CISO TU Delft waarschuwt voor blinde vlek in cyber-fysieke beveiliging
Cyber-fysieke systemen vormen een toenemende blinde vlek voor de beveiliging van onderwijs- en onderzoeksinstellingen. Dat stelt Jérôme Zijderveld, CISO van de TU Delft en lid van de SURF Regiegroep Cyberveiligheid, in de nieuwsbrief van SURF. Systemen die fysieke processen aansturen, zoals klimaatbeheersing, sluitwerk, onderzoeksapparatuur en gebouwbeheer, zijn steeds vaker verbonden met het internet. Omdat deze apparaten dikwijls buiten het zicht van de IT-afdeling worden aangeschaft, blijven kwetsbaarheden langdurig onopgemerkt.
Waar traditionele IT vooral gericht is op informatieverwerking, sturen operationele technologie (OT) en het Internet of Things (IoT) fysieke processen aan. Op een universiteitscampus komen deze technologieën op grote schaal samen, van MRI-scanners, cleanrooms en windtunnels tot brandmeldinstallaties en bewakingscamera's. Het risico schuilt in de decentrale aanschaf: faculteiten of onderzoekers schaffen OT-systemen regelmatig aan met eigen budgetten, waardoor ze ontbreken in de centrale assetregisters en enterprise-architectuur van de IT-afdeling.
Daarnaast speelt de lange levensduur van fysieke installaties een grote rol. Veel OT-apparatuur draait op verouderde besturingssystemen waarvoor geen beveiligingsupdates meer beschikbaar zijn. Bij kostbare apparatuur is vervanging niet zomaar haalbaar, waardoor kwetsbaarheden jarenlang blijven bestaan.
De risico's worden verder vergroot door het gebruik van Programmable Logic Controllers (PLC's) die niet goed zijn geconfigureerd, het koppelen van onderzoeksopstellingen aan administratieve netwerken en de toename van beheer op afstand via het internet.
Dialoog
Volgens Zijderveld kunnen de gevolgen van een cyberaanval op fysieke systemen ontwrichtend zijn. Waar een regulier IT-incident leidt tot dataverlies of uitval van digitale diensten, kan een ontregeld OT-systeem fysieke schade veroorzaken, zoals brand, overstroming, het vrijkomen van gevaarlijke straling of het verstoren van gekoelde chemicaliën. Internationale incidenten, waaronder aanvallen op Amerikaanse waterbedrijven en een Britse energiecentrale, onderstrepen de urgentie van het probleem.
Om de risico's te verkleinen vraagt Zijderveld om meer bewustwording en een actieve dialoog tussen beveiligingsexperts en onderzoekers. Zo ontdekte de TU Delft bij één faculteit twaalf niet-gedetecteerde PLC's enkel door fysiek langs te gaan en het gesprek aan te gaan.
Daarnaast zet de universiteit in op praktische maatregelen: het inventariseren van alle netwerkgekoppelde apparaten, het strikt beperken of tijdelijk uitschakelen van internetverbindingen, netwerksegmentatie voor facilitaire systemen en het uitvoeren van realistische crisisoefeningen.
Meer over cybersecurity
Over Witold Kepinski
