What the Hack!

Dat zou de eerste gedachte kunnen zijn als je erachter bent gekomen dat je te maken hebt gehad met een vorm van cybercriminaliteit.

Het klassieke beeld van een hacker op z’n zolderkamertje, die code aan het tikken is om systemen binnen te dringen, is in de werkelijkheid tegenwoordig heel anders.
Tegenwoordig proberen goed georganiseerde bendes met behulp van AI en intelligente algoritmes de samenleving te ontregelen voor politiek of financieel gewin.

Ook in de wereld van industriële automatisering, machinebouw en besturingstechniek wordt cybersecurity een steeds belangrijker onderdeel van het dagelijkse werk. Om de industrie veiliger te maken op het gebied van cybersecurity heeft Europa nieuwe wet- en regelgeving ontwikkeld zoals NIS2, de Cyber Resilience Act (CRA) en de nieuwe Machineverordening.

Wat betekent dit voor machinebouwers?

Als je een machine of procesinstallatie koopt, mag je verwachten dat je jarenlang veilig gebruik kunt maken van je nieuwe installatie. Daarom stellen (eind-) klanten ook steeds vaker vragen over de cyberveiligheid. Ze willen weten hoe het is geregeld met het gebruikersbeheer, de netwerksegmentatie, software-updates, het wachtwoordbeleid en het onderhoud.

Cybersecurity is daarmee een vast onderdeel geworden van het engineeringproces.

De benodigde mate van beveiliging wordt bepaald aan de hand van risico’s die een cyberaanval met zich mee kan brengen. Dit is vergelijkbaar met machineveiligheid, waar het vereiste Performance Level (PL) wordt vastgesteld op basis van een risicobeoordeling. Hoe groter de mogelijke gevolgen van een ongeval, hoe hoger het vereiste (PL) veiligheidsniveau. Binnen cybersecurity geldt hetzelfde principe: hoe groter de gevolgen van een succesvolle cyberaanval, hoe hoger het vereiste beveiligingsniveau en hoe meer maatregelen nodig zijn om de risico’s te beheersen.

Als machinebouwer word je verplicht om de risico’s in te schatten en passende maatregelen te nemen. Wij, als industrieel automatiseerder, helpen je daar graag bij!

Misvattingen

Nieuwe wet- en regelgeving wordt niet altijd direct met enthousiasme ontvangen. Dat is begrijpelijk, want extra eisen brengen vaak extra werkzaamheden, kosten en verantwoordelijkheden met zich mee.

Daardoor ontstaat vaak de vraag in hoeverre de regelgeving daadwerkelijk relevant is voor de eigen organisatie, machine of installatie.

In de praktijk horen we daarom vaak onderstaande misvattingen:

• Onze installatie is niet verbonden met internet, dus we lopen geen gevaar.
• Wij zijn te klein om interessant te zijn voor hackers.
• Cybersecurity is een probleem van de IT-afdeling.
• We hebben nog nooit een incident gehad.

Hoewel deze argumenten begrijpelijk zijn, blijkt de praktijk vaak complexer. Moderne machines en installaties worden steeds vaker gekoppeld aan andere systemen, service- en onderhoudslaptops. Daarnaast worden cybercriminelen steeds slimmer en zoeken ze simpelweg naar kwetsbare systemen. Doordat aanvallen vaak geautomatiseerd zijn, schieten ze met hagel om zoveel mogelijk infecties te veroorzaken. Helaas vaak ook met succes…

Dus ook al heb je het vaak zelf niet in de gaten, cybercriminelen kloppen vaker aan je deur dan je denkt.

Waar kun je vandaag al mee beginnen?

Inventariseer machines en installaties die in aanmerking komen. Zit er bijvoorbeeld een PLC, HMI of frequentieregelaar in je installatie? Dan kun je die alvast op je lijstje zetten. Controleer ook of al je accounts en wachtwoorden nog actueel zijn. Verwijder bijvoorbeeld accounts van medewerkers die niet meer in dienst zijn of een andere functie hebben gekregen. Maak en test back-ups van de programma- en datafiles. Inventariseer wat de gevolgen zouden kunnen zijn als je gehackt zou worden. Neem cybersecurity standaard mee in nieuwe projecten.

Conclusie

Waar machineveiligheid inmiddels een vanzelfsprekend onderdeel is van ieder project, bevindt cybersecurity zich momenteel op hetzelfde kantelpunt. De komende jaren zullen opdrachtgevers, wetgevers en eindgebruikers steeds hogere eisen stellen aan de digitale veiligheid van machines en installaties.

Voor machinebouwers, systeemintegratoren en eindgebruikers betekent dit dat cybersecurity geen afzonderlijk onderwerp meer is, maar onderdeel wordt van het volledige ontwerp-, beheer- en onderhoudsproces.