The factory, the building and the cameras. Four ways they stop. De fabriek, het gebouw en de camera's. Vier manieren waarop ze stilvallen.

Most plants, warehouses and buildings grew their networks over decades. The controllers on the line, the climate system, the badge readers and the cameras were plugged into whatever cable was nearest. Today that cable usually leads to the same network as the office laptops. An infection that starts with a spreadsheet in finance can, an hour later, be talking to the machine that fills the bottles. Nobody designed it that way. Nobody designed it at all.

Business impact: an office incident becomes a production incident. Instead of “some laptops need rebuilding” the conversation is “the line is down, the shift is sent home, and we do not know when it restarts”. Downtime is measured in lost output per hour, and in penalties to customers who were promised delivery.

De meeste fabrieken, magazijnen en gebouwen hebben hun netwerk in tientallen jaren laten groeien. De besturingen op de lijn, het klimaatsysteem, de paslezers en de camera's werden aangesloten op de kabel die het dichtst bij lag. Vandaag leidt die kabel meestal naar hetzelfde netwerk als de kantoorlaptops. Een besmetting die begint met een spreadsheet bij finance kan een uur later praten met de machine die de flessen vult. Niemand heeft het zo ontworpen. Niemand heeft het überhaupt ontworpen.

Bedrijfsimpact: een kantoorincident wordt een productie-incident. In plaats van “een paar laptops moeten opnieuw geïnstalleerd worden” gaat het gesprek over “de lijn staat stil, de ploeg is naar huis gestuurd en we weten niet wanneer hij weer start”. Stilstand wordt gemeten in gemiste productie per uur, en in boetes aan klanten aan wie levering was beloofd.

A laptop gets a security update every month. A controller on the line gets one never: the vendor no longer exists, or the update requires stopping production, or the machine is certified as a whole and touching its software voids that certification. Cameras, door controllers and meeting-room screens ship with a factory password that nobody changes because nobody owns them. These devices will run for another decade exactly as they are, holes included.

Business impact: “patch it” is not an option, so the usual answer to a published vulnerability does not exist. The choice is between isolating the device so nothing can reach it, replacing it early at capital cost, or accepting that it is open. That is a business decision with a price tag, not an IT ticket.

Een laptop krijgt elke maand een beveiligingsupdate. Een besturing op de lijn krijgt er nooit een: de leverancier bestaat niet meer, of de update vereist dat de productie stopt, of de machine is als geheel gecertificeerd en aan de software komen maakt die certificering ongeldig. Camera's, deurbesturingen en vergaderschermen worden geleverd met een fabriekswachtwoord dat niemand verandert, omdat niemand er eigenaar van is. Deze apparaten draaien nog tien jaar precies zoals ze zijn, inclusief de gaten.

Bedrijfsimpact: “patch het” is geen optie, dus het gebruikelijke antwoord op een gepubliceerde kwetsbaarheid bestaat niet. De keuze is: het apparaat isoleren zodat niets het kan bereiken, het vervroegd vervangen tegen investeringskosten, of accepteren dat het open staat. Dat is een bedrijfsbeslissing met een prijskaartje, geen IT-ticket.

When the line was installed, the vendor's engineer set up a remote connection so they could fix faults from their office. It was convenient, so it stayed. Years later it is still there: one password shared by the vendor's whole service team, past and present, valid around the clock, terminating directly on the controllers. If that vendor is breached, or an ex-engineer keeps the password, the attacker walks straight past every wall we did build.

Business impact: this is the entry route in a large share of real plant incidents, because it is the one path that was deliberately built to bypass the network boundary. The maintenance contract usually says nothing about it. Whoever signs that contract is, in practice, granting standing access to the production floor.

Toen de lijn werd geïnstalleerd, richtte de monteur van de leverancier een verbinding op afstand in om storingen vanuit kantoor op te lossen. Het was handig, dus het bleef. Jaren later is het er nog: één wachtwoord, gedeeld door het hele serviceteam van de leverancier, huidig en voormalig, dag en nacht geldig, rechtstreeks op de besturingen. Wordt die leverancier gehackt, of houdt een ex-monteur het wachtwoord, dan loopt de aanvaller dwars door elke muur die we wél hebben gebouwd.

Bedrijfsimpact: dit is de ingang bij een groot deel van de echte fabrieksincidenten, omdat het de ene route is die bewust is aangelegd om de netwerkgrens te omzeilen. Het onderhoudscontract zegt er meestal niets over. Wie dat contract tekent, geeft in de praktijk permanente toegang tot de productievloer.

In the office, the worst case is data: stolen, leaked, encrypted. On the plant floor the worst case is physical. A changed setpoint overheats a vessel. A disabled interlock lets two things happen at once that must never happen at once. A frozen cooling system in a data centre or a cold store ruins what is inside. And the operator screen can be made to show normal values while the process is anything but. The damage is to equipment, product, people and the environment, and it is not restored from a backup.

Business impact: a safety incident brings the labour inspectorate, the environmental regulator and the insurer, on top of the production loss. The board is accountable for safety in a way it is not for a data breach. This is why OT security belongs with the operations director and the safety officer, not only with IT.

Op kantoor is het ergste geval data: gestolen, gelekt, versleuteld. Op de productievloer is het ergste geval fysiek. Een gewijzigde instelwaarde laat een vat oververhitten. Een uitgeschakelde vergrendeling laat twee dingen tegelijk gebeuren die nooit tegelijk mogen gebeuren. Een stilgevallen koeling in een datacenter of een koelhuis verpest wat erin ligt. En het bedienscherm kan normale waarden tonen terwijl het proces alles behalve normaal is. De schade is aan apparatuur, product, mensen en milieu, en die komt niet terug uit een back-up.

Bedrijfsimpact: een veiligheidsincident brengt de arbeidsinspectie, de milieutoezichthouder en de verzekeraar aan tafel, bovenop het productieverlies. De directie is aansprakelijk voor veiligheid op een manier die bij een datalek niet geldt. Daarom hoort OT-beveiliging bij de operationeel directeur en de veiligheidskundige, niet alleen bij IT.