NIS2 stelt hogere eisen aan netwerkbeveiliging
De recente goedkeuring van de nieuwe NIS2-richtlijn door de Europese Commissie weerspiegelt de huidige tijdsgeest. Door de wereldwijde pandemie zijn veel bedrijven in de EU versneld overgestapt op digitale technologieën om hun medewerkers productief te houden en om toegang tot waardevolle productiedata mogelijk te maken. Hierdoor is er een ongekend grote hoeveelheid industriële data via bedrijfsnetwerken en het internet uitgewisseld, wat het risico op aanvallen door kwaadwillenden flink heeft vergroot.
Om deze dreiging het hoofd te bieden, heeft de Europese Commissie besloten tot herziening van de bestaande richtlijn inzake de beveiliging van netwerk- en informatiesystemen (NIS), en deze omgevormd tot NIS2. Deze nieuwe richtlijn legt een reeks basisvereisten op, waaronder standaarden voor de uitwisseling van data tussen de productieomgeving en het zakelijke netwerk van een bedrijf.
De uitvoering van deze richtlijn is toevertrouwd aan ENISA, het Europees Agentschap voor Cyberbeveiliging. Voor het opstellen van gedetailleerde richtlijnen doet ENISA een beroep op de expertise van drie gerenommeerde instellingen: NIST, ISO en ISA. Hun aanbevelingen zijn verwerkt in het document Mapping of OES Security Requirements to Specific Sectors.
Gebruik van DMZ’s
Een belangrijk voorbeeld is hoe productiegegevens veilig kunnen worden overgebracht naar het kantoornetwerk. Dit wordt beschreven in het NIST-document SP-800-82: “De meest veilige, beheerbare en schaalbare architecturen voor de scheiding van besturingsnetwerken en zakelijke netwerken bestaan doorgaans uit een systeem met ten minste drie zones, waaronder één of meer DMZ’s.”
Deze drie zones zijn: de besturingszone (OT), de zakelijke zone (IT) en de DMZ. Het document beschrijft hoe firewalls deze zones van elkaar scheiden en zorgen dat alleen de juiste data van de ene naar de andere zone kan stromen. Door een DMZ te gebruiken is er geen directe verbinding tussen het bedrijfs- en besturingsnetwerk, en krijgen enkel geauthenticeerde en bekende gebruikers toegang tot het systeem.
Skkynet raadt het gebruik van een DMZ aan voor OT/IT-netwerkcommunicatie en biedt software aan die industriële data moeiteloos door een DMZ-verbinding transporteert. Waar de meeste industriële protocollen een geopende firewall vereisen, maakt Skkynets gepatenteerde DataHub-architectuur gebruik van een ontwerp waarbij alle inkomende firewallpoorten aan zowel de OT- als IT-zijde gesloten blijven, terwijl toch real-time, tweerichtingsverkeer mogelijk is via de DMZ.
Veilige OT-naar-IT verbindingen
De DataHub-software is de enige oplossing voor procesdata die werkt met volledig gesloten firewalls. Door gebruik te maken van het DHTP-protocol worden er uitsluitend uitgaande verbindingen opgezet vanuit de fabriek of het proces, waardoor alle inkomende poorten dicht blijven. De oplossing ondersteunt DMZ’s en forward proxies, en vereist geen VPN’s – voor een veilige datastroom van OT naar IT.
- Geen blootstelling van het productienetwerk: Geen VPN betekent dat de beveiligingsstructuur van het productienetwerk intact blijft. Werkt naadloos samen met netwerkproxies, dataproxies en DMZ-servers.
- Geen verstoring door IT-netwerk: Read-only opties en niet-intrusieve verbindingen zorgen ervoor dat de productie veilig en operationeel blijft, zelfs bij verminderde beschikbaarheid of compromittering van externe toegang.
- Geen onnodige toegang: De fabriek bepaalt zelf welke data op afstand beschikbaar wordt gesteld.
- Geen prestatieverlies: Real-time data wordt geleverd met slechts microseconden bovenop de netwerkvertraging, en schaalt eenvoudig naar meer dan 50.000 datapunten per seconde – met behoud van het volledige datamodel over verschillende netwerken heen.
- Eenrichtings- of tweerichtingsverkeer: Elke verbinding kan worden ingesteld als alleen-lezen of lezen/schrijven, afhankelijk van of het gaat om monitoring of toezicht op processen.
- Beveiligd door ontwerp: Dankzij de publish/subscribe-architectuur van DataHub is beveiliging ingebouwd en wordt deze altijd beheerd vanuit het productienetwerk.
Ontdek meer voordelen van Cogent Datahub
