Cyberspecialisten delen securityhacks voor de industrie

Maakbedrijven die bij hun digitalisering te weinig aandacht schenken aan digitale veiligheid zijn kwetsbaar. Kurt Callewaert van Howest en Jeroen Baeten van TomorrowLab kennen de problemen. Vanuit de proeftuin ‘Innovatieve cyberbeveiliging voor industrie 4.0' werken zij, samen met academische partners en ondernemingen aan veiligere Vlaamse maakbedrijven. In dit vraaggesprek met VLAIO delen ze hun inzichten en tips.

Zoek je na het lezen van dit artikel nog meer inspiratie rond cybersecurity? Lees dan verder op www.digitaletoekomst.be!

Kurt Callewaert: “Er gaan een aantal zaken fout in industriële security. Eén van de oorzaken is de grote kloof tussen IT-afdelingen en de operationele technologie (OT) binnen maakbedrijven. Deze kloof belet dat deze diensten elkaar begrijpen en samen aan veilige oplossingen werken. Dat is desastreus omdat er geen kloof is tussen hun netwerken. Bedrijfsnetwerken lopen doorheen de marketing, sales, boekhouding en werkplaatsen. Iedereen heeft data nodig, verzamelt deze, koppelt ze aan elkaar en verbetert er de onderneming mee. Maar omdat mensen niet met elkaar praten is, de segmentatie niet goed, zijn er lacunes, houden ze bij het installeren en verbeteren van de productie geen rekening met beveiliging, ... Eens hackers binnen geraken, beschadigen ze gemakkelijk het hele bedrijf.”

Jeroen Baeten: “Productieomgevingen zijn heel kostgedreven. Cybersecurity krijgt initieel zelden veel aandacht. Wanneer bedrijven productiemachines aan het internet koppelen, ligt de focus op het verzamelen van data, niet op het beveiligen ervan. Bedrijven en overheden moeten zich voorbereiden op een wereld waarin informatie- en gegevensbeveiliging slechts een deel is van onze zorg. Een bredere lens is nodig, één die rekening houdt met risico's voor de mens en de productiesystemen. We moeten ons afvragen welk gevaar mensen lopen wanneer een productiesysteem gehackt wordt. Kan een onverwachte beweging door gehackte machines mensen in gevaar brengen?”

Kurt: “Er is een groot verschil tussen een pc en een plc, de computer die gebruikt wordt om een productielijn te automatiseren. De levensduur van een pc is vaak maar drie jaar, terwijl die van productieapparatuur twintig tot dertig jaar bedraagt. Op deze toestellen is vaak geen cybersecurity mogelijk. Bovendien krijgen oudere pc's soms een tweede leven in de productie, zonder dat hun software nog te updaten is. Maar ook modernere apparaten updaten is niet evident. Stel je eens voor dat bedrijven de productie elke avond zouden stilleggen om hun software te updaten tegen de laatste bedreigingen? Dat doet niemand, waardoor alle bedrijven kwetsbaar zijn voor hackers.” 

Jeroen: “De interoperabiliteit tussen verschillende productie-entiteiten is vaak ook moeilijk in te schatten en na te bootsen. Hoe verloopt de interactie na een update? Gaat het volledige productieproces nog werken na het uitvoeren van een update? Er zijn genoeg voorbeelden van bedrijven die een update moesten terugdraaien. Die onzekerheid zorgt er vaak voor dat bedrijven liever in de huidige situatie blijven.”

Kurt: “We willen eerst de huidige situatie kennen. Daarom organiseren we nu vanuit Howest samen met Agoria een groot onderzoek om na te gaan hoe het gesteld is met de cybersecurity van Vlaamse ondernemingen. Met de verzamelde kennis willen we extra positieve druk zetten om plannen uit te werken, en attesten en certificaten te behalen die aantonen dat ze veilige producten en diensten produceren in een beveiligde omgeving. Dit klinkt nu nog als een kost, maar binnen een paar jaar heb je een commerciële troef in handen als je kunt aantonen dat je cyberveilig werkt. Dit zal sowieso een must zijn om aan grote ondernemingen te mogen leveren.”

Kurt: “We zetten verschillende initiatieven op om het bewustzijn bij ondernemingen te vergroten, standaarden te implementeren, onderzoek te doen en opleidingen te geven. Een van de projecten loopt samen met Siemens, dat zowat 60 procent aanlevert van alle slimme apparaten die we in Vlaamse ondernemingen installeren. We bekijken met hen hoe we twee standaarden voor informatiebeveiliging kunnen combineren, namelijk  ISO 27001 en IEC 62443.”

Kurt: “We willen maakbedrijven informeren over hun kwetsbaarheid. Ook willen we aandringen om enkele eenvoudige oplossingen meteen te implementeren, bijvoorbeeld multifactor-authenticatie . Dit zou standaard moeten worden omdat het de enige manier is om veilig aan te tonen dat je bent wie je zegt te zijn. Ikzelf heb onlangs de directie van Howest overtuigd om dit in te voeren. Binnenkort moet elke docent inloggen via een code op zijn of haar smartphone. Later breiden we dit uit naar onze 10.000 studenten. Dit wil zeggen dat niemand meer zal kunnen inloggen met geleende of gestolen inloggegevens.”

Jeroen: “We willen ook in industriële omgevingen het thema cyberveiligheid opkrikken tot het niveau van CEO’s. In industrieën waar de transitie reeds heeft plaatsgevonden, zien we nieuwe rollen verschijnen zoals Chief Information Security Officer's (CISO's). Zij zorgen ervoor dat nieuwe wet- en regelgeving, veranderende verwachtingen, risicomanagement en nieuwe uitdagingen gelinkt aan cyberbeveiliging de juiste aandacht krijgen op managementniveau. Die transitie ondersteunen we volop vanuit de proeftuin. Van daaruit moet iedereen in elk bedrijf doordrongen worden van cyberveiligheid. In een tijdperk van continue bedreigingen, is het onmogelijk om volledig kogelvrij te zijn, maar veiligheid moet worden gezien als een paraplu die een bedrijf kan beschermen tegen de ergste elementen, zelfs als voeten nat worden in de grootste stormen.”

Kurt: “Aandeelhouders moeten meer druk zetten op CEO's. Vandaag laten ondernemingen cybersecurity-scans en -audits uitvoeren. Maar vervolgens doen ze niets met de resultaten.”

Kurt: “Er is al veel veranderd. Vandaag zeggen acht op de tien ondernemingen bezig te zijn met cyberveiligheid. Nog niet zo lang geleden was dit één op de tien. Toch zal er binnen drie jaar meer dan nu geïnvesteerd worden in digitale veiligheid, zullen IT en OT beter samenwerken, zullen meer bedrijven hun cybersecurity aantonen met certificaten en zullen meer studenten opgeleid zijn.”

Jeroen: “Bedrijven staan vandaag op het kantelpunt. Het capteren van data is voor veel organisaties nog nieuw. Ze starten ermee, wat meteen hét ideale moment is om dit doordacht en veilig te doen. Ik zie hierin dat open source-systemen de beste garantie en flexibiliteit bieden naar veiligheid en de toekomst. Want alles wordt intelligenter. De wereld verandert snel. Alleen open systemen kunnen om met de veelheid en complexiteit aan tools, software van verschillende fabrikanten en nieuwe oplossingen.”