Wat is Security by Design?
Security by Design is een ontwerpprincipe waarbij beveiliging vanaf de eerste ontwerpstap een vaste eis is voor systemen, software, netwerken en apparaten, in plaats van een maatregel die na oplevering of na een incident wordt toegevoegd. Beveiliging wordt zo onderdeel van de architectuur, het ontwikkelproces en elke technische keuze, van specificatie tot onderhoud en uitfasering. In OT-omgevingen weegt dat extra zwaar, omdat een PLC of DCS vaak 15 tot 20 jaar meegaat en zwakke plekken uit het ontwerp later nauwelijks te herstellen zijn.
🧠 Waar komt Security by Design vandaan?
Het idee is ouder dan de term. In 1975 publiceerden Jerome Saltzer en Michael Schroeder acht ontwerpprincipes voor veilige systemen, die nog steeds de basis vormen:
| Principe | Betekenis | Voorbeeld in OT |
|---|---|---|
| Economy of mechanism | Houd het ontwerp zo eenvoudig mogelijk | Alleen de noodzakelijke diensten op een controller |
| Fail-safe defaults | Toegang is standaard geweigerd tenzij expliciet toegestaan | Firewallregels op een conduit volgens default deny |
| Complete mediation | Controleer elke toegang, niet alleen de eerste | Elke schrijfopdracht naar een PLC wordt geautoriseerd |
| Open design | Veiligheid mag niet afhangen van geheimhouding van het ontwerp | Geen vertrouwen op een onbekend, eigen protocol |
| Separation of privilege | Kritieke acties vragen meer dan één voorwaarde | MFA plus goedkeuring voor een logicawijziging |
| Least privilege | Geef alleen de rechten die nodig zijn | Operator mag bedienen, niet programmeren |
| Least common mechanism | Deel zo min mogelijk mechanismen tussen gebruikers | Geen gedeelde accounts op engineeringstations |
| Psychological acceptability | Beveiliging moet bruikbaar blijven | Inloggen dat werkt met handschoenen en onder tijdsdruk |
Microsoft maakte vanaf 2004 een Security Development Lifecycle (SDL) verplicht voor zijn producten, en NIST bundelde veilige ontwikkelpraktijken in 2022 in het Secure Software Development Framework (SP 800-218). In april 2023 lanceerde het Amerikaanse CISA samen met internationale partners de Secure by Design-richtlijn, in oktober 2023 herzien. Die vraagt van fabrikanten dat zij verantwoordelijkheid nemen voor de beveiligingsuitkomsten van hun klanten, radicaal transparant zijn en beveiliging tot een zaak van de directie maken.
🔄 Wat is het verschil tussen Security by Design en Secure by Default?
De twee termen worden vaak door elkaar gebruikt, maar ze zijn niet hetzelfde:
| Aspect | Security by Design | Secure by Default | Security als add-on |
|---|---|---|---|
| Wanneer | Tijdens ontwerp en ontwikkeling | Bij levering en eerste ingebruikname | Na oplevering of na een incident |
| Wie | Fabrikant en ontwerper | Fabrikant | Gebruiker of beheerder |
| Doel | Kwetsbaarheden voorkomen in de kern | Veilige uitgangssituatie zonder extra werk | Bestaande gaten dichten |
| Voorbeeld | Dreigingsmodel, secure boot, ondertekende firmware | Geen standaardwachtwoord, Telnet uit, logging aan | Losse firewall voor een onbeveiligde controller |
| Gevolg | Minder kwetsbaarheden en lagere beheerlast | Minder misconfiguraties | Gaten, inconsistente implementatie, hogere kosten |
Secure by Default is dus een resultaat van Security by Design: een product kan alleen veilig worden geleverd als het zo is ontworpen. Hetzelfde denken bestaat voor persoonsgegevens als Privacy by Design.
🎯 Waarom is Security by Design belangrijk voor OT?
- Lange levensduur - installaties draaien decennia, terwijl een add-on-maatregel elke paar jaar opnieuw moet worden ingepast
- Patchen is lastig - patchen vraagt een stilstandvenster, dus elke kwetsbaarheid die in het ontwerp wordt voorkomen, scheelt jaren blootstelling
- Aanvallers richten zich op producten - volgens CISA en partners kiezen aanvallers specifieke OT-producten met zwakke authenticatie, standaardwachtwoorden en beperkte logging, zodat één zwakte veel slachtoffers raakt
- Safety en security raken elkaar - een gemanipuleerde besturing kan tot fysieke schade leiden, zoals TRITON liet zien bij een veiligheidssysteem
- Wettelijke plicht - de Cyber Resilience Act en de Machineverordening maken veilig ontwerp verplicht voor nieuwe producten, en NIS2 vraagt organisaties om beveiliging bij aanschaf en ontwikkeling van systemen
Hetzelfde geldt voor industriële IoT-apparaten, die vaak in grote aantallen worden uitgerold en lastig centraal te beheren zijn: wat niet in het ontwerp zit, is achteraf zelden op elk apparaat bij te werken.
Security by Design ondersteunt daarmee compliance met IEC 62443, ISO 27001, NIS2 en de Cyberbeveiligingswet.
🔧 Hoe ziet Security by Design eruit in de praktijk?
| Ontwerpkeuze | Voorbeeld | Gerelateerd |
|---|---|---|
| Toegangsbeheer | Rollen en rechten (RBAC) vanaf de start gedefinieerd, geen gedeelde accounts | Authenticatie, MFA |
| Encryptie | Versleuteling van data-at-rest en data-in-transit, met beheerbare certificaten | Encryptie, Certificate Management |
| Segmentatie | Zones en conduits vastgelegd in de architectuur | Netwerksegmentatie |
| Fail-safe defaults | Alles dicht tenzij expliciet toegestaan; ongebruikte poorten en diensten uit | Hardening |
| Logging en auditing | Logging van wijzigingen en security-events ingebouwd, met koppeling naar een SIEM | Logging |
| Patchbaarheid | Updates veilig, geverifieerd en zonder lange stilstand te installeren | Firmware |
| Integriteit | Alleen ondertekende software laden, controle bij elke opstart | Secure boot |
| Transparantie | Lijst van softwarecomponenten meeleveren | SBOM |
Een fail-safe default in security-zin betekent dat toegang geweigerd wordt als niets anders is bepaald. Dat is iets anders dan een fail-safe stand van een procesinstallatie, maar beide denkwijzen moeten in OT samen worden ontworpen: een beveiligingsmaatregel mag een veiligheidsfunctie nooit blokkeren.
🏭 Welke normen en wetten vragen om Security by Design?
- IEC 62443-4-1 (2018) - beschrijft de veilige ontwikkelcyclus voor leveranciers in acht praktijken, waarvan één letterlijk Secure by design (SD) heet; certificering kan via ISASecure SDLA
- IEC 62443-4-2 en IEC 62443-3-3 - technische eisen aan componenten en systemen per security level
- IEC 62443-3-2 - risicobeoordeling en indeling in zones, de basis voor het ontwerp van een installatie
- Cyber Resilience Act (Verordening (EU) 2024/2847) - bijlage I eist een ontwerp op basis van een risicobeoordeling, levering secure by default met een reset naar de oorspronkelijke staat, en een beperkt aanvalsoppervlak; daarnaast moet de fabrikant een ondersteuningsperiode met beveiligingsupdates bieden van in de regel minimaal vijf jaar; volledige toepassing vanaf 11 december 2027
- Machineverordening (EU) 2023/1230 - vanaf 20 januari 2027 moeten besturingen bestand zijn tegen redelijkerwijs voorzienbare kwaadwillige pogingen (eisen 1.1.9 en 1.2.1)
- NIST SP 800-82 - Amerikaanse richtlijn voor OT-beveiliging met architectuuradviezen
🛒 Hoe eist u Security by Design bij de inkoop van OT?
In januari 2025 publiceerden CISA, het Nederlandse NCSC, het Duitse BSI, de Europese Commissie (DG CONNECT) en andere partners de gids Secure by Demand voor eigenaren van OT. Die noemt twaalf elementen om bij leveranciers op te letten:
| Element | Waar u op let |
|---|---|
| Configuratiebeheer | Wijzigingen in configuratie en logica beheersen, vastleggen en veilig back-uppen |
| Logging in het basisproduct | Wijzigingen, security- en safety-events loggen in open formaten, in elke productversie |
| Open standaarden | Uitwisselbaarheid en migratie zonder afhankelijkheid |
| Eigenaarschap | Zelf onderhoud en wijzigingen kunnen uitvoeren zonder de leverancier |
| Bescherming van data | Integriteit en vertrouwelijkheid van configuratie en procesdata |
| Secure by default | Geen standaardwachtwoorden; SNMPv1/2, Telnet, SSL en TLS 1.0/1.1 standaard uit |
| Veilige communicatie | Certificaten die eenvoudig te beheren zijn en het proces niet stilleggen bij verloop |
| Veilige besturing | Bestand tegen kwaadwillige noodstop-, safety- en diagnosecommando’s en tegen actieve scans |
| Sterke authenticatie | RBAC en phishingbestendige MFA, geen gedeelde rolwachtwoorden |
| Dreigingsmodel | Een actueel, gedetailleerd dreigingsmodel van het product |
| Kwetsbaarhedenbeheer | Vaste supportperiode, gratis patches, SBOM en een meldbeleid |
| Upgrade- en patchtooling | Gedocumenteerd updateproces, ook naar een ondersteund besturingssysteem |
De gids sluit aan op security level 3 van IEC 62443-4-2 en 3-3 en op de CRA. Neem deze punten op in uw bestek en in leveranciersafspraken, bijvoorbeeld als vragenlijst bij een aanbesteding.
🧭 Hoe past u Security by Design toe in een OT-project?
- Bepaal de context - inventariseer assets, dataflows en kritieke functies, en leg de beveiligingsdoelen vast naast de procesdoelen. Betrek cybersecurity-specialisten al in deze fase, niet pas bij de oplevering.
- Maak een dreigingsmodel - gebruik bijvoorbeeld STRIDE of aanvalsbomen voor de cyberkant en combineer dat met de HAZOP of andere safety-analyse, zodat cyberscenario’s met fysieke gevolgen zichtbaar worden.
- Voer een risicobeoordeling uit - volgens IEC 62443-3-2 deelt u de installatie op in zones en conduits en kent u per zone een doel-security level toe.
- Kies de architectuur - combineer Defense in Depth, segmentatie en waar mogelijk Zero Trust-principes, met beveiligde toegang op afstand.
- Stel eisen aan leveranciers - vraag om een veilige ontwikkelcyclus (SDLC) volgens IEC 62443-4-1, met code reviews en securitytests, SBOM’s, een supportperiode en secure-by-default-levering.
- Verifieer vóór ingebruikname - test de configuratie met een pentest of review tijdens de FAT en SAT, en controleer dat standaardwachtwoorden en testaccounts weg zijn.
- Borg het in beheer - documenteer beveiligingsbeslissingen en risicoafwegingen, en herzie het ontwerp bij elke ingrijpende wijziging.
❓ Veelgestelde vragen
Wat is het verschil tussen Security by Design en Privacy by Design?
Security by Design richt zich op het beschermen van systemen en gegevens tegen aanvallen, verstoring en manipulatie. Privacy by Design richt zich op het beschermen van persoonsgegevens en is als gegevensbescherming door ontwerp verplicht onder de AVG. In OT overlappen ze bijvoorbeeld bij camerabeelden en toegangslogging.
Is Security by Design wettelijk verplicht?
Security by Design wordt voor fabrikanten verplicht via de Cyber Resilience Act, die vanaf 11 december 2027 volledig van toepassing is, en via de Machineverordening vanaf 20 januari 2027. Organisaties onder NIS2 en de Cyberbeveiligingswet moeten daarnaast passende maatregelen nemen, waaronder beveiliging bij aanschaf, ontwikkeling en onderhoud van systemen.
Kun je Security by Design toepassen op bestaande installaties?
Security by Design is het meest effectief bij nieuwbouw, maar bij een bestaande installatie past u het toe bij elke modernisering, uitbreiding of vervanging. Voor legacy systemen die niet veilig te maken zijn, compenseert u met segmentatie, monitoring en strikte toegang. Elke vervangingsronde is een kans om secure-by-default-producten te kiezen.
Welke rol speelt IEC 62443 bij Security by Design?
IEC 62443 vertaalt Security by Design naar concrete eisen voor de hele keten: 4-1 voor het ontwikkelproces van leveranciers, 4-2 en 3-3 voor de technische eigenschappen van componenten en systemen, en 3-2 voor het risicogestuurde ontwerp van een installatie. Zo kunnen fabrikant, integrator en eigenaar elk aantonen dat beveiliging vanaf het ontwerp is meegenomen.
Maakt Security by Design een systeem duurder?
Security by Design kost vooraf tijd voor dreigingsmodellering, eisen en tests, maar voorkomt dure aanpassingen, extra beveiligingsproducten en stilstand later. In OT, waar systemen decennia meegaan, zijn ingebouwde maatregelen doorgaans goedkoper dan achteraf toegevoegde. Bovendien worden ontbrekende beveiligingsfuncties steeds vaker een uitsluitingsgrond bij inkoop.
Wat is een voorbeeld van een ontwerpfout die Security by Design voorkomt?
Een veelvoorkomende ontwerpfout is een PLC of HMI die met een standaardwachtwoord en een open beheerinterface wordt geleverd en daardoor direct vanaf internet te misbruiken is. Eind 2023 namen aanvallers zo via internet bereikbare PLC’s over, onder meer bij een Amerikaans waterbedrijf. Security by Design voorkomt dit met unieke inloggegevens, uitgeschakelde onnodige diensten en logging vanaf de eerste ingebruikname.
📌 Samengevat
Security by Design betekent dat beveiliging geen bijzaak is, maar een kerneis in elke ontwerpkeuze, van het eerste dreigingsmodel tot de laatste update. Voor OT, waar systemen decennia meegaan en patchen lastig is, levert dat veiligere en beter beheersbare installaties op. Met IEC 62443, de Cyber Resilience Act en de Machineverordening verschuift het bovendien van goede praktijk naar wettelijke plicht.