Remote Access

Wat is Remote Access?

Remote access (toegang op afstand) is de mogelijkheid voor gebruikers, leveranciers of systemen om vanaf een andere locatie verbinding te maken met een netwerk, apparaat of applicatie en daarop te werken alsof ze fysiek aanwezig zijn. In IT is dat dagelijkse kost voor thuiswerk en serverbeheer. In OT-omgevingen wordt remote access gebruikt voor beheer, onderhoud, Monitoring en support van PLC’s, SCADA-systemen en HMI’s, zonder dat iemand naar de installatie hoeft te reizen. Omdat een externe verbinding rechtstreeks kan uitkomen bij systemen die een fysiek proces besturen, is remote access tegelijk een van de meest misbruikte toegangswegen naar industriële netwerken.

🧠 Waarvoor wordt remote access in OT gebruikt?

Remote access maakt het mogelijk om:

• In te loggen op servers, pc’s of controllers - bijvoorbeeld een Engineering Station om PLC-logica aan te passen
• Storingen te verhelpen en configuraties aan te passen zonder reistijd
• Software-updates en patches uit te voeren op HMI’s, servers en MES-systemen
• Real-time gegevens te monitoren via SCADA, HMI’s of dashboards
• Remote support te bieden door leveranciers, systeemintegratoren of de eigen IT-afdeling

Typische gebruikers zijn de eigen storingsdienst buiten kantooruren, de machinefabrikant die diagnostiek uitvoert op installaties bij de klant, en onderhoudsbedrijven die verspreide locaties zoals gemalen en waterzuiveringen bewaken. Toegang door leveranciers voor onderhoud wordt verder uitgewerkt in Remote Maintenance.

🔧 Welke technologieën worden gebruikt voor remote access?

Het verschil zit vooral in de reikwijdte: een klassieke VPN plaatst een gebruiker in het netwerk, terwijl een Zero Trust-oplossing (ZTNA) alleen toegang geeft tot het ene systeem dat voor de taak nodig is.

🔐 Waarom is remote access zo’n groot risico voor OT?

Elke externe verbinding is een conduit tussen een niet-vertrouwd netwerk en de besturing van een fysiek proces. Incidenten laten steeds hetzelfde patroon zien:

• Oldsmar (februari 2021) - bij een waterzuivering in Florida werd via TeamViewer het setpoint voor natronloog verhoogd van 100 naar 11.100 ppm. Een operator draaide de wijziging direct terug. In 2023 verklaarde de voormalige stadsmanager dat de FBI geen gerichte inbraak kon bevestigen en dat waarschijnlijk een medewerker de oorzaak was. Het voorval laat vooral zien hoe weinig controle er was op wie via welke tool het proces kon bedienen.
• Colonial Pipeline (mei 2021) - aanvallers kwamen binnen via een ongebruikt maar nog actief VPN-account zonder MFA, waarvan het wachtwoord was uitgelekt. De DarkSide-ransomware trof de IT-omgeving, maar uit voorzorg werd de pijpleiding van 7 tot 12 mei stilgelegd.
• Aliquippa (november 2023) - een aan internet gekoppelde Unitronics-PLC met HMI bij een drinkwatergemaal werd door de aan Iran gelieerde groep CyberAv3ngers overgenomen via het standaardwachtwoord 1111.
• Internetgerichte VNC (2025) - CISA waarschuwde in december 2025 voor pro-Russische hacktivisten die HMI’s in water, energie en voedselproductie benaderden via onbeveiligde VNC-verbindingen en zwakke wachtwoorden.

De gemeenschappelijke oorzaken zijn direct aan internet gekoppelde systemen, gedeelde of standaardwachtwoorden, ontbrekende MFA, slapende accounts en remote-tools die buiten het zicht van de beheerder zijn geïnstalleerd.

🏗️ Hoe ziet een veilige remote-access-architectuur eruit?

Een veilige architectuur volgt het Purdue Model en het zones-en-conduits-model uit IEC 62443. Geen enkele externe verbinding komt rechtstreeks uit in het OT-netwerk:

1. Toegang eindigt in de IDMZ - de VPN- of ZTNA-verbinding komt uit in een industriële DMZ tussen IT en OT, afgeschermd door firewalls.
2. Via een jump server - vanaf daar werkt de gebruiker op een gehard tussenstation; alleen dat station mag via vastgelegde poorten met het doelsysteem praten.
3. Sterke authenticatie - persoonlijke accounts met MFA, bij voorkeur phishingbestendig; 2FA via sms geldt als minimum, niet als norm.
4. PAM en least privilege - wachtwoorden van beheeraccounts in een kluis, rechten per taak en per systeem.
5. Just-in-time-toegang met goedkeuring - accounts staan standaard uit; de operator of procesverantwoordelijke keurt een sessie goed voor een vast tijdvenster.
6. Sessie-opname en logging - elke sessie wordt vastgelegd en is achteraf terug te kijken; logs gaan naar een SIEM of OT SOC.
7. Automatische beëindiging - sessies sluiten na inactiviteit of aan het eind van het venster, en de operator kan een sessie altijd handmatig verbreken.

Gespecialiseerde Secure Remote Access-platforms bundelen deze functies in één product. Ze werken vaak met een uitgaande verbinding vanuit de OT-zone, zodat er geen inkomende poorten open hoeven.

📋 Wat eisen IEC 62443 en NIS2 van remote access?

Leveranciersbeveiliging is daarbij een terugkerend thema: NIS2 verlangt dat u de risico’s van leveranciers beheerst, en remote access door machinebouwers en integratoren is daarvan het meest concrete voorbeeld.

🛠️ Hoe richt u remote access stap voor stap in?

1. Inventariseer alle toegangswegen - zoek naar VPN’s, 4G-routers, remote-tools en modems van leveranciers. Vaak blijken er meer verbindingen te zijn dan bekend.
2. Sluit directe internetverbindingen af - geen RDP, VNC of PLC-poorten direct op internet, en verwijder standaardwachtwoorden.
3. Kies één centrale toegangsweg - via IDMZ en jump server of een SRA-platform, en verbied losse tools.
4. Leg een toegangsproces vast - wie vraagt aan, wie keurt goed, hoe lang duurt de sessie en wie kijkt mee bij kritieke wijzigingen.
5. Neem eisen op in contracten - persoonlijke accounts, MFA, meldplicht bij incidenten en naleving van IEC 62443-2-4.
6. Monitor en evalueer - controleer sessielogs, schakel slapende accounts uit en herzie de rechten periodiek.

Gangbare uitgangspunten in de praktijk (geen normwaarden): sessies van maximaal 4 tot 8 uur, een inactiviteitstime-out van 15 tot 30 minuten en een kwartaalreview van alle externe accounts.

❓ Veelgestelde vragen

Is een VPN voldoende voor remote access in OT?

Een VPN alleen is niet voldoende voor remote access in OT, omdat het een gebruiker toegang geeft tot een heel netwerk in plaats van tot één systeem. Een VPN hoort uit te komen in een IDMZ, gevolgd door een jump server met MFA, beperkte rechten en sessie-opname.

Wat is het verschil tussen remote access en remote maintenance?

Remote access is de algemene term voor elke verbinding op afstand met een netwerk of systeem. Remote maintenance is een specifieke toepassing daarvan, waarbij een leverancier of technicus op afstand onderhoud, updates of storingsanalyse uitvoert.

Mag een leverancier een eigen remote-access-box in mijn fabriek plaatsen?

Een eigen remote-access-box van een leverancier is toegestaan als die onder uw beheer valt: aangesloten via de IDMZ, met zichtbare sessies, goedkeuring per sessie en de mogelijkheid om de verbinding te verbreken. Een box die rechtstreeks via 4G of internet een eigen tunnel naar het OT-netwerk opent, omzeilt uw beveiliging en is een groot risico.

Wat is ZTNA en waarom past het bij OT?

ZTNA (Zero Trust Network Access) geeft een gebruiker na verificatie alleen toegang tot de specifieke applicatie of het systeem dat nodig is, nooit tot het hele netwerk. Voor OT is dat aantrekkelijk, omdat een gecompromitteerd account dan niet vrij door de productieomgeving kan bewegen.

Waarom is sessie-opname belangrijk bij remote access?

Sessie-opname legt vast wat een externe gebruiker tijdens een remote-access-sessie op het scherm heeft gedaan. Dat helpt bij het onderzoeken van storingen en incidenten, en het maakt leveranciers aantoonbaar verantwoordelijk voor hun handelingen.

Is remote access verplicht te beveiligen onder NIS2?

Artikel 21 van NIS2 noemt remote access niet letterlijk, maar verplicht tot toegangsbeleid, multifactorauthenticatie en beveiliging van de toeleveringsketen. Voor organisaties onder de Cyberbeveiligingswet betekent dat in de praktijk dat remote access naar OT met MFA, logging en leveranciersafspraken moet zijn beveiligd.

📌 Samengevat

Remote access laat medewerkers en leveranciers systemen op afstand beheren en monitoren, maar is in OT een van de meest misbruikte toegangswegen. Een veilige inrichting loopt via één centrale route door de IDMZ en een jump server, met MFA, just-in-time-goedkeuring, segmentatie en sessie-opname volgens IEC 62443 en NIS2.