Wat is security?
Security (beveiliging) is het geheel van organisatorische, fysieke en technische maatregelen dat mensen, assets, informatie en processen beschermt tegen opzettelijke dreigingen zoals inbraak, sabotage, diefstal, malware en hacking. In de context van IT en OT gaat het vooral om cybersecurity: het beschermen van netwerken, besturingssystemen en data tegen digitale aanvallen. Security is daarmee iets anders dan safety (veiligheid), dat mens, machine en milieu beschermt tegen onbedoelde gevaren zoals storingen en menselijke fouten. In een fabriek of nutsbedrijf zijn beide onlosmakelijk verbonden: een geslaagde aanval op een besturing kan direct een veiligheidsincident worden.
🔄 Wat is het verschil tussen security en safety?
Net als het Engels kent het Nederlands twee woorden: beveiliging is security, veiligheid is meestal safety. Toch wordt “veiligheid” in het dagelijks spraakgebruik ook voor beveiliging gebruikt, wat in projecten regelmatig tot misverstanden leidt.
| Aspect | Security (beveiliging) | Safety (veiligheid) |
|---|---|---|
| Beschermt tegen | Opzettelijke dreigingen: aanvallers, sabotage, criminelen | Onbedoelde gevaren: storingen, slijtage, menselijke fouten |
| Kernvraag | Kan iemand het systeem misbruiken? | Kan het systeem iemand schade doen? |
| Typische normen | IEC 62443, ISO 27001, NIS2 | IEC 61508, IEC 61511, NEN-EN-ISO 13849 |
| Risicoanalyse | Cybersecurity Risk Assessment, dreigingsanalyse | HAZOP, LOPA, risicobeoordeling machines |
| Dreiging verandert | Ja, aanvallers passen zich aan | Nauwelijks; fysica en faalkansen zijn grotendeels stabiel |
| Maat voor sterkte | Security Level (SL 1–4) | SIL (1–4) |
Het klassieke onderscheid “onbedoeld versus opzettelijk” is inmiddels te zwart-wit. Sinds editie 2 van IEC 61511 (2016) moet voor elk veiligheidssysteem een security-risicobeoordeling worden uitgevoerd, en de Machineverordening (EU) 2023/1230 eist vanaf 20 januari 2027 dat besturingen bestand zijn tegen redelijkerwijs voorzienbare kwaadwillige pogingen die tot een gevaarlijke situatie leiden. Security is daarmee een voorwaarde voor safety geworden.
🧱 Welke vormen van security zijn er?
- Fysieke beveiliging - hekken, toegangspassen, camerabewaking en afgesloten kasten en serverruimtes. Wie fysiek bij een PLC of switch kan, omzeilt veel digitale maatregelen.
- Informatiebeveiliging - de bescherming van informatie in elke vorm, op papier of digitaal, georganiseerd via een ISMS volgens ISO 27001 en ISO 27002.
- Cybersecurity - de bescherming van netwerken en systemen tegen digitale aanvallen, in de industrie uitgewerkt in IEC 62443.
- Personele beveiliging - screening, security awareness en bescherming tegen social engineering en phishing.
ISO 27001:2022 weerspiegelt deze indeling: de 93 maatregelen in Annex A zijn verdeeld over vier thema’s, namelijk organisatorisch (37), mensen (8), fysiek (14) en technologisch (34).
🎯 Wat zijn de doelen van security: CIA of AIC?
De begrippennorm ISO/IEC 27000, de basis onder ISO 27001, definieert informatiebeveiliging als het behoud van vertrouwelijkheid, integriteit en beschikbaarheid (confidentiality, integrity, availability, de CIA-driehoek). In OT draait de volgorde om, daarom spreekt men daar vaak van AIC.
| Prioriteit | Kantoor-IT | OT / industriële automatisering |
|---|---|---|
| 1 | Vertrouwelijkheid (datalekken voorkomen) | Safety van mens en milieu |
| 2 | Integriteit | Beschikbaarheid: het proces draait 24/7 |
| 3 | Beschikbaarheid | Integriteit van stuurdata en meetwaarden |
| 4 | - | Vertrouwelijkheid (recepturen, procesdata) |
In OT gaat het dus om continuïteit van productie, integriteit van setpoints en meetwaarden, en het voorkomen van schade aan mens, milieu, reputatie en economie. Een gemanipuleerde meetwaarde is in een chemische fabriek gevaarlijker dan een gelekt document.
⚠️ Welke dreigingen zijn typisch voor OT?
| Dreiging | Voorbeeld in OT |
|---|---|
| Ransomware | Stilleggen van productie door versleuteling van HMI/SCADA-systemen |
| Supply Chain-risico | Manipulatie van firmware of software via leveranciers |
| Remote Access-misbruik | Ongeautoriseerde toegang tot een PLC via onbeschermde verbindingen |
| Man-In-The-Middle | Aanvallen op communicatie tussen SCADA en veldapparatuur |
| Phishing | Social engineering gericht op engineers of operators |
| Replay Attack | Herhaling van geldige commando’s om machines opnieuw aan te sturen |
| Rogue Device | Ongeautoriseerd apparaat geplaatst in een netwerksegment |
Twee incidenten maakten de samenhang tussen security en safety zichtbaar. Stuxnet (ontdekt in 2010) manipuleerde PLC’s om centrifuges te beschadigen terwijl operators normale waarden zagen. TRITON (2017) richtte zich op een Triconex-veiligheidssysteem in een Saoedische petrochemische fabriek, de eerste bekende malware die specifiek een SIS aanviel; de aanval werd ontdekt doordat het systeem de installatie veilig uitschakelde.
🔐 Welke principes vormen de basis van security?
| Principe | Betekenis |
|---|---|
| Defense in Depth | Meerdere onafhankelijke lagen (fysiek, netwerk, systeem, applicatie, organisatie) |
| Least Privilege | Alleen de toegang geven die strikt noodzakelijk is |
| Zero Trust | Geen impliciet vertrouwen op basis van netwerklocatie; elke toegang verifiëren (NIST SP 800-207, 2020) |
| Security by Design | Beveiliging vanaf het ontwerp meenemen in plaats van achteraf toevoegen |
| Segregation of Duties | Functiescheiding tussen rollen en bevoegdheden |
| Asset visibility | Weten wat er draait via Asset Inventory en Asset Discovery |
| Logging en monitoring | Afwijkingen, incidenten en pogingen vastleggen en analyseren |
| Response en herstel | Voorbereide incident response-procedures en back-ups |
IEC 62443 vertaalt deze principes naar zeven fundamentele eisen: identificatie en authenticatie, gebruikscontrole, systeemintegriteit, vertrouwelijkheid van data, beperkte datastromen, tijdige reactie op gebeurtenissen en beschikbaarheid van middelen. Per eis bepaalt het Security Level hoe zwaar de maatregelen zijn, van SL 1 (toevallig of onbedoeld misbruik) tot SL 4 (aanvallers met uitgebreide middelen en OT-specifieke kennis).
🔧 Welke beveiligingsmaatregelen worden in OT toegepast?
| Categorie | Maatregel of techniek |
|---|---|
| Netwerkbeveiliging | Firewall, NAC, 802.1X, Port Security, VLAN, netwerksegmentatie |
| Endpointbeveiliging | Whitelisting, Antivirus, EDR, patchmanagement |
| Authenticatie en toegang | MFA, RBAC, Access Control, Jump Server |
| Detectie en logging | SIEM, anomaliedetectie, IDS/IPS, Syslog |
| Beheer en governance | Security Awareness, ISMS, Risk Management, Backup |
| Normen en wetgeving | IEC 62443, NIS2, ISO 27001, Cyber Resilience Act |
🛠️ Hoe verschilt OT-security van IT-security?
| Aspect | IT-security | OT-security |
|---|---|---|
| Prioriteit | Vertrouwelijkheid en integriteit | Safety en beschikbaarheid |
| Systeemeigenschappen | Dynamisch, vaak gepatcht | Legacy, 24/7, levensduur 15–25 jaar |
| Dreigingsgevolg | Datalek, fraude | Procesverstoring, sabotage, fysieke schade |
| Wijzigingsbeleid | Agile, CI/CD | Via MOC of gepland onderhoud |
| Patchen | Maandelijks, geautomatiseerd | Na leveranciersvrijgave en in een stilstand |
De verschillen tussen IT en OT verklaren waarom IT-maatregelen niet één-op-één naar de fabrieksvloer kunnen. Een actieve netwerkscan of een automatische herstart na een update kan een besturing laten vastlopen. Bij OT-convergentie moeten beide werelden daarom één gezamenlijk beveiligingsbeleid hanteren met OT-specifieke uitzonderingen.
🏛️ Wie is verantwoordelijk voor security?
Security is geen taak van de IT-afdeling alleen. NIS2 (artikel 20) en de Nederlandse Cyberbeveiligingswet, die op 15 augustus 2026 in werking trad, leggen de eindverantwoordelijkheid bij het bestuur: de directie moet de maatregelen goedkeuren, op de uitvoering toezien en zelf training volgen.
| Rol | Verantwoordelijkheid |
|---|---|
| Bestuur / directie | Risicobereidheid vaststellen, maatregelen goedkeuren, aansprakelijk bij nalatigheid |
| CISO | Beveiligingsstrategie, beveiligingsbeleid en rapportage aan het bestuur |
| OT-securityverantwoordelijke / plantmanager | Vertaling naar de fabrieksvloer, afstemming met safety en onderhoud |
| Asset owner | Risicobeoordeling en maatregelen per installatie, zoals bedoeld in IEC 62443-2-1 |
| Leveranciers en integrators | Veilige producten en diensten volgens IEC 62443-4-1 en IEC 62443-2-4 |
Een goed ingericht governance-model koppelt deze rollen aan een ISMS en aan het bredere risicomanagement van de organisatie.
⚖️ Is compliance hetzelfde als security?
Nee. Compliance betekent aantoonbaar voldoen aan wetten en normen; security is de werkelijke weerbaarheid tegen aanvallen. Een organisatie kan een ISO 27001-certificaat hebben en toch kwetsbaar zijn in haar OT, omdat de scope de fabriek niet omvatte. Omgekeerd levert goede security vaak het meeste bewijs voor compliance. Relevante kaders in Nederland en de EU zijn de Cyberbeveiligingswet (naar verwachting circa 8.000 organisaties, eerste melding van een significant incident binnen 24 uur), de Cyber Resilience Act voor fabrikanten (meldplicht vanaf 11 september 2026, volledige toepassing vanaf 11 december 2027), de Machineverordening en voor de overheid de BIO.
✅ Hoe pakt u security in een OT-omgeving aan?
- Breng uw assets in kaart - maak een asset-inventaris van alle PLC’s, HMI’s, servers en netwerkcomponenten.
- Voer een OT-risicobeoordeling uit - combineer deze met de bestaande HAZOP, zodat security- en safety-scenario’s op elkaar aansluiten.
- Segmenteer - deel het netwerk op met het Zone and Conduits-model uit IEC 62443-3-2 en het Purdue Model.
- Beveilig toegang - bescherm remote access met een jump server en MFA, en pas least privilege toe.
- Beheer wijzigingen - controleer updates via code signing en patchmanagement, en laat elke wijziging via MOC lopen.
- Detecteer en reageer - zorg voor monitoring en een Incident Response Plan met OT-specifieke scenario’s.
- Train en verbeter - organiseer awareness-trainingen en meet de voortgang met een volwassenheidsmodel.
❓ Veelgestelde vragen
Is security hetzelfde als cybersecurity?
Nee, security is breder dan cybersecurity. Security omvat ook fysieke, personele en informatiebeveiliging, terwijl cybersecurity specifiek gaat over de bescherming van netwerken, systemen en data tegen digitale aanvallen.
Wat is het verschil tussen beveiliging en veiligheid?
Beveiliging (security) beschermt tegen opzettelijke dreigingen zoals aanvallers en sabotage. Veiligheid (safety) beschermt mens, machine en milieu tegen onbedoelde gevaren zoals storingen en menselijke fouten. In OT hangen ze samen, omdat een cyberaanval een veiligheidsincident kan veroorzaken.
Waarom heeft beschikbaarheid in OT voorrang op vertrouwelijkheid?
In OT bestuurt software fysieke processen die vaak 24/7 moeten draaien en waarbij uitval of manipulatie direct gevaar of grote schade oplevert. Daarom staat in OT-security de volgorde safety, beschikbaarheid, integriteit en dan pas vertrouwelijkheid, terwijl kantoor-IT traditioneel vertrouwelijkheid voorop zet.
Welke norm gebruikt u voor security in OT?
De belangrijkste norm voor OT-security is IEC 62443, die eisen stelt aan asset owners, integrators en leveranciers van industriële automatisering. Voor het managementsysteem eromheen gebruiken veel organisaties ISO 27001, en NIST SP 800-82 Rev. 3 (2023) is een veelgebruikte aanvullende richtlijn.
Moet een veiligheidssysteem (SIS) ook beveiligd worden?
Ja, een SIS moet ook beveiligd worden. IEC 61511 eist sinds editie 2 (2016) een security-risicobeoordeling van het veiligheidssysteem, en de TRITON-aanval uit 2017 liet zien dat aanvallers SIS-controllers daadwerkelijk aanvallen.
Wie is eindverantwoordelijk voor security in een organisatie?
Onder NIS2 en de Cyberbeveiligingswet is het bestuur eindverantwoordelijk voor security. De directie moet de maatregelen goedkeuren, toezicht houden op de uitvoering en zelf training volgen; de CISO en OT-verantwoordelijken voeren uit.
📌 Samengevat
Security beschermt mensen, installaties, informatie en OT-systemen tegen opzettelijke dreigingen en is in de industrie een voorwaarde geworden voor safety. Een goed beveiligde OT-omgeving vraagt om zichtbaarheid, segmentatie, monitoring en veerkracht, met duidelijke verantwoordelijkheden op bestuursniveau en aandacht voor zowel technologie als menselijk gedrag.