Schoon drinkwater en veel van onze andere eerste levensbehoeften krijgen we aangereikt door geautomatiseerde processen. De installaties hiervoor zijn steeds vaker gekoppeld aan het internet en worden steeds slimmer. Daar zit ook het gevaar. Hoe voorkom je dat hackers toegang krijgen tot de installaties en hoe detecteer je snel kwetsbaarheden of systeemfouten? Het Nederlandse Hudson Cybertec is gespecialiseerd in cybersecurity voor Operationele Technologie (OT). Zij ondersteunen overheden en grote bedrijven bij het beveiligen van vitale digitale infrastructuren.
“Het krijgt nog te weinig aandacht”, vertelt Hudson Cybertec oprichter en managing director Marcel Jutte. “In de jaren negentig was er nog niet de behoefte om operationele technologie te beschermen, omdat deze systemen geen verbinding met de buitenwereld hadden. Maar nu de industrie steeds digitaler wordt, wordt ook het bewustzijn groter”. Jutte zit al 35 jaar in de industriële automatisering. Volgens hem zorgt het gebrek aan kennis en bewustzijn voor grote risico’s. “Met een druk op de knop kun je complete processen platleggen.”
Dat verandert nu. Mede dankzij internationale standaarden, en ook dankzij de overheid. Zo wordt bij aanbestedingen steeds meer naar cybersecurity gevraagd. Hoe Hudson Cybertec bedrijven daarbij helpt? “We beginnen met een nulmeting. Van daaruit kunnen we zien welke maatregelen een bedrijf moet nemen”, legt Jutte uit. De nulmeting bestaat uit een grondig onderzoek. De oprichter vertelt dat ze bijvoorbeeld de beleidstukken opvragen en interviews doen: “We spreken mensen uit alle lagen, van receptioniste tot IT-manager om een goed beeld van de organisatie te krijgen.” De experts kijken vooral naar het samenspel van techniek, beleid en mens. “Die drie elementen moeten in balans zijn”, aldus de directeur. “Elk bedrijf heeft namelijk een eigen cultuur, een eigen jargon en natuurlijk eigen apparatuur.”
Daarnaast geeft het Haagse bedrijf ook trainingen. Er is met name veel behoefte aan het opdoen van kennis van de internationale cybersecurity standaard voor de OT, de IEC 62443. De oprichter noemt als voorbeeld dat je in de OT-sector niet zomaar updates kunt uitvoeren zoals een IT’er dat doet bij een pc of server. “Het kan goed zijn dat de patches die uitkomen dan niet meer compatibel zijn met de andere systemen, waardoor bepaalde processen mogelijk niet meer naar behoren functioneren.” Hij legt uit dat daarom alles van tevoren goed getest moet worden. “We werken zelf actief mee aan de ontwikkeling van de internationale standaard, daardoor zitten we er heel dicht op en worden we gezien als expert op het gebied van cybersecurity voor de industriële automatisering & controle systemen”, aldus de directeur.
Ook in Duitsland is veel behoefte aan trainingen. Jutte zag daar in de loop der jaren echter veel veranderen. Zo was dertig jaar geleden Duits bijvoorbeeld nog de voertaal. “Maar tegenwoordig overheerst Engels in zowel het IT als het OT-domein en je ziet dat deze taal het ook in de Duitse sector wint”, aldus Jutte. “Natuurlijk is het ook zo dat de huidige generatie veel beter Engels spreekt.” Maar hij zag ook verandering in de manier van werken. “Toen ik in het verleden veel met Siemens apparatuur werkte, moest alles veelvuldig getest worden alvorens het op de markt kwam”, vertelt hij. “De technologische ontwikkelingen gaan nu echter zo snel, dat je achter het net vist als je nog steeds op die manier te werkt gaat.”
Hudson Cybertec doet echter meer dan alleen trainingen geven in Duitsland. Ze werken ook samen met de oosterburen. Samen met de Duitse ontwikkelaar Rhebo uit Leipzig heeft Hudson Cybertec een systeem op de markt gezet waarmee je de kwetsbaarheden en aanvallen snel kunt detecteren maar ook kan monitoren in hoeverre je installatie afwijkt van de huidige normen. Jutte: “De installaties die je wilt monitoren zijn vaak erg complex, maar met de dashboards van OT Insight zien medewerkers alleen de delen die voor hun van belang zijn. Je wilt namelijk niet eerst door veel schermen moeten bladeren om te komen tot waar je werkelijk naar op zoek bent.” Daarnaast laat deze oplossing ook zien of de beveiliging aan wet- en regelgeving voldoet. “Deze wordt constant aangescherpt, zowel in Nederland als in Duitsland”, legt Jutte uit, die overigens deel uit maakt van het expertboard van het nationaal cybersecurity centrum van Ministerie van Justitie en Veiligheid. “Een goede ontwikkeling want we hebben te maken met toenemende dreigingen, zoals spionage en gijzelsoftware. Zo geldt er sinds twee jaar, naast de al bestaande meldplicht, nu ook een zorgplicht.” Hij vertelt dat er daarnaast in steeds hogere mate wordt gekeken naar ketenaansprakelijkheid. Behalve de eindproducent zullen ook de toeleveranciers steeds meer aan moeten tonen dat ze cyberveilige producten en diensten leveren.
De band met Duitsland is er dus al sinds enige tijd. Maar om meer uit de Duitse markt te halen, deed Hudson Cybertec in 2019 mee aan het Duitsland-traject van de gemeente Den Haag in samenwerking met de Duits-Nederlandse Handelskamer. “We hebben daar veel geleerd over cultuur en over do’s-and-don’ts”, vertelt de cybersecurityexpert. “Tijdens dit project zijn we in contact gekomen met Duitse partners en kunnen we ons nog beter op de Duitse markt richten. Daarnaast gaan we in oktober mee met een handelsmissie naar Zuid-Duitsland.” Onder andere in de hightech maakindustrie, proces-industrie maar zeker ook de vitale infrastructuur, ligt volgens Jutte nog genoeg potentieel in Duitsland.
Bron: DNHK, november 2021
HUDSON CYBERTEC
