accounts - domeinbeheerders, lokale admins op HMI’s en servers, serviceaccounts, gedeelde accounts en leveranciersaccounts. In OT levert dit vrijwel altijd verrassingen op.
2. Classificeer naar risico - begin bij de accounts die het meeste kunnen: domeinbeheer, engineering stations, Safety PLC’s en externe toegang.
3. Richt één toegangsroute in - PAM-portaal of jump server in de IDMZ, met MFA/2FA voor sterke authenticatie en een gescheiden identiteitsdomein voor OT.
4. Breng leveranciers onder - persoonlijke accounts in plaats van gedeelde, toegang per opdracht en verplichte sessie-opname; leg dit vast in contracten via leveranciersbeveiliging.
5. Zet rotatie gefaseerd aan - eerst IT-achtige systemen (Windows-servers, Active Directory), daarna OT-componenten na testen.
6. Koppel logging aan detectie - stuur sessie- en auditlogs naar het SIEM of OT-SOC en review periodiek wie welke rechten heeft.
7. Oefen de noodprocedure - test break-glass-toegang minstens jaarlijks, zodat die werkt als het PAM-systeem onbereikbaar is.

Gangbare keuzes in de praktijk zijn een sessieduur van enkele uren voor onderhoud, rotatie direct na elk gebruik voor de meest kritieke accounts en een halfjaarlijkse herbeoordeling van rechten. Dat zijn ontwerpkeuzes, geen normwaarden; leg ze vast in uw toegangsbeleid.

🔧 Welke PAM-oplossingen zijn bekend?

Daarnaast bieden diverse OT-securityleveranciers secure remote access-platformen die PAM-functies zoals goedkeuring, kluis en sessie-opname combineren met OT-specifieke protocollen.

❓ Veelgestelde vragen

Wat is het verschil tussen PAM en IAM?

IAM (Identity and Access Management) regelt de identiteit en de basistoegang van alle gebruikers in een organisatie. PAM is een gespecialiseerd onderdeel daarvan dat zich richt op de kleine groep accounts met verhoogde rechten, met extra maatregelen zoals een wachtwoordkluis, sessie-opname en just-in-time-toegang. Beide werken samen: IAM bepaalt wie iemand is, PAM bepaalt hoe die persoon beheerrechten gebruikt.

Is PAM verplicht onder NIS2 of de Cyberbeveiligingswet?

NIS2 en de Cyberbeveiligingswet noemen PAM niet bij naam, maar eisen wel toegangsbeleid en, waar gepast, multifactorauthenticatie. Het Cyberbeveiligingsbesluit werkt dat toegangsbeleid uit in artikel 15. Voor bevoorrechte accounts in OT is PAM in de praktijk een gangbare manier om aan te tonen dat u daaraan voldoet.

Kan PAM ook PLC’s beschermen die geen gebruikersbeheer hebben?

Ja, maar indirect. Veel PLC’s kennen alleen een projectwachtwoord, dus PAM beschermt de route ernaartoe: het engineering station of de jump server waarop de programmeersoftware draait. Gecombineerd met netwerksegmentatie zorgt dat ervoor dat een PLC alleen via die gecontroleerde, opgenomen sessie te benaderen is.

Wat is just-in-time-toegang?

Just-in-time-toegang betekent dat een gebruiker beheerrechten alleen krijgt voor een afgebakende periode en een specifieke taak, en dat die rechten daarna automatisch vervallen. Er bestaan dan geen permanente beheerrechten die een aanvaller kan stelen. In OT wordt just-in-time-toegang vaak gekoppeld aan een goedgekeurde onderhoudsopdracht.

Wat gebeurt er als het PAM-systeem uitvalt?

Als het PAM-systeem uitvalt, moet een organisatie toch kunnen ingrijpen in het proces. Daarom leggen organisaties een break-glass- of Red Envelope-procedure vast met verzegelde noodtoegangsgegevens die na gebruik direct worden vervangen. Een hoog beschikbare opstelling van het PAM-platform verkleint de kans dat die procedure nodig is.

Hoe pakt PAM toegang van leveranciers aan?

PAM geeft elke leverancierstechnicus een persoonlijk account, alleen toegang tot de systemen van de opdracht en alleen gedurende een goedgekeurd tijdvenster. De technicus ziet geen wachtwoorden, de sessie wordt opgenomen en de toegang vervalt na afloop. Zo vervangt PAM de vaste VPN-verbindingen en gedeelde accounts die leveranciers vroeger gebruikten.

📌 Samengevat

PAM (Privileged Access Management) zorgt dat beheerrechten in IT en OT niet meer permanent en anoniem bestaan, maar per taak, tijdelijk, goedgekeurd en volledig vastgelegd worden toegekend. Met een wachtwoordkluis, sessie-opname, just-in-time-toegang en één gecontroleerde route via de IDMZ beschermt PAM SCADA, PLC’s en engineering stations in kritieke infrastructuur, en helpt het u aantonen dat u voldoet aan IEC 62443, NIS2 en de Cyberbeveiligingswet.