Wat is de Red Envelope Procedure?
De Red Envelope-procedure is een vastgelegde noodtoegangsprocedure waarbij beheerderswachtwoorden, herstelcodes en andere kritieke toegangsgegevens verzegeld en offline worden bewaard, zodat ze alleen bij een ernstig incident, onder toezicht en met verplichte vernieuwing achteraf, gebruikt kunnen worden. De “rode envelop” is letterlijk een fysieke, verzegelde envelop in een kluis of een digitaal equivalent daarvan. In OT-omgevingen is de procedure een onderdeel van Contingency Planning: ze zorgt dat een organisatie haar PLC’s, SCADA-servers en netwerkapparatuur kan blijven bedienen als de normale toegang wegvalt, bijvoorbeeld door Ransomware, een uitgevallen domeincontroller of sabotage.
De term is geen norm of wettelijk begrip, maar een huisnaam voor een specifieke vorm van break-glass-toegang: de noodvariant die niet afhankelijk is van het netwerk, de directory of het wachtwoordbeheersysteem dat juist tijdens de crisis onbereikbaar kan zijn.
🧠 Hoe werkt de Red Envelope-procedure?
De procedure doorloopt een vaste levenscyclus. Elke fase heeft een eigen eigenaar en een eigen bewijslast voor de audit.
| Fase | Wat gebeurt er? | Bewijs |
|---|---|---|
| 1. Aanmaken | Noodaccounts en herstelcodes worden aangemaakt, met lange unieke wachtwoorden die niemand onthoudt | Inventarislijst per systeem |
| 2. Verzegelen | Gegevens gaan in een fraudebestendige (tamper-evident) envelop of zak met volgnummer, in een kluis | Register met zegelnummer, datum en twee handtekeningen |
| 3. Bewaren | Twee sets op gescheiden locaties, bijvoorbeeld controlekamer en hoofdkantoor | Sleutel- of combinatiebeheer van de kluis |
| 4. Openen | Alleen bij een vooraf gedefinieerde trigger en met toestemming van ten minste twee personen | Incidentnummer, tijdstip, namen |
| 5. Gebruiken | Alleen de handelingen die nodig zijn om de normale toegang te herstellen | Logging op het systeem en een handgeschreven logboek |
| 6. Vernieuwen | Alle gebruikte gegevens worden direct gewijzigd en opnieuw verzegeld | Nieuw zegelnummer, evaluatieverslag |
Het principe is eenvoudig: een gesloten zegel bewijst dat niemand de gegevens heeft gezien. Een verbroken zegel zonder incidentnummer is daarom zelf een beveiligingsincident.
🎯 Waarom is noodtoegang in OT anders dan in IT?
In de kantoor-IT is noodtoegang vaak een cloud- of directoryaccount dat buiten de normale toegangsregels valt. In OT spelen andere factoren:
- Beschikbaarheid gaat voor - een installatie die stilstaat of onbestuurbaar wordt, kan veiligheids- en milieurisico’s geven. Wachten tot een leverancier toegang herstelt is niet altijd mogelijk.
- Veel lokale accounts - PLC’s, HMI’s, switches en een Engineering Station hebben vaak eigen lokale wachtwoorden of projectwachtwoorden die niet aan Active Directory gekoppeld zijn.
- Afhankelijkheden vallen tegelijk om - als ransomware de domeincontroller en het wachtwoordkluissysteem versleutelt, is ook de digitale noodtoegang weg. Een papieren envelop in een kluis heeft geen stroom, netwerk of licentieserver nodig.
- Geen automatische vervaldatum - veel veldapparaten ondersteunen geen tijdelijke of noodaccounts. De OT-toelichting bij control AC-2(2) van NIST SP 800-53 (uit de OT-overlay van NIST SP 800-82 Rev. 3) stelt dat de eis tot automatisch uitschakelen dan niet van toepassing is, en noemt niet-geautomatiseerde procedures als compenserende maatregel.
Daarom komt de procedure vooral voor in sectoren met hoge beschikbaarheids- en Compliance-eisen, zoals energie, chemie, water en farmacie.
🔄 Wat is het verschil met break-glass en een password vault?
De Red Envelope is geen alternatief voor goed wachtwoordbeheer, maar het vangnet eronder.
| Methode | Kern | Werkt bij uitval van netwerk of directory? | Typisch gebruik |
|---|---|---|---|
| Red Envelope | Verzegelde, offline bewaarde noodgegevens, openen met twee personen | Ja | Laatste redmiddel bij totale lock-out |
| Break-glass-account | Speciaal noodaccount buiten de normale toegangsregels, met alarmering bij elk gebruik | Alleen als het account lokaal of onafhankelijk is | Uitval van MFA of identity provider |
| Wachtwoordkluis / PAM | Digitale kluis met check-out, sessieopname en rotatie | Nee, afhankelijk van eigen infrastructuur | Dagelijks beheer van beheerdersaccounts |
In de praktijk combineert u ze: dagelijks werk loopt via PAM, de PAM-beheeraccounts en de lokale noodaccounts liggen in de rode envelop. Zo heeft ook het PAM-platform zelf een herstelroute.
🏭 Welke systemen en gegevens horen in de envelop?
Neem alleen op wat nodig is om de besturing terug te krijgen. Elke extra regel is extra risico.
| Systeem | Typische inhoud | Aandachtspunt |
|---|---|---|
| PLC en SIS | Projectwachtwoord, CPU-beveiligingswachtwoord | Wijzigen vraagt vaak een download; plan dit met de procesverantwoordelijke |
| SCADA-, DCS- en HMI-servers | Lokaal beheerdersaccount, BIOS- en schijfversleutelingscodes | Ook herstelsleutels van schijfversleuteling horen hierbij |
| Firewalls en switches | Lokaal admin-account, console-wachtwoord | Zonder netwerk is consoletoegang de enige route |
| Domein en PAM | Herstelaccount van Active Directory, beheeraccount van de wachtwoordkluis | Moet onafhankelijk zijn van de federatie of de directory zelf |
| Back-upomgeving | Toegang tot onveranderbare back-ups | Essentieel voor Disaster Recovery na ransomware |
Leverancierstoegang voor onderhoud op afstand hoort er in principe niet in. Regel tijdelijke toegang voor leveranciers via een apart, gelogd proces, in lijn met Supplier Security.
🔧 Hoe richt u een Red Envelope-procedure in?
Een werkbare aanpak in zes stappen:
- Bepaal de triggers - leg vast wanneer openen is toegestaan: lock-out van kritieke systemen, uitval van directory of PAM, een ransomware-incident of een opdracht in het Incident Response Plan. Een vergeten wachtwoord op een dinsdagmiddag is geen trigger.
- Wijs rollen toe - wie mag openen (bijvoorbeeld de dienstdoende ploegleider plus de OT-securityverantwoordelijke), wie moet direct geïnformeerd worden en wie de evaluatie leidt.
- Kies opslag en redundantie - minimaal twee sets op gescheiden locaties, in brandwerende kluizen. Microsoft adviseert voor noodaccounts in Entra ID hetzelfde: minimaal twee accounts, niet gekoppeld aan één persoon, gegevens in brandwerende kluizen op aparte locaties.
- Maak gebruik zichtbaar - zet Security Monitoring en alarmering op elke aanmelding met een noodaccount. Een melding zonder lopend incident is een signaal van misbruik.
- Test regelmatig - controleer minimaal elke 90 dagen of de accounts nog werken en de lijst met bevoegden klopt, en oefen de volledige procedure minstens jaarlijks tijdens een crisisoefening. Vervang de kluiscombinatie als iemand met toegang vertrekt.
- Vernieuw na elk gebruik - wijzig alle gebruikte wachtwoorden, verzegel opnieuw met een nieuw zegelnummer en voer een evaluatie uit, gekoppeld aan Change Management.
Typische waarden in de praktijk: wachtwoorden van 20 tekens of meer, twee personen voor openen, een eigen register per envelop en herziening bij elke personeels- of systeemwijziging.
🔐 Welke risico’s en beheersmaatregelen horen erbij?
Een slecht beheerde envelop is een sluiproute in plaats van een vangnet.
- Verouderde gegevens - een systeem wordt vervangen of een wachtwoord gewijzigd, maar de envelop niet. Koppel elke wijziging aan Change Management en test periodiek.
- Onopgemerkt openen - gebruik genummerde, fraudebestendige zegels en controleer ze bij elke inspectie.
- Te ruime rechten - combineer met Least Privilege en Access Control: een noodaccount krijgt alleen de rechten die nodig zijn voor herstel, niet automatisch domeinbrede rechten.
- Gedeelde accounts zonder herleidbaarheid - vastleggen wie de envelop opende en wat er gebeurde, is nodig voor forensisch onderzoek en Compliance.
- Afhankelijkheid van dezelfde infrastructuur - een “digitale envelop” in een kluis die op hetzelfde netwerk draait, is tijdens ransomware ook onbereikbaar.
📜 Welke normen en wetten vragen om noodtoegang?
Geen norm schrijft de naam “Red Envelope” voor, maar veel kaders eisen wel geregelde noodtoegang:
| Kader | Relevante eis |
|---|---|
| NIS2 artikel 21 | Bedrijfscontinuïteit, back-upbeheer, disaster recovery en crisisbeheer, plus beleid voor toegangsbeheer |
| Cyberbeveiligingswet | Nederlandse invulling van NIS2, sinds 15 augustus 2026 van kracht |
| ISO 27001:2022 | Beheersmaatregelen voor geprivilegieerde toegangsrechten (8.2), authenticatie-informatie (5.17) en logging (8.15) |
| IEC 62443 / IEC 62443-2-1 | Beveiligingsprogramma voor OT-eigenaren, met het uitgangspunt dat beveiliging essentiële procesfuncties niet mag blokkeren |
| NIST SP 800-53 AC-2(2) | Tijdelijke en noodaccounts automatisch uitschakelen of verwijderen na een vastgestelde periode |
| NIST SP 800-82 Rev. 3 | OT-overlay op de SP 800-53-controls: staat procedurele compenserende maatregelen toe waar veldapparatuur geen noodaccounts ondersteunt |
❓ Veelgestelde vragen
Is een Red Envelope-procedure hetzelfde als break-glass-toegang?
Een Red Envelope-procedure is een specifieke vorm van break-glass-toegang. Break-glass is de verzamelnaam voor elke vastgelegde noodtoegang, terwijl de rode envelop de offline, fysiek verzegelde variant is die ook werkt als netwerk, directory en wachtwoordkluis uitgevallen zijn.
Mag een noodwachtwoord op papier worden bewaard?
Ja, een noodwachtwoord op papier is toegestaan als het in een genummerde, fraudebestendige envelop in een afgesloten kluis ligt en het openen wordt geregistreerd. Papier heeft juist als voordeel dat het geen netwerk, stroom of licentieserver nodig heeft tijdens een cyberincident.
Hoe vaak moet u de Red Envelope-procedure testen?
Controleer de noodaccounts uit de Red Envelope-procedure minimaal elke 90 dagen en na elke personeels- of systeemwijziging. Oefen de volledige procedure, inclusief openen, gebruiken en opnieuw verzegelen, minstens één keer per jaar tijdens een crisisoefening.
Wat moet er gebeuren nadat de envelop is geopend?
Na het openen van de envelop worden alle gebruikte wachtwoorden direct gewijzigd, opnieuw verzegeld onder een nieuw zegelnummer en vastgelegd in het register. Daarnaast volgt een evaluatie die vaststelt of het gebruik terecht was en welke handelingen met het noodaccount zijn uitgevoerd.
Wie mag de rode envelop openen?
De rode envelop mag alleen worden geopend door vooraf aangewezen functionarissen, bij voorkeur met twee personen tegelijk, zoals een ploegleider en de OT-securityverantwoordelijke. Het vier-ogenprincipe voorkomt dat één persoon onopgemerkt volledige beheerrechten krijgt.
Vervangt een PAM-oplossing de Red Envelope-procedure?
Nee, een PAM-oplossing vervangt de Red Envelope-procedure niet, omdat het PAM-systeem zelf ook kan uitvallen of versleuteld raken. De beheeraccounts van het PAM-platform horen daarom juist in de rode envelop, zodat u ook het vangnet kunt herstellen.
📌 Samengevat
De Red Envelope-procedure is een vastgelegde, offline noodtoegang tot kritieke OT-systemen: verzegeld bewaard, alleen te openen met twee personen bij een gedefinieerd incident en na elk gebruik direct vernieuwd. Zo blijft een installatie herstelbaar als de normale toegang wegvalt, zonder dat de noodgegevens een permanente sluiproute worden.
- Bewaar minimaal twee sets op gescheiden locaties, onafhankelijk van netwerk, directory en wachtwoordkluis
- Neem alleen gegevens op die nodig zijn om de besturing te herstellen, met minimale rechten
- Test elke 90 dagen, oefen jaarlijks en vernieuw na elk gebruik
- Veranker de procedure in het Incident Response Plan, Disaster Recovery en Business Continuity