Zero Trust: De Basis van Industriële Computerbeveiliging

Zero Trust: The Foundation of Industrial Computer Defense

De inzet voor de beveiliging van industriële computers is nog nooit zo hoog geweest. Voor veiligheidsleiders en risico’s in energie, transport, productie en andere kritieke sectoren is de bescherming van operationele technologie (OT) van vitaal belang voor veiligheid, uptime en veerkracht.

Naarmate bedreigingen evolueren, zijn traditionele perimeter- en luchtgordijndiensten niet langer voldoende. Het Cybersecurity and Infrastructure Security Agency (CISA) van de Verenigde Staten heeft onlangs benadrukt hoe microsegmentatie van zero-trust essentieel is om systemen, middelen en gegevens te beschermen. Daarnaast benadrukte CISA hoe een nauwkeurige inventarisatie van OT-activa cruciaal is voor de segmentatie van het OT-netwerk.

Zero Trust-architectuur biedt duidelijke voordelen voor OT-omgevingen: het vermindert aanvalsoppervlakken en beperkt laterale bewegingen die een aanzienlijke negatieve impact kunnen hebben op bedrijfsactiviteiten, zoals aangetoond in de Colonial Pipeline-aanval van 2021, die de brandstofoperaties aan de oostkust van de Verenigde Staten enkele weken verstoord heeft.

Ontdek waarom Zero Trust de basis moet vormen van uw industriële beveiligingsstrategie en hoe Cisco u kan helpen dit op grote schaal te implementeren zonder de productie te onderbreken.

Zero Trust in industriële contexten

Zero Trust volgt een eenvoudig maar krachtig concept: vertrouw nooit, controleer altijd. Het gaat ervan uit dat bedreigingen zowel buiten als binnen uw netwerk bestaan. In plaats van gebruikers en wijd toegankelijke apparaten te vertrouwen, hanteert Zero Trust het principe van “deny by default”, waarbij beheerders expliciete toegangsbeleid moeten configureren.

Deze benadering van “standaard weigeren” creëert echter operationele uitdagingen in industriële omgevingen. Het verlenen van expliciete autorisaties zonder de productie te verstoren vereist een nauwkeurige inventaris van alle activa en hun communicatiemodellen. De meeste organisaties hebben dit vermogen niet vanwege de organische groei van OT-netwerken die vaak duizenden activa omvatten.

Externe toegang is ook een uitdaging. Traditionele VPN’s zijn niet geschikt voor het beheren van een gedetailleerd toegangsbeleid op OT-schaal. VPN’s bieden brede toegang tot het netwerk en vereisen verdere IT-tools en vaardigheden om de toegang te beperken. Dit leidt tot problemen wanneer operaties snelle toegangsrechten vereisen. De uitdaging wordt verergerd door frequente veranderingen in externe gebruikers en de vele bronnen die toegang nodig hebben.

Naarmate de digitalisering versnelt en organisaties zich voorbereiden op industriële automatisering, wordt de behoefte aan nieuwe OT-veiligheidsbenaderingen urgenter. Organisaties hebben oplossingen nodig die Zero Trust-management zonder frictie door OT-teams mogelijk maken, terwijl ze de beveiliging volgens beleid handhaven. Dit vereist een sterke samenwerking tussen IT en OT. Ideale technologieën stellen OT-teams in staat om de kenmerken van het beveiligingsbeleid te beïnvloeden, waardoor risico’s worden verminderd en veilige en efficiënte operaties mogelijk worden gemaakt.

CISA & Standaarden

De gids van CISA voor de implementatie van Zero Trust in OT-omgevingen verbetert aanzienlijk de beveiligingshouding en waarborgt tegelijkertijd naleving van standaarden zoals NERC CIP, NIS2 en IEC 62443.

NERC CIP: vereist dat nutsbedrijven in Noord-Amerika kritieke IT-operaties isolement toepassen

NIS2: vereist dat kritieke Europese industrieën Zero Trust-controls toepassen

IEC 62443: definieert het “Zone and Conduit”-model voor gedetailleerde beveiligingscontroles

Hoe Cisco kan helpen

Cisco’s industriële netwerk- en cybersecurity biedt een geïntegreerd platform dat specifiek is ontworpen voor veilige en vertrouwensgebaseerde industriële netwerken:

1. Definieer Zero Trust-beleid met Cisco Cyber Vision:

Cyber Vision is geïntegreerd in Cisco’s switches en biedt een volledige inventaris van bronnen. Hiermee kunnen OT-teams netwerken praktisch segmenteren door OT-bronnen te groeperen in logische gebieden. Het benadrukt alle communicatieactiviteiten, zodat virtuele segmenten legitiem verkeer niet blokkeren en geen downtime veroorzaken. De intuïtieve interface stelt OT-teams in staat om groepen middelen gemakkelijk aan te passen en het beveiligingsbeleid bij te werken naarmate industriële processen veranderen.

2. Implementeer macro- of microsegmentatie met Cisco TrustSec-technologie en Cisco Identity Services Engine (ISE):

Dezelfde switch die uw bronnen verbindt, biedt zichtbaarheid. Hiermee kunnen OT-teams nieuwe of kwaadwillende bronnen toegang geven tot het netwerk totdat ze deze in een geschikte Cyber Vision-groep plaatsen.

3. Beheer externe toegang met Cyber Vision Secure Equipment Access (CVSEA):

CVSEA maakt veilige externe toegang mogelijk op basis van beleid dat werkt volgens het “deny by default”-principe. Het maakt gebruik van multifactor-authenticatie en past toegang toe op basis van tijd en privileges. Het systeem voert ook houdingscontroles uit op alle externe toegangsactiviteiten, waarbij risicovolle gebeurtenissen zoals ongebruikelijke geolocaties worden benadrukt. In tegenstelling tot traditionele VPN’s verleent CVSEA tijdelijke toegang, op tijd en met minder privileges aan specifieke bronnen op basis van de gebruikersidentiteit.

4. Blijf voorop in bedreigingen met Splunk:

Integratie met Splunk biedt veiligheidsanalisten een uniforme zichtbaarheid tussen OT- en IT-veiligheidsgebeurtenissen, waardoor de gemiddelde tijd om te detecteren (MTTD) en de gemiddelde tijd om te reageren (MTTR) aanzienlijk worden verbeterd.

5. Leidende industrie op het gebied van bedreigingsinlichtingen met Talos:

Cisco Talos biedt realtime bedreigingsinformatie, waardoor alle Cisco-beveiligingsproducten worden gevoed met de nieuwste vaardigheden om malware, kwetsbaarheden en dreigingen te detecteren en opkomende industriële cyberdreigingen bij te houden.

Uw weg naar verbeterde computerweerbaarheid

Volgens de CISA-gids moet u een stapsgewijze aanpak volgen. Begin met het ontwikkelen van een volledige inventaris van bronnen en een gedetailleerde kaart van communicatievereisten. Hiermee kunt u macro-microsegmentatie en microsegmentatie implementeren in uw industriële netwerken.

Het is belangrijk op te merken dat niet alle OT-beveiligingsoplossingen gelijk zijn. Cisco combineert zichtbaarheid, toepassing van Zero Trust-segmentatie en externe toegang tot Zero Trust in industriële switch- en routeringsproducten. Dit biedt een gedetailleerde en nauwkeurige inventaris van bronnen die essentieel zijn voor netwerksegmentatie en het toepassen van grootschalig beveiligingsbeleid. Deze aanpak elimineert risico’s van downtime en creëert een industriële beveiligingsstrategie die door OT-teams kan worden omarmd.

Klaar om uw industriële netwerk te versterken?

Neem contact op met een Cisco Industrial Computer Security Expert om te ontdekken hoe we u kunnen helpen op weg naar Zero Trust.