Waarom er voor kritieke infrastructuur zero-trust beveiliging nodig is

Kwaadaardige cyberactiviteit was eind juli 2026 gericht op technologie voor bewaking en beheer op afstand bij meer dan 30 gemeentelijke watersystemen in heel Minnesota, waarna cyberaanvallen op watersystemen werden gemeld in ten minste 12 staten. De onderliggende zwakke punten in de OT-beveiliging zijn echter niet exclusief voor de watersector. Energiebedrijven, productiebedrijven, transportsystemen en instellingen in de publieke sector maken gebruik van dezelfde soorten operationele technologie (OT) en vertrouwen op vergelijkbare externe integrators voor het onderhoud, waarbij ze apparatuur gebruiken die is geïnstalleerd voordat iemand dacht dat deze via het internet bereikbaar zou zijn. Kritieke infrastructuur heeft zero-trust beveiliging nodig omdat deze omgevingen nog steeds toegang verlenen op basis van waar een gebruiker of apparaat zich op het netwerk bevindt, en aanvallers nu misbruik maken van die aanname.

Lees verder over hoe traditionele beveiligingsmodellen ontoereikend zijn geworden, waarom aanvallers OT-kwetsbaarheden door AI sneller kunnen vinden en hoe zero-trust kan worden toegepast op OT-omgevingen om kritieke infrastructuur te beschermen.

Hoe het traditionele beveiligingsmodel faalt bij kritieke infrastructuur

Controllers die via internet toegankelijk zijn, standaardaanmeldingsgegevens en altijd ingeschakelde toegang voor leveranciers zijn bekende zwakke punten, en geen daarvan vereist geavanceerde technologie of expertise om te worden uitgebuit, omdat ze berusten op vertrouwensaannames. Een plat of licht gesegmenteerd netwerk gaat ervan uit dat alles wat zich er al binnen bevindt, er thuishoort; een engineering-workstation met toegang tot alle controllers gaat ervan uit dat de persoon achter het toetsenbord degene is die daar hoort te zijn. Evenzo gaat een standaardwachtwoord ervan uit dat het apparaat zich ergens bevindt waar een buitenstaander niet bij kan.

De cyberaanval op het Amerikaanse waternetwerk bracht een minder opvallende versie van hetzelfde onderliggende probleem aan het licht: sommige bereikbare apparatuur bestaat uit cellulaire modems en apparaten die door leveranciers zijn geïnstalleerd en nooit worden meegenomen in routinematige beveiligingsscans. De meeste van deze omgevingen zijn ontworpen onder omstandigheden waarin elke aanname bij de installatie werd gedaan en sindsdien door elk team is overgenomen, zonder ooit opnieuw te worden onderzocht. Niemand is van plan om een PLC op het openbare internet achter te laten, maar IT/OT-convergentie heeft de afgelopen jaren de grens verlegd en de vertrouwenskaart is daar niet op aangepast.

Waarom AI ervoor zorgt dat u minder tijd heeft om OT-kwetsbaarheden op te lossen

In het gezamenlijke advies AA26-231A, gepubliceerd op 19 augustus 2026, meldden de NSA, CISA, de FBI, het Department of Energy en de Environmental Protection Agency dat cybercriminelen door AI gegenereerde scripts gebruiken, vermomd als legitieme monitoringtools, om verkenningen uit te voeren op aan het internet blootgestelde PLC’s uit de Siemens S7-serie. De instanties waarschuwden dat AI-ondersteunde ontwikkeling de technische drempel kan verlagen en de benodigde tijd om exploitatietools te maken kan verkorten. Het advies beschrijft geen nieuwe zero-day-kwetsbaarheden, en de waargenomen activiteit betreft verkenning in plaats van een bevestigde verstoring. De zwakke punten zijn dezelfde als die al in federale adviezen staan, maar wat er is veranderd, is wie hierop kan reageren en hoe snel.

AI-gestuurde beveiligingszorgen breiden zich ook uit naar de identiteitskant. Op 27 augustus 2026 ondertekenden meer dan 100 organisaties een open brief over collectieve cyberverdediging waarin lezers worden gewaarschuwd dat cyberaanvallen met AI binnenkort vaker zouden kunnen voorkomen, en waarin ziekenhuizen, waterzuiveringsinstallaties en internetinfrastructuur worden genoemd als systemen die risico lopen. Er wordt opgeroepen tot steun voor verdedigers van kritieke infrastructuur met beperkte middelen.

Hoe zero-trust voor kritieke infrastructuur OT-beveiliging verandert

Zero-trust is een beveiligingsmodel dat impliciet vertrouwen wegneemt; in plaats van toegang te verlenen op basis van netwerklocatie, verifieert het elke gebruiker en elk apparaat op basis van identiteit, beperkt het de toegang tot het minimum en registreert het activiteiten. In OT-omgevingen betekent zero-trust dat het feit dat iemand zich op het controlenetwerk bevindt, diegene niet langer het recht geeft om de apparatuur daarop te bereiken. Nu verschuift wat er moet worden verdedigd. Daarom werkt zero-trust in omgevingen waarin de grens al is vervaagd en de apparatuur erachter niet kan worden vervangen.

Identiteit wordt het controlepunt, niet de netwerklocatie

Elke mens, leverancier, serviceaccount en AI-agent die in aanraking komt met uw omgeving krijgt een geverifieerde identiteit, en toegangsbeslissingen worden genomen op basis van die identiteit in plaats van een IP-adres. Een gedeelde operator-aanmelding faalt direct bij deze test omdat deze een rol identificeert, geen persoon. De AI-sector heeft dezelfde norm vastgelegd voor zijn eigen systemen. In de gezamenlijke brief staat dat agentic identiteiten traceerbaar moeten zijn en dat er verantwoording over moet kunnen worden afgelegd; een verbintenis van de bedrijven die deze agents bouwen, geen richtlijn voor infrastructuurbeheerders. Het is nog steeds de moeite waard om uw AI-leveranciers aan die standaard te houden en deze toe te passen op elke agent die in uw omgeving actief is, om ervoor te zorgen dat AI-agents geen permanente toegang hebben.

Minimale privileges en JIT-toegang zijn de prioriteit, niet permanente toegang

Denk aan een integrator die elke zes maanden onderhoud uitvoert aan een zuiveringsinstallatie en telkens enkele uren toegang nodig heeft. Onder een traditioneel cyberbeveiligingsmodel beschikt die leverancier over een permanent VPN-account, wat betekent dat hun aanmeldingsgegevens de rest van het jaar een actieve toegangsweg tot uw netwerk blijven, uitsluitend beschermd door hun interne beveiligingspraktijken. Just-in-time (JIT) toegang draait dat om; het account wordt alleen ingericht wanneer het werk is gepland, beperkt tot het specifieke systeem en automatisch ingetrokken wanneer de periode afloopt. Zero-Trust Network Access (ZTNA) past hetzelfde principe toe op de verbinding zelf; in plaats van de leverancier op uw netwerk te plaatsen zoals een VPN doet, verbindt het deze met één systeem en maakt het niets anders zichtbaar.

Beperk de explosieradius over de IT/OT-grens heen

Containment gaat ervan uit dat iemand uiteindelijk toegang krijgt en stelt de vraag hoe ver diegene met die toegang kan gaan. Het segmenteren van de IT/OT-grens, het beperken van welke engineeringworkstations met welke controllers mogen communiceren en het elimineren van permanente toegang minimaliseren allemaal de explosieradius. Dezelfde logica geldt voor AI-agents die actief zijn binnen uw systemen, waar machtigingen zich snel en ongemerkt opstapelen. Probeer onze calculator voor de explosieradius van AI-agents om te zien hoe ver een enkele gecompromitteerde AI-agent kan reiken.

Verifieer voortdurend, monitor activiteit en neem sessies op

Verificatie bij aanmelding vereist één controle; bij continue verificatie wordt toegang opnieuw beoordeeld wanneer omstandigheden veranderen en wordt toegang ingetrokken wanneer dat gebeurt. Sessiemonitoring en -opname leggen precies vast wat er tijdens een geprivilegieerde verbinding met een controller is gebeurd, waardoor een verdachte gebeurtenis iets wordt dat u kunt onderzoeken in plaats van achteraf te reconstrueren.

Hoe u zero-trust toepast op OT-omgevingen

In OT-omgevingen zijn beschikbaarheid en veiligheid de belangrijkste beveiligingsprioriteiten, omdat het uitvallen van een besturingssysteem kan betekenen dat mensen mogelijk geen water of stroom krijgen. De richtlijnen van CISA voor het afstemmen van zero-trust-principes op OT koppelen de beoogde resultaten van zero-trust aan de zes functies van NIST CSF 2.0 en houden daarbij expliciet rekening met tekortkomingen van verouderde systemen, operationele beperkingen en veiligheidseisen. De richtlijn erkent dat zero-trust-principes moeten worden aangepast aan OT-omgevingen in plaats van identiek te worden toegepast op traditionele IT-systemen. Dat is het praktische argument voor zero-trust in OT. Aanbeveling AA26-231A raadt operators ook aan om compenserende maatregelen te gebruiken wanneer een verouderd apparaat niet kan worden gepatcht of opnieuw geconfigureerd zonder geplande uitval, en de gezamenlijke brief pleit voor dezelfde strategie. Een verouderde controller kan mogelijk niet worden gepatcht, maar wie deze bereikt, waarvandaan en voor hoe lang kan worden beheerd en gemonitord. Zo kunt u beginnen met het toepassen van zero-trust op OT-omgevingen:

Bescherm uw kritieke infrastructuur met Keeper

Recent cyber attacks and federal advisories show why critical infrastructure organizations need stronger controls around privileged and remote access, particularly when legacy OT cannot be quickly patched or replaced. Organizations can reduce risk by controlling who can access critical systems, what resources they can reach, how long access lasts and what actions they can take. KeeperPAM® helps critical infrastructure organizations secure and manage privileged access across IT and OT environments. Through the KeeperPAM Gateway, it provides secure remote access to infrastructure without opening inbound firewall ports or exposing credentials to end users. Built on a zero-trust and zero-knowledge architecture, KeeperPAM also supports JIT access, automated credential rotation, least-privilege access and privileged session management. Start a free trial of KeeperPAM to close the access paths attackers are already scanning for.