Vitens

Met zo’n 1.400 medewerkers verzorgt Vitens de watervoorziening voor ongeveer 5,6 miljoen Nederlanders. Het waterbedrijf beschikt over 110 waterwingebieden en 1.250 waterputten op 96 locaties. Ook beheert Vitens ruim 50.000 kilometer hoofdwaterleiding. Het waterbedrijf is verantwoordelijk voor de levering van water tot aan de watermeter.

Erwin van der Zwan, Information Security Officer bij Vitens: “Nagenoeg alles wat wij doen draait onbemand, en daarvoor maken we gebruik van heel veel automatisering”, vertelt Van der Zwan. Daarbij doelt hij onder andere op de kwaliteitscontroles die op het drinkwater worden uitgevoerd. “De kwaliteit van het water wordt op ruim 800 componenten gecontroleerd. Het overgrote deel van deze metingen wordt geautomatiseerd uitgevoerd.”

Gekoppeld aan fysieke processen

“Het belangrijkste verschil met IT-automatisering is dat operationele automatisering rechtstreeks aan fysieke processen is gekoppeld”, zegt Van der Zwan. Als operationele automatisering niet naar behoren functioneert, kunnen deze processen tot stilstand komen. In het ergste geval leidt dit tot fysieke ongelukken met letsel of zelfs dodelijke slachtoffers.

Voor Vitens is de correctheid van data van essentieel belang. Als gegevens onjuist worden uitgelezen of zelfs worden gemanipuleerd kan dit verstrekkende gevolgen hebben. Als voorbeeld wijst Van der Zwan op een damdoorbraak bij het Taum Sauk-reservoir in de Amerikaanse staat Missouri in 2005. “Een verkeerde uitlezing van het waterniveau – dat hierdoor niet werd gecorrigeerd – zorgde ervoor dat de dam bezweek”, vertelt Van der Zwan.

Bij een ander incident, dat plaatsvond bij een Amerikaans waterbedrijf waarvan de naam niet bekend is gemaakt, werden gegevens gemanipuleerd. Verizon Security Solutions beschrijft in een rapport hoe aanvallers via kwetsbaarheden in het klantenportaal het netwerk van het waterbedrijf binnendrongen. Hier wisten ze onder meer de samenstelling te manipuleren van chemicaliën die worden gebruikt om het water te behandelen.

Veel legacy-apparatuur

Als er geen andere maatregelen worden getroffen, is OT vaak te oud om dergelijke incidenten te kunnen voorkomen. “Een productielocatie wordt meestal gebouwd voor een periode van 30 tot 40 jaar. Dit is een groot verschil met de IT-wereld, waar systemen na enkele jaren worden vervangen. In een OT-omgeving heb je doorgaans met veel legacy-apparatuur te maken.”

Security stond niet centraal in het ontwerp van deze systemen. Van der Zwan: “Met name communicatietechnieken en -protocollen zijn niet gebouwd met aandacht voor beveiliging. Ze zijn tientallen jaren geleden ontwikkeld om systemen simpelweg aan te sturen, en daarbij stond vooral snelheid centraal. Met misbruik door kwaadwillenden is geen rekening gehouden.”  Voorbeelden van dergelijke systemen zijn Modbus, OPC, Profibus en Profinet.

Te weinig capaciteit

Dit maakt het beveiligen van OT een uitdaging, en monitoring van cruciaal belang. “Het ontbreekt ons aan de capaciteit om 24 uur per dag en zeven dagen per week de beveiliging van onze OT-omgeving in de gaten te houden”, zegt Van der Zwan. Vitens stond dus voor de keuze zelf meer capaciteit aan te trekken of hiervoor een externe partij in te schakelen. “De eerste optie betekent dat we een eigen SOC moeten inrichten en onderhouden, wat met de hedendaagse schaarste op de arbeidsmarkt geen reële keuze is.”

Vitens kiest daarom voor een strategische samenwerking met Motiv. “Wij vinden het belangrijk om de beveiliging samen met onze partner op te pakken en niet volledig uit handen te geven aan een externe partij. We zochten daarom een partij die niet alleen op afstand monitort, maar ook met ons meedenkt en begrijpt hoe onze organisatie opereert.”

Andere mentaliteit vereist

Van der Zwan wijst erop dat een SOC voor procesautomatisering of vitale infrastructuur een andere mindset vereist dan een SOC die is gericht op IT-infrastructuur. “SOC’s denken vaak in Indicators of Compromises en de technische kant van cyberdreigingen, maar wat betekent dit in de praktijk? Iets wat gedetecteerd wordt kan het ene moment onschuldig zijn, terwijl exact dezelfde detectie de volgende keer wel kwaadaardig is. Hoe bepaal je dat? Het is erg lastig om dit binnen procesautomatisering en vitale infrastructuur aan te voelen.”

“Motiv fungeert als onze ogen en oren, en helpt ons dreigingen te detecteren. Bij de aanpak van deze dreigingen trekken onze eigen professionals op met de experts van Motiv, die hierbij een verlengstuk van onze organisatie vormen. Samen geven ze duiding aan dreigingen, om de relevantie ervan in kaart te brengen en te zorgen dat de juiste dreigingen de juiste aandacht krijgen”, besluit Van der Zwan.