Belgische technologiebedrijven nemen cybersecurity ernstig, maar toch beschikt slechts 40 procent over een volledige cybersecurity-aanpak.
De Belgische technologische industrie neemt cyberbeveiliging steeds serieuzer. Toch blijkt uit recent onderzoek van Agoria dat vooral de operationele technologie (OT), die cruciaal is voor productieprocessen, nog vaak onvoldoende wordt beschermd. De connectiviteit van deze systemen neemt toe, waardoor ze kwetsbaarder worden voor cyberaanvallen.
Agoria onderzocht de maturiteit in cyberbeveiliging bij 82 Belgische bedrijven in de technologische industrie, vijf jaar na een eerste meting. Slechts 40 procent van de Belgische technologiebedrijven blijkt hun OT volledig in kaart te hebben gebracht. Een geïntegreerde aanpak van IT en OT blijft voorlopig uit.
“Een te groot deel van de bedrijven is nog steeds onvoldoende beschermd tegen aanvallen op hun productieapparatuur. Toch kunnen dergelijke aanvallen de productie gedurende meerdere weken of zelfs maanden vertragen of volledig stilleggen”, aldus Eric Van Cangh, senior Business Group Leader Cybersecurity bij Agoria en medeauteur van het onderzoek.
Inventaris ontbreekt
“Organisaties zien OT vaak volledig apart van IT”, vertelt Patrick Banken, Business Development Manager bij Kappa Data tijdens een rondetafel georganiseerd door ITdaily. “Als we dan langskomen, dan zien we dat beheerders soms toch schrikken wanneer ze zien hoeveel toestellen van de OT-omgeving er eigenlijk toch met de buitenwereld verbonden zijn.”
Die realiteit weerspiegelt zich ook in de cijfers van de Agoria-studie. Slechts 40 procent van de respondenten beschikt over een volledige en actuele inventaris van zijn OT-activa. Agoria noemt die inventaris de scheidslijn: wie weet wat er op de fabrieksvloer staat, beschermt het ook effectief.
Vertrouwen zonder meting
38 procent van de bedrijven is ervan overtuigd een aanval op zijn OT-omgeving binnen enkele uren te detecteren. Tegelijk heeft 34 procent geen enkele technische detectiecapaciteit, en binnen die zelfverzekerde groep kan 48 procent geen enkele detectiemaatregel aanwijzen die zo’n alarm zou genereren. Anomaliedetectie op PLC-gedrag zit bij tien procent: negen op de tien bedrijven zouden niet merken dat een controller anders werkt dan geprogrammeerd.
Ook het herstel blijft onbewezen. 24 procent heeft zowel incidentrespons- als continuïteitsplan uitgebreid naar OT, negentien procent test zijn OT-back-ups regelmatig, en 45 procent houdt nooit een tabletop-oefening. Dat terwijl 81 procent veiligheid of beschikbaarheid als eerste prioriteit noemt.
NIS2-verwarring alom
Over de regelgeving heerst onduidelijkheid in twee richtingen. Van de bedrijven die vermoedelijk niet rechtstreeks onder NIS2 vallen, denkt 43 procent van wel, vaak omdat een klant het contractueel oplegt. Omgekeerd zegt 28 procent van wie waarschijnlijk wél in scope zit, niet onderworpen te zijn of het niet te weten. Van die laatste groep kan veertien procent CyFun- of ISO 27001-conformiteit aantonen. En 78 procent gebruikt IEC 62443 niet of kent de norm niet, net de standaard die telt voor de CRA en de Machineverordening van 20 januari 2027.
Er is ook vooruitgang: 91 procent houdt rekening met cybersecurity bij de aankoop van industriële apparatuur (60% in 2021), 65 procent gebruikt of overweegt een framework (34%).
“Het is van essentieel belang om op dit vlak een geïntegreerde aanpak te hanteren, temeer omdat het aantal cyberaanvallen elk jaar blijft toenemen”, concludeert Van Cangh.