Wat is een Zoned Architecture?
Een Zoned Architecture is een netwerkontwerp waarbij een industrieel netwerk wordt opgedeeld in logische zones van systemen met vergelijkbare functie en beveiligingseisen, en waarbij alle communicatie tussen die zones via gecontroleerde overgangen met firewalls, filters en toegangsmaatregelen verloopt. Het doel is dat een aanvaller of een stuk malware dat één zone bereikt, niet ongehinderd verder kan naar de rest van de installatie. Een zoned architecture is de praktische uitwerking van defense in depth in OT-netwerken: elke zonegrens is een extra laag die een aanval vertraagt, zichtbaar maakt en beperkt.
Zoned Architecture is een kernprincipe binnen IEC 62443 en sluit aan bij het Zone and Conduits-model en het Purdue Model voor industriële netwerken.
🧠 Wat is het verschil met zones en conduits en het Purdue-model?
De drie begrippen worden vaak door elkaar gebruikt, maar ze beschrijven verschillende dingen. Het Purdue-model geeft de lagen, IEC 62443 geeft de methode, en de zoned architecture is het ontwerp dat daaruit op een specifieke locatie ontstaat.
| Begrip | Wat het is | Herkomst | Vraag die het beantwoordt |
|---|---|---|---|
| Purdue Model | Referentiemodel met niveaus 0 tot 5, van veldapparatuur tot bedrijfsnetwerk | Purdue University (1989-1992), basis voor ISA-95 | Welke functies horen op welk niveau? |
| Zone and Conduits-model | Methode om assets te groeperen in zones met een doelbeveiligingsniveau en verkeer via conduits te laten lopen | IEC 62443-3-2 (2020) en IEC 62443-3-3 (2013) | Hoe bepaal ik zones, risico’s en eisen? |
| Zoned Architecture | Het concrete netwerkontwerp met zones, zonegrenzen, regels en beheer | Praktijk, referentiearchitecturen van NIST SP 800-82 en leveranciers | Hoe ziet mijn netwerk er in de praktijk uit? |
| Netwerksegmentatie | De technische scheiding zelf (subnetten, VLAN’s, firewalls) | Algemene netwerkpraktijk | Met welke middelen scheid ik verkeer? |
Een zone is geen synoniem voor een Purdue-niveau. PLC’s en HMI’s van één productielijn kunnen samen één zone vormen, terwijl een SIS op hetzelfde niveau juist een eigen zone krijgt.
🏭 Waarom is een zoned architecture nodig in OT?
In fabrieken, waterzuiveringen en energiecentrales draaien veel verschillende systemen naast elkaar: PLC, SCADA, Historian, engineeringstations en kantoorapplicaties. In een plat netwerk kan elk apparaat elk ander apparaat bereiken. Dat is riskant, omdat veel OT-apparatuur geen authenticatie op protocolniveau kent en lang niet altijd gepatcht kan worden.
Met een zoned architecture kunt u:
- Risico’s beperken door functies te scheiden - kantoor-IT, procesbesturing en veiligheidssystemen raken elkaar alleen via benoemde verbindingen.
- Beveiliging afstemmen per zone - een veiligheidssysteem krijgt strengere maatregelen dan een rapportageserver.
- Kwetsbare systemen afschermen - een oude PLC die niet te patchen is, wordt beschermd door de zonegrens in plaats van door een update.
- Compliance-eisen aantoonbaar maken - voor NIS2, IEC 62443 en ISO 27001 is een zone- en datastroomtekening sterk bewijs.
- De impact van incidenten beperken - een besmetting blijft beperkt tot één zone.
Twee bekende incidenten laten zien waarom dit telt. Bij NotPetya (2017) verspreidde de wiper zich razendsnel door platte, wereldwijd gekoppelde bedrijfsnetwerken. Bij Colonial Pipeline (2021) trof ransomware alleen het IT-netwerk, maar de pijpleiding werd uit voorzorg stilgelegd, omdat niet vaststond dat de OT-omgeving onaangetast was en bedrijfsprocessen zoals de facturering van het IT-netwerk afhingen.
🏗️ Welke zones kent een typische zoned architecture?
Veel referentiearchitecturen, zoals Converged Plantwide Ethernet (CPwE) van Cisco en Rockwell Automation, hanteren een vergelijkbare indeling. De SL-T-waarden hieronder zijn illustratief; in de praktijk volgen ze uit uw eigen risicobeoordeling.
| Zone | Purdue-niveau | Voorbeeldsystemen | Typische SL-T |
|---|---|---|---|
| Enterprise Zone | 4-5 | ERP, e-mail, intranet, kantoor-IT | n.v.t. (IT-beleid) |
| IDMZ | 3,5 | Remote Access, webserver, replica-historian, patchserver, jump server | 2-3 |
| Site Operations Zone | 3 | MES, centrale historian, domeincontroller OT | 2 |
| Supervisory Zone | 2 | SCADA, HMI, engineeringstations | 2-3 |
| Control Zone (cell/area) | 1 | PLC, RTU, Remote IO | 2-3 |
| Field Zone | 0 | sensoren, actuatoren, IO-modules | volgt uit control zone |
| Safety Zone | 1 | SIS, safety-PLC’s | 3 |
Communicatie tussen zones verloopt via streng gecontroleerde Conduits, bijvoorbeeld een industriële firewall, protocolfiltering of een jump server.
In CPwE vormen de niveaus 0 tot en met 2 vaak samen één cell/area zone. De aparte supervisory-, control- en field zones in de tabel zijn een fijnere indeling, die u alleen kiest als het risico of de omvang van de installatie dat rechtvaardigt.
Een gouden regel in de IDMZ: er loopt geen verkeer rechtstreeks van Enterprise naar OT. Elke sessie eindigt in de IDMZ en wordt daar opnieuw opgebouwd, bijvoorbeeld via een replica van de historian of een jump server met MFA.
🔄 Hoe verschilt een gezoneerd netwerk van een plat netwerk?
| Kenmerk | Plat netwerk | Zoned architecture | Microsegmentatie |
|---|---|---|---|
| Scheiding | Geen, alles in één broadcastdomein | Groepen systemen per functie en risico | Per apparaat of per applicatie |
| Laterale beweging | Onbeperkt | Beperkt tot de eigen zone | Sterk beperkt, alleen via expliciet toegestane verbindingen |
| Beheerlast | Laag | Gemiddeld, tientallen regels per zonegrens | Hoog, veel fijnmazige regels |
| Geschikt voor | Alleen kleine, geïsoleerde installaties | Vrijwel elke OT-omgeving | Kritieke zones en moderne, goed gedocumenteerde systemen |
| Relatie met Zero Trust | Tegenovergesteld | Eerste stap | Dichtbij het zero-trustprincipe |
In de praktijk is een zoned architecture de basis, en voegt u microsegmentatie toe binnen zones waar dat het risico echt vermindert.
🔧 Met welke technieken worden zones gescheiden?
| Techniek | Sterkte | Typische plek |
|---|---|---|
| Next-Gen Firewall of industriële firewall | Hoog, met default deny en deep packet inspection op OT-protocollen | IT/OT-grens, IDMZ, grens supervisory-control |
| Datadiode | Zeer hoog, fysiek eenrichtingsverkeer | Export van procesdata uit kritieke zones |
| VLAN met ACL’s op een L3-switch | Gemiddeld, een VLAN alleen is geen beveiligingsgrens | Scheiding binnen een zone of tussen cellen |
| Protocolfiltering | Hoog op applicatieniveau | Bijvoorbeeld alleen lezende Modbus TCP-functiecodes naar een PLC |
| Jump server met remote access-controle | Hoog voor beheertoegang | IDMZ, voor leveranciers en beheerders |
In IEC 62443-3-3 valt dit onder Foundational Requirement 5, Restricted Data Flow: SR 5.1 (netwerksegmentatie), SR 5.2 (bescherming van de zonegrens), SR 5.3 (beperking van algemene persoon-tot-persoon-communicatie) en SR 5.4 (applicatiepartitionering).
🔐 Welke beveiligingsmaatregelen horen per zone?
- Firewalls en next-gen firewalls tussen zones, beheerd via vast firewallregelbeheer
- Access Control en User-Based Access Control zodat alleen bevoegde personen een zone in kunnen
- Anomaliedetectie in de supervisory- en control-zones, omdat OT-verkeer voorspelbaar is en afwijkingen opvallen
- Application Control op servers en engineeringstations
- Patchmanagement afgestemd op zone en beschikbaarheid: snel in de IDMZ, gepland tijdens stops in de control zone
- Monitoring en SIEM met logbronnen uit de supervisory zone en de DMZ
- Encryptie voor conduits die over gedeelde of externe netwerken lopen
🛠️ Hoe richt u stapsgewijs een zoned architecture in?
In een bestaande installatie (brownfield) is zonering een migratie, geen eenmalige ombouw. Een beproefde volgorde:
- Inventariseer assets en datastromen - een actuele asset-inventaris en een overzicht van wie met wie praat, bijvoorbeeld met passieve asset discovery.
- Beoordeel het risico - volgens IEC 62443-3-2: bepaal het System under Consideration, deel het op in zones en conduits en ken per zone een SL-T toe. De norm eist daarbij onder meer dat u bedrijfs-IT en OT-assets in aparte zones plaatst (ZCR 3.2).
- Begin bij de IT/OT-grens - bouw eerst de IDMZ, omdat daar het grootste risico zit (internet, e-mail, ransomware vanuit kantoor-IT).
- Scheid de veiligheidssystemen - geef het SIS een eigen zone met alleen-lezen statusverkeer naar buiten. IEC 62443-3-2 vraagt dit expliciet (ZCR 3.3); lukt scheiden niet, dan behandelt u de hele zone als veiligheidsgerelateerd.
- Werk van grof naar fijn - eerst zones per site en per lijn, daarna cellen binnen een lijn.
- Start firewalls in leermodus - log eerst alle verkeer, stel daarna regels op en schakel pas dan naar default deny. Zo voorkomt u dat een vergeten verbinding de productie stillegt.
- Leg alles vast en beheer wijzigingen - zone- en conduittekeningen, regelsets met eigenaar en reden, en een vast change management-proces.
Vuistregels uit de praktijk: een goed ontworpen zonegrens heeft tientallen regels, geen honderden; elke regel heeft een eigenaar en een reden; en regelsets worden minimaal jaarlijks en na elke grote wijziging herzien.
🇪🇺 Welke rol speelt zonering in regelgeving en normen?
- NIS2 - artikel 21 verplicht risicogebaseerde maatregelen, waaronder beveiliging van netwerk- en informatiesystemen. Uitvoeringsverordening (EU) 2024/2690 noemt netwerksegmentatie expliciet voor digitale dienstverleners, zoals cloud- en datacenterproviders, en is een bruikbare maatstaf voor andere sectoren.
- Cyberbeveiligingswet - de Nederlandse invulling van NIS2 is op 15 augustus 2026 in werking getreden; een gedocumenteerde zonering helpt u de zorgplicht aantoonbaar te maken.
- NIST SP 800-82 - Rev. 3 (september 2023) beschrijft OT-architecturen met een DMZ tussen IT en OT, datadiodes en defense in depth.
- ISO 27001 - beheersmaatregel A.8.22 (scheiding in netwerken) uit de editie van 2022.
- NIST CSF - netwerksegmentatie hoort bij de beschermingsfunctie (Protect).
⚠️ Wat zijn de voordelen en valkuilen?
Voordelen:
- Segmentatie beperkt aanvalsvectoren en laterale beweging.
- Maatregelen per zone zijn beter af te stemmen op risico en beschikbaarheid.
- Schaalbaar - zones kunnen afzonderlijk worden uitgebreid of beheerd.
- Compliancevriendelijk voor IEC 62443, ISO 27001 en NIST CSF.
Valkuilen:
- Onvolledige inventaris - zonder duidelijke asset- en netwerkinventaris mist u verbindingen.
- Verstoorde communicatie - een te strenge regel kan een proces stilleggen; test daarom in leermodus.
- Achterdeurtjes - een 4G-router van een leverancier of een dubbel aangesloten engineeringlaptop overbrugt de zonegrens.
- Verwatering - zonder onderhoud en documentatie groeit een regelset dicht met “tijdelijke” uitzonderingen.
❓ Veelgestelde vragen
Is een zoned architecture hetzelfde als het Purdue-model?
Nee, een zoned architecture is het concrete netwerkontwerp, terwijl het Purdue-model alleen niveaus van functies beschrijft. De Purdue-niveaus zijn een goed startpunt voor zones, maar één zone kan meerdere niveaus omvatten en één niveau kan meerdere zones bevatten.
Is een VLAN voldoende om zones te scheiden?
Een VLAN alleen is geen beveiligingsgrens, omdat het verkeer scheidt maar niet filtert of inspecteert. In een zoned architecture combineert u VLAN’s met ACL’s of, bij zonegrenzen met een hoger risico, met een firewall die alleen benoemde verbindingen toestaat.
Hoeveel zones heeft een fabriek nodig?
Het aantal zones in een zoned architecture volgt uit de risicobeoordeling, niet uit een vast getal. Een middelgrote installatie komt vaak uit op vijf tot tien zones, zoals enterprise, IDMZ, site operations, supervisory, één of meer control zones en een safety zone.
Waar begint u met zonering in een bestaande installatie?
Begin bij de grens tussen IT en OT door een IDMZ te bouwen, omdat veel OT-incidenten, zoals ransomware, via kantoor-IT binnenkomen. Daarna scheidt u het veiligheidssysteem en werkt u stap voor stap naar zones per productielijn.
Verplicht NIS2 een zoned architecture?
NIS2 schrijft geen specifieke zoned architecture voor, maar eist passende, risicogebaseerde maatregelen voor netwerkbeveiliging. Voor OT-omgevingen is een gedocumenteerde zonering volgens IEC 62443 een gangbare en goed onderbouwde manier om aan te tonen dat u daaraan voldoet.
Wat is het verschil tussen een DMZ en een IDMZ?
Een DMZ is een bufferzone tussen een intern netwerk en internet, terwijl een IDMZ de bufferzone tussen het kantoornetwerk en het OT-netwerk is. In een zoned architecture eindigt al het verkeer tussen IT en OT in de IDMZ, zodat er geen directe verbinding tussen beide werelden bestaat.
📌 Samengevat
Een Zoned Architecture deelt een OT-netwerk op in zones met eigen beveiligingseisen en laat alle verkeer tussen die zones via gecontroleerde conduits lopen. Zo blijft een incident beperkt tot één zone, zijn kwetsbare systemen afgeschermd en kunt u aan auditors en toezichthouders laten zien hoe u risico’s beheerst. Begin bij de IT/OT-grens, scheid het veiligheidssysteem en houd de regelsets klein, gedocumenteerd en actueel.