Phoenix Contact raadt industrie aan om investering in cybersecurity prioriteit te maken
“Preventiekost ligt stukken lager dan prijs van een cyberaanval”
Je wil het niet meemaken dat je productie door externe factoren van vandaag op morgen helemaal stilvalt. Nochtans bestaat dat risico wel als je nonchalant met cybersecurity omgaat. Bij Phoenix Contact breken ze dan ook terecht een lans om hier echt werk van te maken. “Je hoeft niet in ijltempo van 0 naar 100 te schakelen: ook de ontwikkeling van juiste procedures en het aanpassingsproces van je medewerkers vergen tijd”, klinkt het bij Peter-Jan Deltour, Head of OT & Cybersecurity bij Phoenix Contact België.
Als toonaangevend technologiebedrijf biedt Phoenix Contact innovatieve oplossingen voor elektrotechniek en automatisering. Je vindt hen overal waar sprake is van het verbinden, het verdelen of het aansturen van stroom of datastromen. Daarvoor ontwikkelt en produceert het bedrijf producten zoals klemmenstroken, voedingen, PLC’s en IoT-oplossingen, gericht op sectoren als machinebouw, energie en infrastructuur. Phoenix Contact helpt bedrijven efficiënter en veiliger te werken, steeds met oog voor duurzaamheid en een focus op digitalisering.
Cyber Resilience Act
“Dat veiligheidsaspect wordt almaar belangrijker”, onderstreept Peter-Jan Deltour. “Onze producten moeten voldoen aan industriële vereisten voor cybersecurity. Tegen 2027 dienen ze ook te beantwoorden aan de normen van de Cyber Resilience Act, die zich vooral op componentenleveranciers – zoals wij – richt. Die nieuwe Europese richtlijn accentueert nogmaals de enorm gestegen noodzaak aan het krachtdadig beveiligen van IT- en OT-oplossingen.”
Bij het integreren van cybersecurity in zijn oplossingen, neemt Phoenix Contact de standaard IEC 62443 als leidraad. “Dit is één van de weinige cybersecurity-standaarden die zich ook op de industriële markt focust. Als onze systemen bij industriële eindklanten worden geïnstalleerd, moeten ze gedurende hun volledige levensduur – dus ook nog binnen pakweg 20 jaar – optimaal functioneren en ook op het eind van die termijn nog aan de veiligheidsvereisten voldoen. IEC 62443 behartigt dat vanuit een integraal luik over componentbeveiliging en -veiligheid. Onze PLC’s beantwoorden al sinds 2019 aan die vereisten, sindsdien gebeurt de integratie stelselmatig ook in al onze andere productgroepen.”
Het cybersecurityverhaal tot de exclusieve verantwoordelijkheid van je IT-afdeling uitroepen, kan risicovol zijn. “Vaak weten die mensen niet voldoende gedetailleerd wat er zich zoal afspeelt inzake operationele technologie. Daarom is het een goed idee om dat toe te vertrouwen aan een partner met diepgaande kennis, zoals bijvoorbeeld een leverancier van dergelijke componenten.”
Verplichte audit
Naast het beveiligen van het eigen productportfolio, biedt Phoenix Contact ook services aan om de eindklanten bij te staan bij het uitstippelen en implementeren van cybersecurity. Vele ondernemingen beseffen dat ze een gestructureerde cybersecurity-aanpak nodig hebben voor hun OT, maar vaak weten ze niet hoe hieraan te beginnen. Om industriële eindklanten te helpen bij het cyberveilig maken van hun infrastructuur, gaat Phoenix Contact heel planmatig te werk.
“Ten eerste brengen we alle elementen (machines, fabriekshal,…) volledig in kaart. De documentatie die bedrijven op dat vlak ter beschikking stellen, komt in de meeste gevallen niet 100% overeen met de realiteit. Als ondernemingen onze ondersteuning willen, is die audit dan ook verplicht, want we moeten zo nauwkeurig mogelijk weten wat we precies moeten beveiligen.”
We moeten ze nauwkeurig mogelijk weten wat we precies moeten beveiligen.
Peter-Jan Deltour, Head of OT & Cybersecurity bij Phoenix Contact
Stap twee is een risicoanalyse. “Niet op cybersecurity inzetten, is een grote fout. Te snel werken is evenmin een goed idee. De technologie op zich kost geld, maar je moet intussen ook procedures laten mee evolueren en je medewerkers de tijd geven om vertrouwd te raken met de nieuwe aanpak. Een te strak tempo aanhouden kan ertoe leiden dat mensen niet meer mee zijn, waardoor er een omgekeerd effect ontstaat en het risico zo mogelijk nog groter wordt. Je mensen zullen ongetwijfeld de beste bedoelingen hebben, maar het is de realiteit dat ze in dergelijke processen in vele gevallen de zwakste schakel zijn.”
Het resultaat van die risicoanalyse is een lijst die alle kleinere en grotere pijnpunten in beeld brengt. “Vervolgens is het aan het bedrijf zelf om de belangrijkste prioriteiten aan te duiden en een timing op te stellen om die aan te pakken. Sowieso kan je wel beginnen met een aantal ‘quick wins’, zoals een correcte configuratie van de firewalls. Andere maatregelen moet je echt concreet inplannen, vermits die een impact kunnen hebben op de operationele stroom van je organisatie.”
Incidentgedreven vraag
Je kan het je eigenlijk niet langer permitteren om cyberveiligheid niet hoog op de agenda te zetten, vindt Peter-Jan.
“We merken gelukkig een groeiende vraag van bedrijven om hen daarbij te ondersteunen, maar helaas gebeurt dat nog (te) vaak nadat ze al met een incident geconfonteerd werden, of nadat een cyberaanval bij een bedrijf veel media-aandacht heeft gekregen. Weet dat die meldingen maar het topje van de ijsberg zijn: lang niet elke geslaagde cyberaanval op een kmo komt in het nieuws.”
Lang niet elke geslaagde cyberaanval op een kmo komt in het nieuws.
Peter-Jan Deltour
Akkoord, cybersecurity is een kost, maar het prijskaartje van preventie ligt sowieso aanzienlijk lager dan de kosten die je moet ophoesten om de impact van een aanval zo veel mogelijk te beperken. “Bovendien is de vraag niet zozeer óf er ooit iets zal gebeuren, maar eerder: wanneer? En: hoe groot is de impact? Het komt erop aan een goede balans te vinden tussen investeren in cyberveiligheid en operationele efficiëntie. Dat evenwicht is niet zo simpel, maar idealiter houdt de weegschaal telkens iets meer rekening met security.”
Partners
Ook Cebeo, systeemintegratoren en machinebouwers vertolken een belangrijke rol in het verbeteren van het cybersecurityniveau in onze industrie, vindt Peter-Jan. “Cebeo staat vanuit zijn positie heel dicht bij de markt en heeft veel voeling met wat er leeft. Daardoor beschikt het over een breder draagvlak om zaken te detecteren en advies te geven. Integratoren en machinebouwers kunnen eveneens van goudwaarde zijn, zonder het zelf goed te beseffen. Voor ondernemingen wordt het namelijk cruciaal om hun hele ‘supply chain’ te beveiligen. Weten dat machines zo goed mogelijk voorzien zijn van cybersecurity, biedt gemoedsrust én schept extra vertrouwen in hun machinebouwers, wat voor die laatsten tot extra mond-tot-mondreclame kan leiden.”
Peter-Jan is lovend over de sensibiliserende inspanningen die het CCB (Center for Cybersecurity Belgium) al langere tijd levert en roept de industrie op om investeren in digitale veiligheid niet tot een dovemanskreet te reduceren. “Zie het niet als een verplichting, maar als een noodzakelijke stap in het veiliger maken van je processen. Als TÜV-gecertificeerde organisatie voor de implementatie van IEC 62443 (zowel qua algemeen management, systeemintegratie als componentbeveiliging), wil Phoenix Contact daar graag toe bijdragen.”
