In het kort
- Een "plat netwerk" betekent: alles hangt aan elkaar, zonder knip tussen kantoor, wifi en productie.
- Bij een productiebedrijf is dat riskanter dan bij een kantoorbedrijf, want de besmetting kan doorlopen tot op de vloer.
- Eén besmette laptop kan zo, zonder tussenstop, bij je machines terechtkomen.
- Netwerksegmentatie lost dit op: opdelen in aparte zones die elkaar niet zomaar kunnen bereiken.
- Achteraf segmenteren kan meestal stapsgewijs, zonder de productie een dag stil te leggen.
Vorige keer legde ik uit hoe een hack via kantoor bij je productie kan komen, en wat dat kan kosten.
Logische vervolgvraag: "Marcel, hoe kan dat nou, dat één besmette pc zomaar bij onze machines komt?"
Het antwoord zit in één term: een plat netwerk. Ik leg uit wat dat is, en waarom dat in een productieomgeving een ander risico is dan op kantoor.
Wat betekent "plat netwerk" eigenlijk?
Simpel gezegd: alles zit op één grote groep, zonder scheiding. Je kantoor-pc's, je printers, je wifi voor bezoekers, en in veel productiebedrijven ook de machines. Allemaal op hetzelfde netwerk, en dus kunnen ze in principe met elkaar praten.
Dat is niet raar. Het is vaak zo gegroeid. Je begint klein, sluit steeds meer apparaten aan op wat er al ligt, en op een gegeven moment hangt alles gewoon aan elkaar. Niemand heeft er ooit bewust voor gekozen. Het is er gewoon zo uitgerold.
Het probleem zit niet in hoe het is ontstaan. Het zit in wat het mogelijk maakt als er iets misgaat.
Waarom is dat een probleem als het al jaren goed gaat?
Omdat een plat netwerk zelf niets fout doet, totdat er iets binnenkomt dat er misbruik van maakt.
Zolang alles normaal werkt, merk je niets van de risico's van een plat netwerk. Pas op het moment dat er ergens een besmetting ontstaat, telt het feit dat er geen scheiding is. Dan kan die besmetting namelijk overal komen waar het netwerk bij kan, in plaats van beperkt te blijven tot waar hij begon.
Het is een beetje als een gebouw zonder brandwerende deuren. Je merkt er niets van, tot er ergens brand uitbreekt.
Hoe springt een besmetting eigenlijk over van een laptop naar een machine?
Digitaal gezien is dat vaak simpeler dan mensen denken.
Een besmette laptop kan, als er niets tussen zit, verbinding maken met alles wat op hetzelfde netwerk bereikbaar is. Dat gaat vanzelf, zonder dat iemand daar met de hand voor hoeft in te grijpen. Software die zich verspreidt, doet dat automatisch, en stopt pas als hij ergens tegen een grens aanloopt.
Zonder scheiding is die grens er niet. De besmetting loopt gewoon door tot hij iets vindt om aan te tasten, of tot iemand het ontdekt.
Meer over hoe dat mechanisme er in het algemeen uitziet, lees je in hoe kan ik mijn bedrijfsnetwerk beveiligen tegen onbevoegde toegang.
Kan één besmette pc de hele lijn platleggen, of alleen één machine?
Dat hangt volledig af van hoe je netwerk is ingericht.
Op een plat netwerk kan het antwoord in het slechtste geval zijn: de hele lijn, of alles wat eraan hangt. Er is dan namelijk geen technische grens die de besmetting tegenhoudt bij die ene machine.
Is je netwerk wél opgedeeld, dan blijft de schade in het slechtste geval beperkt tot het stukje waar de besmetting binnenkwam. Dat is precies het verschil dat segmentatie maakt, en waar de volgende blog uit deze reeks verder op ingaat.
GOED OM TE WETEN Segmentatie voorkomt niet dat er ooit iets binnenkomt. Het voorkomt dat één incident meteen je hele netwerk raakt.
Waarom hebben we dit nooit als apart risico gezien?
Omdat het geen zichtbaar risico is, tot het moment dat het zich voordoet.
Een plat netwerk werkt in het dagelijks gebruik precies zoals een gesegmenteerd netwerk. Je merkt geen verschil, je werkt gewoon door. Het risico zit niet in het dagelijks functioneren, maar in wat er kán gebeuren als er iets misgaat. En dat is nou precies het soort risico dat makkelijk over het hoofd wordt gezien, tot er een aanleiding is om er wél naar te kijken.
Voelen wij als productie hier iets van in het dagelijks werk?
Nee, en dat is meteen een geruststelling van deze blog. Segmentatie zelf verandert niets aan hoe een machine wordt bediend of hoe een operator werkt.
Wat wel verandert, is wat er onder de motorkap gebeurt: welk verkeer waar wel en niet doorheen mag. Dat is voor de mensen op de vloer onzichtbaar, precies zoals het hoort.
Eerlijk: is dit ook een risico voor kleinere productiebedrijven?
Zeker. Sterker nog, kleinere bedrijven hebben relatief vaker een plat netwerk, simpelweg omdat er nooit apart budget of aandacht naar deze scheiding is gegaan.
Heb je een kleine, overzichtelijke omgeving met weinig apparaten en geen gevoelige data op de vloer? Dan is het risico kleiner, maar niet nul. Heb je meerdere machines, leveranciers die op afstand meekijken, en een netwerk dat door de jaren heen is gegroeid? Dan is dit precies het moment om ernaar te laten kijken.
Tot slot
Een plat netwerk is geen fout die iemand bewust heeft gemaakt. Het is meestal gewoon ontstaan, stukje bij beetje. Het probleem is niet hoe het werkt vandaag, maar wat het toestaat op de dag dat er iets misgaat.
De oplossing hoeft geen grote verbouwing te zijn. Segmenteren kan stapsgewijs, naast de bestaande situatie, zonder de lijn ooit stil te leggen.
Volgende keer leg ik precies uit wat micro-segmentatie is, en waarom dat voor machines nog belangrijker is dan voor een kantoornetwerk.
Benieuwd of jouw netwerk plat of opgedeeld is?
Met een Cyber Threat Assessment brengen we in kaart hoe jouw netwerk er nu voor staat, inclusief de vraag of kantoor en productie al gescheiden zijn. We doen dat een week lang, meekijkend, zonder impact op je productie.
Vraag een Cyber Threat Assessment aan →
Vind je dat nog een grote stap? Plan dan eerst een kwartiertje met mij, zonder verplichtingen.
Plan een kwartiertje met Marcel →
Waarom één plat netwerk in een productiebedrijf een tijdbom is