Wat is er gebeurd?
In een gastbijdrage voor het Protector Magazin beschrijft Uwe Greunke, Business Segment Leiter KRITIS bij Rohde & Schwarz Networks and Cybersecurity, vijf regels voor de veilige integratie van beveiligingstechniek in IT-netwerken. De bijdrage richt zich met name op exploitanten van kritieke infrastructuren (KRITIS), waarbij beveiligingstechnische systemen zoals bewakingscamera's, toegangscontroles, sluitmechanismen of alarm- en meldingstechniek steeds vaker deel uitmaken van de IT-netwerkarchitectuur.
Kernboodschap: wanneer beveiligingsdisciplines in IT-netwerken worden geïntegreerd, moeten ze efficiënt samenwerken – zonder dat het feitelijke beschermingsniveau daarbij wordt verlaagd of tenietgedaan.
De details
Beveiligingstechnische systemen in KRITIS- en OT-omgevingen vallen volgens de bijdrage onder de bepalingen van de KRITIS-Dachgesetz (Duitse kaderwet kritieke infrastructuren), de BSI-wet en andere relevante standaarden zoals de BSI IT-Grundschutz en de IEC 62443-norm. Daaruit leidt Greunke af dat het noodzakelijk is om de netwerkintegratie van deze systemen vorm te geven volgens een duidelijk gedefinieerd en bindend beveiligings- en zoneconcept. Bijzondere aandacht gaat daarbij uit naar de communicatiewegen tussen beveiligingstechnische installaties, meldkamers, managementsystemen en aangrenzende IT-netwerken – deze moeten strikt gereguleerd worden.
De bijdrage noemt vijf concrete regels:
- Duidelijke zones creëren: Camerasystemen, sensoren en toegangscomponenten moeten in logisch of fysiek gescheiden gebieden worden gebruikt. Camerasystemen zouden bijvoorbeeld alleen moeten communiceren met bijbehorende systemen zoals NVR (Network Video Recorder) of VMS (Video Management System). Firewalls of segment-gateways bewaken en beveiligen de overgangen tussen de zones.
- Kantoor-IT en externe netwerken scheiden: Beveiligingssystemen zouden in principe buiten de klassieke bedrijfs-IT moeten draaien. Overgangen verlopen via vastgestelde punten zoals DMZ- of NAT-zones, die gecontroleerd gebruik van diensten zoals Active Directory, DNS of PKI mogelijk maken zonder de beveiligingssegmenten in gevaar te brengen.
- Veerkrachtige en autonome werking waarborgen: Een OT-beveiligingsnetwerk moet ook bij storingen in de omringende IT, WAN-uitval of externe bedreigingen zelfstandig blijven functioneren. Mechanismen zoals netwerkprobes, camera-watchdogs of PoE-gebaseerde herstarts kunnen typische storingen automatisch verhelpen.
- Communicatiepaden versleutelen en bewaken: Video-, alarm- en besturingsgegevens moeten versleuteld worden verzonden. Genoemd worden VPN's (client-to-site of site-to-site) voor onderhoudstoegang en locatiekoppelingen, evenals reverse proxy's met end-to-end TLS-versleuteling tegen man-in-the-middle-aanvallen.
- Modulariteit en uitbreidbaarheid waarborgen: Nieuwe IP-camera's of toegangspunten moeten zonder significante aanpassingen van de bestaande architectuur kunnen worden geïntegreerd. Zonegebaseerde architecturen maken het mogelijk om nieuwe locaties als afzonderlijke segmenten te integreren, zonder bestaande gebieden te wijzigen.
Context
De bijdrage maakt duidelijk dat beveiligingstechniek in KRITIS-omgevingen niet langer geïsoleerd kan worden beschouwd, maar geldt als integraal onderdeel van de IT-netwerkstructuur. Dit betekent dat verantwoordelijken voor beveiligingstechniek en IT nauwer moeten samenwerken dan voorheen. Historisch gegroeide of ongecontroleerde verbindingen tussen beveiligingssystemen en andere netwerken staan volgens Greunke op gespannen voet met de regelgeving en zijn bovendien problematisch wat betreft traceerbaarheid en auditeerbaarheid.
Voor exploitanten van kritieke infrastructuren – bijvoorbeeld op het gebied van toegangscontrole, videobewaking of alarmtechniek – ontstaat hierdoor duidelijke regelgevingsdruk om te handelen: wie camera's, toegangssystemen of alarmeringstechniek integreert in bestaande IT-landschappen, moet dit doen volgens een gedocumenteerd zone- en beveiligingsconcept dat voldoet aan de genoemde normen en wetten.
Praktijktips
- Beveiligingstechnische systemen (camera's, toegangscontrole, alarmtechniek) in eigen, duidelijk afgebakende netwerkzones gebruiken en niet ongedifferentieerd vermengen met de kantoor-IT.
- Overgangen tussen beveiligingszones en bedrijfs-IT uitsluitend laten verlopen via vastgestelde punten zoals DMZ- of NAT-zones, en deze technisch bewaken.
- Geautomatiseerde bewakingsmechanismen zoals camera-watchdogs of PoE-gebaseerde herstarts inplannen om de beschikbaarheid ook zonder handmatig ingrijpen te waarborgen.
- Communicatiewegen consequent versleutelen – bijvoorbeeld via VPN-verbindingen en end-to-end TLS-versleuteling – om manipulatie en afluisterpogingen te voorkomen.
- Bij de planning van nieuwe installatieonderdelen vanaf het begin inzetten op modulaire, zonegebaseerde architecturen, zodat latere uitbreidingen mogelijk zijn zonder ingrepen in bestaande segmenten.
Vooruitblik
Gezien de in de bijdrage genoemde regelgevende kaders – KRITIS-Dachgesetz, BSI-wet, BSI IT-Grundschutz en IEC 62443 – zal de druk op exploitanten van kritieke infrastructuren waarschijnlijk verder toenemen om hun beveiligingstechniek-netwerken normconform en auditeerbaar in te richten. Greunkes conclusie vat het treffend samen: alleen een soeverein, normconform en auditeerbaar netwerk vormt de basis om beveiligingstechnische systemen regelconform en gestructureerd te exploiteren. Voor ontwerpers, installateurs en exploitanten van beveiligingstechniek betekent dit dat IT-netwerkarchitectuur voortaan als vast onderdeel van elk beveiligingsconcept moet worden meegenomen – van zoneplanning tot versleuteling van communicatiepaden.
