Van air-gapped naar verbonden: hoe je grip houdt als isolatie geen optie meer is

Jarenlang gold de air-gap als hét beveiligingsmiddel voor OT-omgevingen. Als systemen fysiek losgekoppeld zijn van het internet en het bedrijfsnetwerk, kunnen aanvallers er simpelweg niet of nauwelijks bij. Die redenering klopt nog steeds. Maar voor veel organisaties is de air-gap allang geen realiteit meer, zonder dat iemand daar een bewuste keuze in heeft gemaakt.

Drie situaties, één vraag

Niet elke organisatie staat op hetzelfde punt. Grofweg zijn er drie situaties:

1. De bewuste air-gap: een organisatie die na zorgvuldige afweging besluit haar OT-omgeving volledig geïsoleerd te houden. Voor sommige sectoren; denk aan defensie, nucleaire energie of bepaalde onderdelen van de waterinfrastructuur, is dit nog steeds de juiste keuze. De risico’s van verbinding wegen niet op tegen de operationele voordelen.
2. De bewuste verbinding: een organisatie die actief kiest om OT en IT te koppelen, gedreven door remote monitoring, data-integratie of leverancierstoegang die deze stap zorgvuldig voorbereidt.
3. De onbewuste verbinding: een omgeving die op papier nog steeds “air-gapped” heet, maar in de praktijk tientallen kleine gaatjes heeft. Bijvoorbeeld een tijdelijke VPN-verbinding voor een leverancier die niet op locatie kon komen, een USB-stick met een software-update, of een dataverbinding aangevraagd door operations omdat het efficiënter was. 
   Deze derde situatie is het meest herkenbaar en het meest risicovol. Niet omdat de verbindingen er zijn, maar omdat niemand ze als zodanig behandelt. De gevaarlijkste situatie is niet een omgeving zonder air-gap. Het is een omgeving waarvan iedereen denkt dat die er nog is.

Waarom de air-gap onder druk staat

Ook voor organisaties die de air-gap bewust willen handhaven, is volledige isolatie steeds moeilijker vol te houden. De druk komt van meerdere kanten.

Remote monitoring en onderhoud maken het mogelijk om problemen te signaleren voordat ze tot uitval leiden. In sectoren als energie en water, waar fysieke aanwezigheid kostbaar of logistiek complex is, is dat een concreet voordeel dat operations moeilijk naast zich neerlegt.

Data-integratie geeft operationele managers real-time inzicht in productie-output, energieverbruik en machineconditie. Die data stroomt naar ERP-systemen, dashboards en analyseprogramma’s en daarmee onvermijdelijk richting het IT-netwerk.

Externe leveranciers vragen om toegang voor onderhoud, updates en support. Bij gespecialiseerde systemen is remote toegang soms de enige optie. De keuze is dan niet meer óf er een verbinding komt, maar hoe die beveiligd wordt.

Het probleem is niet dat deze verbindingen worden gelegd. Het probleem is dat de beveiligingsconsequenties zelden evenredig worden meegewogen. De verbinding wordt gelegd, de voordelen worden gerealiseerd en de beveiliging komt later of helemaal niet.

Wat de air-gap deed en wat ervoor in de plaats moet komen

De air-gap deed één ding bijzonder goed: het maakte aanvallen fysiek bijna onmogelijk. Geen verbinding, geen aanval. Dat principe valt niet één-op-één te vertalen naar een verbonden omgeving. Maar het kan worden vervangen door een combinatie van maatregelen die samen hetzelfde doel bereiken: aanvallers buiten houdenen schade beperken als dat niet lukt.

Segmentatie: meerdere grenzen in plaats van één

Waar de air-gap één harde grens trok, creëert netwerksegmentatie meerdere grenzen binnen het netwerk. Het Purdue-model biedt daarvoor een bewezen architectuur: een gelaagde indeling waarbij elk niveau alleen communiceert met de aangrenzende lagen en waarbij OT-systemen nooit rechtstreeks bereikbaar zijn vanuit het IT-netwerk of het internet. Tussen IT en OT komt een Demilitarized Zone (DMZ) die als buffer fungeert.

Wat daarbij cruciaal is: de firewalls op die grenzen moeten OT-protocollen begrijpen. Een generieke IT-firewall die toevallig ook OT-verkeer ziet, is niet genoeg. Modbus, DNP3 en IEC 60870-5-104 vereisen diepe pakketinspectie die specifiek op die protocollen is afgestemd. Alleen dan kun je afwijkend verkeer herkennen en blokkeren. Segmentatie heeft nog een tweede voordeel: het beperkt de schade als een aanvaller toch binnenkomt. Een gecompromitteerd systeem in zone A kan niet zomaar lateraal bewegen naar zone B. De impact van een incident blijft beheersbaar.

Veilige remote access: de deur die de air-gap niet had

De air-gap had geen deur nodig. Een verbonden omgeving wel en die deur moet stevig op slot. Een VPN-verbinding met een wachtwoord is daarvoor niet genoeg. Het minimum is multi-factor authenticatie. Maar voor OT-omgevingen is Privileged Access Management (PAM) de juiste aanpak: een centrale voorziening die bepaalt wie toegang krijgt tot welk systeem, onder welke voorwaarden en voor hoe lang en die elke sessie registreert en optioneel opneemt.

In de praktijk betekent dit: leveranciers krijgen geen permanente toegang. Ze krijgen tijdelijke, beperkte toegang tot de systemen waarvoor ze verantwoordelijk zijn, op het moment dat ze die nodig hebben. Daarna vervalt die toegang automatisch. Elke sessie is traceerbaar. Dat is niet alleen beter voor de beveiliging, het is ook aantoonbaar richting toezichthouders.

Actieve monitoring: zien wat er gebeurt

In een geïsoleerde omgeving was vertrouwen eenvoudig. In een verbonden omgeving is niets vanzelfsprekend. Nieuwe apparaten, onverwachte verbindingen, afwijkend gedrag: al deze signalen vereisen actieve monitoring. OT-omgevingen lenen zich hier juist goed voor, omdat normaal gedrag zo voorspelbaar is. Dezelfde systemen communiceren op vaste tijden, via bekende protocollen, met bekende tegenpartijen. Elke afwijking is een signaal. Network Detection and Response (NDR) voor OT herkent die afwijkingen en kan automatisch ingrijpen, niet op basis van handtekeningen, maar op basis van gedrag. Gecombineerd met centraal logbeheer geeft dat het zicht dat een air-gapped omgeving vroeger had door simpelweg niets toe te laten.

De overgangsfase: het gevaarlijkste moment

Wie de stap zet van air-gapped naar verbonden, doorloopt een fase waarin de oude bescherming al weg is maar de nieuwe nog niet volledig op zijn plek staat. Juist op dat moment is de kwetsbaarheid het grootst.

Verbind nooit voordat de beveiligingsarchitectuur klaar is. De verbinding leggen en daarna de beveiliging regelen is de meest gemaakte fout. Segmentatie, toegangscontrole en monitoring moeten op orde zijn voordat het eerste dataverkeer loopt.

Breng eerst in kaart wat er is. Een verbonden omgeving die je niet volledig kent is onbeheersbaar. Weet wat er in je OT-omgeving draait, hoe het communiceert en hoe kritiek elk systeem is. Zonder die inventarisatie zijn alle vervolgstappen gebouwd op drijfzand.

Faseer de verbinding. Verbind niet alles tegelijk. Begin met de minst kritieke systemen, leer van de ervaringen en breid daarna stap voor stap uit. Dat geeft tijd om problemen te herkennen voordat ze kritieke processen raken.

Test actief of de controls werken. Vertrouw niet op configuraties die op papier kloppen. Penetratietests en gesimuleerde aanvalsscenario’s laten zien of de segmentatie in de praktijk ook houdt.

Hoe Nomios en Fortinet hierbij helpen

De overgang van air-gapped naar verbonden vraagt om technologie die specifiek is ontworpen voor OT-omgevingen, geen voor de IT-markt aangepaste producten.

Fortinet biedt met de FortiGate (Rugged)-firewalls in combinatie met de OT Security Service licentie de basis voor segmentatie die OT-protocollen echt begrijpt. FortiNAC zorgt voor netwerktoegangscontrole op apparaatniveau: elk apparaat dat verbinding maakt wordt herkend en geclassificeerd voordat het toegang krijgt. FortiPAM regelt de gecentraliseerde toegangscontrole voor externe technici en leveranciers, inclusief sessieregistratie en tijdelijke toegangsrechten.

Nomios begeleidt organisaties door de overgangsfase: van de eerste inventarisatie tot het ontwerp van de beveiligingsarchitectuur en de uitrol van de juiste controls. We zien in de praktijk welke fouten worden gemaakt als de overgang te snel of zonder voorbereiding plaatsvindt en weten hoe die te vermijden.

Beveiliging voorbij de air gap

De air-gap is voor sommige organisaties nog steeds een bewuste en verdedigbare keuze. Maar voor veel andere is hij al lang geen realiteit meer, zonder dat iemand dat goed heeft doordacht. En juist die situatie is gevaarlijk. Of je nu bewust verbindt of al verbonden bent zonder het goed te hebben ingericht: de vraag is dezelfde. Hoe vervang je de bescherming die isolatie bood door iets wat in een verbonden wereld even effectief is? Het antwoord ligt in segmentatie, gecontroleerde toegang en actieve monitoring, samen opgebouwd, niet achteraf toegevoegd.

In de volgende blog gaan we dieper in op hoe je dit vertaalt naar een OT-security-programma dat standhoudt, ook als de druk vanuit operations, budget en regelgeving toeneemt.

De eerste blog van de serie gemist?

Lees de blog hier: OT Security in 2026: from blind spot to strategic priority.