IT vs OT – Waarom IT-beveiliging niet werkt in de productie

“It makes you want to cry” aka WannaCry haalde in 2017 de krantenkoppen en duwde daarmee cybersecurity steeds verder in de publieke belangstelling. In 2020 zou de economie een paar miljard euro schade lijden door datadiefstal, spionage en sabotage. Veel cyberaanvallen en de bijbehorende schade voor bedrijven worden niet eens geregistreerd, waardoor het duistere cijfer hoog is.

Softwareleveranciers en IT-beheerders hebben zich aangepast aan de nieuwe dreiging. Iedereen die met een PC of Mac werkt, is bekend met de vervelende maar noodzakelijke updates en patches die voortdurend door fabrikanten worden aangeboden en door interne IT-afdelingen worden toegepast. En wie geen desktop of een draagbaar apparaat heeft, ervaart het met zijn smartphone. Of het nu gaat om iOS of Android, er is bijna geen maand zonder nieuwe patches.

Aanvallen met ransomware en beveiligingslekken, zoals de meest recente bij log4j, laten zien dat dit complex van onderwerpen niet langer kan worden genegeerd. Was het tot enkele jaren geleden meestal “alleen” de kantoor-IT-omgeving die door aanvallen werd getroffen, sinds Industrie 4.0 en de toenemende netwerkvorming van productiesystemen/machinewerktuigen loopt ook de zogenaamde operationele technologie (OT) gevaar.

Met de normenreeks IEC 62443 is een standaardwerk beschikbaar dat de procedure voor beveiliging in detail beschrijft. Hoewel IEC 62443 “Industrial Automation and Control Systems” (IACS) expliciet betrekking heeft op operationele technologie, is een toepassing voor werktuigmachines niet zonder meer mogelijk.

Ten minste 6 essentiële criteria onderscheiden gereedschapsmachines (en andere productieapparatuur) van klassieke kantoor-IT en maken maatregelen die geschikt zijn voor IT onmogelijk zonder aanvullende overwegingen.

Levenslang

Smartphones worden om de 2 jaar vervangen, meestal bij de verlenging of vernieuwing van het contract met de provider. Pc’s en notebooks op onze werkplekken maken uiterlijk na vijf jaar plaats voor nieuwe apparaten. Apple biedt 5 jaar lang reserveonderdelen voor zijn productassortiment en is daarmee leider in zijn klasse.

Werktuigmachines zijn vaak meer dan 20 jaar in gebruik! Reparaties, onderdelenbeheer enz. zijn voor deze lange periode vanzelfsprekend. Zelfs na deze tijd vinden vaak nog revisies plaats, die nog eens 20 jaar bruikbaarheid garanderen.

Kosten/investering

Kantoor-IT is niet erg kostenintensief. Computers en notebooks (hardware + besturingssysteem + standaardapplicaties) zijn verkrijgbaar voor minder dan 1.000 euro. Premiumapparatuur kost een paar duizend euro.

Werktuigmachines daarentegen, tegenwoordig meestal CNC-gestuurd, kosten 100.000+ euro, tot enkele miljoenen euro’s (bv. vormmachines, meerspillige machines). Complete productielijnen, bestaande uit vele machines, verbindingssystemen enz. bedragen vele miljoenen euro.

Ontwikkelingscyclus

De ontwikkelingscyclus voor kantoorautomatisering is kort. Vrijwel elk jaar komen er nieuwe modellen op de markt, de processoren worden steeds krachtiger, het geheugen steeds groter…

De ontwikkelingscyclus voor werktuigmachines daarentegen is aangepast aan de levensduur. Machinetypes die ontworpen zijn om meer dan 20 jaar te functioneren kunnen en hoeven niet elk jaar of elke twee jaar opnieuw te worden ontworpen.

Patchbeheer werktuigmachines

In kantoor-IT-omgevingen worden patches om fouten te corrigeren en veiligheidslekken te dichten geleverd door de fabrikanten van besturingssystemen en dagelijks toegepast door verantwoordelijke beheerders. Voor beheersdoeleinden is een “auto-update”-functie beschikbaar in de besturingssystemen van bijvoorbeeld smartphones.

In productieomgevingen (bv. werktuigmachines) is patchbeheer zeldzaam. De systemen zijn zeer complex. Patches kunnen niet zomaar worden geïnstalleerd volgens het “try and error” principe. Ze moeten eerst worden getest en goedgekeurd door de machinefabrikant en vaak ook door de CNC-fabrikant.

Beschikbaarheid

Office IT kan gedurende een bepaalde periode van een dag of een week niet beschikbaar zijn. Deze uitspraak is weliswaar algemeen en nauwelijks van toepassing op een datacenter als geheel. Werknemers in kantoren die met computers werken, zullen bovenstaande uitspraak over hun werkplek echter bevestigen. Een typisch voorbeeld is een komende update van een besturingssysteem. Deze wordt aan het eind van de dag uitgerold en het afsluiten van de computer wordt met enkele minuten vertraagd (terwijl het systeem niet beschikbaar is voor andere taken). Productiesystemen daarentegen moeten de klok rond beschikbaar zijn, omdat het uitvallen van een bewerkingsmachine in een productielijn tot enorme productieverliezen kan leiden. Periodieke onderbrekingen van de lopende banden om updates of patches toe te passen worden nauwelijks getolereerd door degenen die verantwoordelijk zijn voor de productie. IEC 62443 definieert beschikbaarheid ook als de hoogste beschermingsdoelstelling in deel 1-1.

Tijdsafhankelijkheid

Tijdvertragingen van (enkele) seconden worden geaccepteerd in IT-toepassingen op kantoor. We zijn allemaal gewend aan reactietijden van seconden, bijvoorbeeld wanneer we op de knop “Bestand opslaan” drukken en het even duurt voordat het volgende venster wordt geopend.

Realtime is een voorwaarde voor de productie van onderdelen die binnen nauwe toleranties moeten worden vervaardigd. Werktuigmachines moeten daarom in real time reageren, d.w.z. binnen milliseconden voor hun CNC-besturingen. Tijdsafhankelijkheid moet dus worden geclassificeerd als kritisch voor productiesystemen, hetgeen wordt bevestigd door IEC 62443. De norm classificeert het real-time vermogen in het millisecondenbereik.

Veiligheid op werktuigmachines – een richtlijn voor fabrikanten

De VDW Research Institute’s Working Group 2 “Control Technology” heeft in oktober 2022 de richtlijn “Security on Machine Tools” gepubliceerd. De richtlijn beschrijft hoe beveiliging op werktuigmachines methodisch kan worden geïmplementeerd voor nieuwe machines, het beschouwt de gehele levensduur en geeft suggesties voor de behandeling van bestaande machines.

De gids introduceert het onderwerp kort en bondig en definieert en verduidelijkt vervolgens belangrijke termen. Het hoofddoel van de gids is het beschrijven van een methodologie voor het veiligstellen van het ontwikkelings- en ontwerpproces van nieuwe werktuigmachines. Hiermee wordt beoogd de machinefabrikant in staat te stellen de beveiliging zelfstandig in zijn processen te integreren door middel van het ontwerp.

Aangezien werktuigmachines een nuttige levensduur van vele jaren hebben en een groot deel van de werktuigmachines als brownfield bestaat, beschrijft de gids ook wat er gedurende de gehele levenscyclus van een machine aan beveiliging kan worden gedaan en hoe de brownfield kan worden beschermd, bijvoorbeeld door middel van individuele maatregelen.

Bron: VDW Research Institute