Projecten

Hoe veilig zijn eigenlijk slimme infrastructuren zoals bruggen in onze steeds digitalere wereld? Die vraag stond twee weken lang centraal in het Cyber Security Living Lab binnen de Dutch Innovation Factory in Zoetermeer, in wat de betrokkenen zelf een pressure cooker noemden. Mbo- en hbo-studenten testten daar onder begeleiding van hun docenten de cyberveiligheid van een realistisch model van een grote verkeersbrug. Een Blue Team verdedigde de brug; een Red Team zette de aanval in. 

Dit is het eerste deel van een serie van drie verhalen over de samenwerking tussen Siemens, De Haagse Hogeschool, mboRijnland en de gemeente Zoetermeer rond cybersecurity in operationele technologie. Deel 1 gaat over de brug als testcase, deel 2 over de samenwerking zelf en deel 3 over de studenten die ermee aan de slag gingen.

Wie zit aan de knoppen?
Ruud Welschen, Industrial Cyber Security Consultant bij Siemens stelde het model van de brug beschikbaar. Toen was het voor hem afwachten. Er volgden dagen van absolute radiostilte. Alles aan de brug werkte. Totdat hij een melding kreeg van de operator: “De brug staat open. Ik heb er geen controle meer over. Iemand anders bedient hem.” Het Red Team, tweedejaarsstudenten ICT van mboRijnland, had de brug gehackt. Welschen: “Met dit scenario illustreren we hoe kwetsbaar operationele techniek (OT) kan zijn zodra die digitaal wordt gestuurd. Stel dat dit gebeurt met de Van Brienenoordbrug in de A16? Of in een fabriek waar de operator zegt: ik probeer de productielijn te besturen, maar dat lukt niet meer. Iemand anders – geen idee wíe – zit aan de knoppen.” 

Kwetsbaarheden
Chakir Douiri is een van de studenten uit het Red Team. "Ik was er zelf ook over verbaasd dat het zo makkelijk is om een brug te hacken," zegt hij. Binnen twee weken had zijn team volledige controle: ze konden de brug openzetten en zoals Chakir het stelt, "een verkeerschaos creëren." Níet door slimme technische trucs uit te halen, maar veel slinkser. “Iemand uit ons team is erin geslaagd om de admin credentials te ontfutselen aan een lid van het Blue Team."

Zijn docent, Fabian Cras, bevestigt het patroon: "Iedereen, zowel operators als gebruikers, vindt dat grote bouwkundige werken altijd moeten functioneren. Maar daarmee is de security awareness nog niet altijd oké. Een operator gaat er vaak veel te gemakkelijk vanuit dat onbevoegden niet bij de kritische delen van een brug kunnen komen. Daarin werkt OT anders dan ICT. Als ICT-docent hamer ik er bij mijn studenten op dat ze datalekken moeten zien te voorkomen. Dat ze alert moeten zijn op phishing. Nu de OT steeds verder is gedigitaliseerd, zit de kwetsbaarheid in de poorten en de accounts van de servers en vooral in de mens die met de servers werkt."  

Stiefmoederlijk
Peter Roelofsma is full professor en lector Risk Management & Cyber Security aan De Haagse Hogeschool en oprichter van het Cyber Security Living Lab. Hij herkent direct het patroon dat Cras schildert. “De relatie tussen cyberrisicomanagement van ICT en OT is lang stiefmoederlijk behandeld. Zo’n brug doet wat hij doet dankzij techniek, mens en organisatie. Dat zijn drie cirkels die elkaar gedeeltelijk overlappen. In die overlap is de mens de kwetsbaarste factor.” 

Staat en focus
Dat een brug centraal stond in de pressure cooker, is niet toevallig. Roelofsma dacht aan de haven van Rotterdam. "Iets wat tot de verbeelding spreekt." Het werd een brug. “Die is niet alleen cruciaal om van A naar B te gaan maar staat ook symbool voor andere operationele technologie als tunnels, energiesystemen, satellieten en ziekenhuizen."

Cras: "Vroeger was operationele techniek beton, metaal en draaibare delen. Nu wordt dat allemaal aangestuurd door ICT. Daardoor kunnen we op afstand een brug monitoren en bedienen." Welschen: “Dat is comfortabel en efficiënt, maar het heeft ook een prijs. Qua cybersecurity moet je bij een brug heel andere maatregelen treffen. Hier gaat het niet om het voorkomen van datalekken. Hier gaat het om 1) de staat van het ding en om 2) de focus op de juiste dingen. Zet een topexpert in dataveiligheid op een brug, en hij kan ongewild totaal de verkeerde dingen doen." 

Razendsnelle IT-ontwikkeling
De Algemene Rekenkamer concludeerde in 2019 dat tunnels, bruggen en sluizen toen nog onvoldoende beveiligd waren tegen cyberaanvallen. De automatiseringssystemen stammen vaak uit de jaren 1980 1990 en zijn later aan netwerken gekoppeld. Destijds waren nog niet alle maatregelen genomen om de kwetsbaarheden te minimaliseren. Roelofsma: "Bruggen hebben een levensduur van zestig jaar en meer. Zes decennia waarin de IT zich razendsnel heeft ontwikkeld. Maar de staat van kennis over het cyberrisicomanagement van de brug is niet zo snel mee ontwikkeld."

Up-to-date
Welschen nuanceert dat. “Het gemak waarmee studenten het model van deze brug hebben gehackt, zegt niets over de staat van de Nederlandse bruggen in het echt. We hebben er bewust voor gekozen om in dit model te werken met verouderde veiligheidsprotocollen. Anders was er voor de studenten geen lol aan geweest; dan waren ze continu tegen een muur aan gelopen. Het rapport van de Algemene Rekenkamer is gedateerd. Sinds 2019 is er veel verbeterd. Vanuit mijn perspectief kan ik nu met de hand op mijn hart zeggen dat de beveiliging van bruggen in Nederland up-to-date is."

Strafschoppen
Welschen en Roelofsma zijn het roerend eens over de kern van de zaak: OT-security is geen zaak die je één keer regelt en dan laat rusten. Roelofsma: “We hebben net het WK voetbal gehad. Strafschoppen moesten bij veel wedstrijden de beslissing brengen. Dan zeggen veel mensen: daar kun je voetballers niet op trainen. Maar iedereen weet dat het wél kan. Zo is dat ook met cybersecurity in een OT omgeving. Zorg dat je goed voorbereid bent op een noodsituatie. Daar kun je je operators op trainen.” Cras: “Het mooie van de pressure cooker was dat studenten in een wat verzwakte testomgeving zich helemaal konden focussen op het ontdekken en beschermen van zwakke punten.”

Security awareness
Welschen is vooral trots op de mbo- en hbo-studenten. “Zij hebben zich zeer gedreven gestort op een vakgebied dat zij tot dan toe helemaal niet kenden.” Chakir Douiri noemt zijn belangrijkste les van die twee weken zonder aarzelen: "Hoe belangrijk security awareness is. Dat je alles wat je doet écht niet zomaar kunt delen."

Het schaalmodel van de brug is weer terug bij Siemens. Wat het blootlegde, geldt voor elk stuk infrastructuur dat inmiddels wordt aangestuurd door software: digitalisering maakt die infrastructuur slimmer. Maar hij blijft even kwetsbaar als de zwakste schakel, de mens. En dat maakt de security awareness die Chakir noemde essentieel.