Een productielijn die stilvalt, kost direct geld. Elke minuut uitval drukt de OEE, schuift leverdata op en gaat ten koste van de marge. Tegelijk willen steeds meer partijen bij die lijn kunnen komen: de onderhoudspartner van de verpakkingsmachine, de lijnengineer die vanuit huis een recept wil aanpassen, de leverancier van een IIoT-platform dat sensordata naar de cloud stuurt. Ze hebben allemaal toegang nodig tot MES, SCADA of een specifieke machine. En elk van die verbindingen is een mogelijke ingang voor een aanvaller.
Secure Access Service Edge, kortweg SASE, brengt toegang, inspectie en segmentatie samen in één architectuur die grotendeels vanuit de cloud wordt geleverd. Goed ingericht houdt u het beleid centraal in de hand, terwijl de tijdkritische verkeersstromen op de fabrieksvloer er niets van merken. Dat laatste gaat in de praktijk nogal eens mis, en daarom draait dit artikel vooral om de vraag hoe u SASE in een productieomgeving neerzet zonder de lijn te raken.
Waarom Zero Trust en SASE ketenrisico’s in fabrieksomgevingen verkleinen
OT-omgevingen zijn gebouwd om lang mee te gaan. Een PLC die vijftien jaar draait is geen uitzondering, en een HMI op een besturingssysteem dat de fabrikant allang niet meer ondersteunt evenmin. Daar komen leverancierspecifieke protocollen bij, plus patchcycli die meebewegen met het onderhoudsschema van de lijn in plaats van met de actuele dreiging. Elke externe verbinding naar zo’n omgeving vergroot daardoor de kans op misbruik. Is een aanvaller eenmaal binnen, dan kan hij zich in een plat netwerk zonder veel moeite zijwaarts verplaatsen, van het kantoornetwerk naar een engineeringstation en vandaar naar de besturing. Remote toegang van derden, vaak ooit ingericht als tijdelijke oplossing, is bij industriële incidenten een terugkerende ingang.
SASE legt de toegangsbeslissing bij de identiteit van wie of wat verbinding zoekt, of dat nu een medewerker, een machine of een workload is. Toegang geldt per applicatie, volgens het least-privilege-principe, en wordt doorlopend beoordeeld op context, de staat van het apparaat en gedrag. Verkeer hoeft daarvoor niet meer eerst via het centrale datacenter.
Voor Nederlandse fabrikanten speelt ook regelgeving mee. Middelgrote en grote bedrijven in onder meer machinebouw, elektronica, voertuigbouw, chemie en voedselproductie vallen onder de Europese NIS2-richtlijn. De Nederlandse uitwerking daarvan, de Cyberbeveiligingswet, ligt op het moment van schrijven bij de Tweede Kamer, met een beoogde inwerkingtreding in het tweede kwartaal van 2026. Beveiliging van de toeleveringsketen en beleid voor toegangsbeheer staan daarin uitdrukkelijk genoemd. Meer over de risico’s die specifiek spelen in de Nederlandse maakindustrie leest u op onze branchepagina.
SASE uitgelegd voor productielocaties met ZTNA, SWG, CASB en SD-WAN
SASE bestaat uit een paar vaste bouwstenen. Zero Trust Network Access (ZTNA) geeft toegang tot één applicatie in plaats van tot een heel netwerk. Een Secure Web Gateway (SWG) beveiligt het internetverkeer van gebruikers. Een Cloud Access Security Broker (CASB) laat zien welke data er naar SaaS-diensten gaat en wie dat doet. SD-WAN verzorgt de verbindingen tussen fabrieken, kantoren en cloud en kiest per toepassing de beste route. Veel aanbieders voegen daar nog een firewall als clouddienst aan toe.
Op de fabrieksvloer ziet dat er heel concreet uit. Een onderhoudsmonteur logt in en komt uitsluitend bij de HMI of de onderhouds-API van de ene lijn waar hij aan werkt, en alleen zolang het afgesproken change-window openstaat. De rest van het productienetwerk, dat hij via een klassieke VPN-verbinding gewoon zou kunnen zien, bestaat voor hem niet. SD-WAN geeft intussen voorrang aan latency-gevoelige toepassingen zoals machine-vision. Beleid en logging blijven op één plek.
Eén kanttekening ontbreekt in veel verhalen over SASE. Het echt tijdkritische verkeer binnen een cel, zoals PROFINET- of EtherNet/IP-verkeer tussen PLC en I/O, hoort helemaal niet via een cloudplatform te lopen. Dat blijft lokaal. SASE bepaalt wie er van buitenaf bij de fabriek mag en hoe verkeer tussen IT, de OT-DMZ en de cloud wordt gecontroleerd. De segmentatie binnen de fabriek zelf, tussen cellen en zones, blijft daarnaast gewoon nodig.
Kiezen tussen SSE en volledige SASE
Veel organisaties beginnen met Security Service Edge (SSE). Die term introduceerde Gartner in 2021 voor de beveiligingsdiensten uit SASE, zonder de SD-WAN-component. Voor een fabrikant is dat vaak een logische start, bijvoorbeeld als het WAN onder strikte SLA’s van een provider valt, of als eerst de remote toegang, de webbeveiliging en het zicht op cloudgebruik op orde moeten komen. Het WAN kan dan later volgen, wanneer het contract afloopt of een nieuwe locatie erbij komt.
Ons advies is wel om het groeipad direct bij de eerste keuze vast te leggen. Kies SSE-diensten die later zonder herontwerp op SD-WAN aansluiten. Dan kunt u in een volgende fase de routering van deterministische OT-stromen, de kosten van backhaul en de inspectie aan de rand verbeteren, zonder opnieuw te beginnen.
Speelt datalokaliteit of sectorregulering mee? Kijk dan ook waar de inspectiepunten van een aanbieder fysiek staan en waar logdata terechtkomt. Hybride varianten, waarbij een deel van de inspectie op eigen hardware of in een Europese omgeving draait, zijn precies voor die situatie bedoeld.
Stappenplan voor SASE in fabrieken met strikte change-windows
Begin met een eerlijke inventarisatie van wie er nu externe toegang heeft. Dat levert in bijna elke fabriek verrassingen op: een remote-desktoptool die een leverancier jaren geleden heeft geïnstalleerd, een 4G-router in een schakelkast, een gedeeld account dat drie integrators gebruiken. Pas als dat overzicht er is, kunt u toegang zinvol gaan modelleren.
Dat modelleren gebeurt per rol en per taak. Operators, lijnengineers, externe onderhoudspartners en leveranciers van specifieke machines krijgen elk hun eigen profiel. Applicaties definieert u als objecten, zoals “HMI lijn 3” of “historian-webinterface”, in plaats van als netwerken of IP-ranges. Per productielijn legt u vast welke protocollen niet ontsleuteld of aangepast mogen worden, en in welke tijdsvensters wijzigingen zijn toegestaan.
Pilot en opschaling per lijn of site
Start met een pilot in één fabriek en een beperkt aantal applicaties, en laat die aansluiten op het bestaande onderhoudsproces. Meet parallel wat er gebeurt met prestaties en met het productieproces zelf. Gaat dat goed, dan schaalt u op per lijn of per locatie. Elke uitbreiding krijgt een eigen OT-change-window en een uitgeschreven terugvalscenario. Klinkt omslachtig. Het is ook de reden dat de productieleider meewerkt in plaats van tegenwerkt.
Identiteit en device posture als basis voor taakgerichte toegang in de fabriek
Zonder betrouwbare identiteiten is Zero Trust niet te auditen. De identity provider wordt gekoppeld aan ZTNA, multifactorauthenticatie is verplicht en een apparaat moet aan het beveiligingsbeleid voldoen voordat het bij productiekritische systemen mag komen. Contextsignalen zoals locatie, tijdstip, risicoscore en rol bepalen per verzoek of toegang wordt verleend of geblokkeerd. Een engineer die om drie uur ’s nachts vanaf een onbekend apparaat bij een SCADA-server wil, krijgt dus een andere beslissing dan dezelfde engineer overdag op zijn beheerde laptop.
Voor machine-to-machine-verkeer werkt u met service-identiteiten in plaats van technische gebruikersaccounts. Dat voorkomt wachtwoorden die in scripts staan en nooit meer worden gewijzigd, en houdt datacollectie en historian-processen beheersbaar en herleidbaar.
Latency en prestaties voor MES, SCADA en machine-vision bewaken
Beveiliging mag geen ruis veroorzaken in OT-verkeer dat op vaste timing leunt. Kies inspectiepunten en Points of Presence daarom zo dicht mogelijk bij de fabrieken, en geef verkeer voor latency-kritische applicaties voorrang via SD-WAN-voorkeuren. Meet vervolgens per lijn en per applicatie de tijd tot de applicatie reageert, de jitter en het aantal fouten. Doe die nulmeting vóór de migratie, anders heeft u achteraf niets om mee te vergelijken.
TLS-inspectie past u selectief en protocolbewust toe. Veel klassieke industriële protocollen, zoals Modbus TCP, zijn sowieso niet versleuteld, terwijl OPC UA dat wel kan zijn. Waar ontsleutelen niet wenselijk is, vangen identiteits- en contextbeleid aan de rand en strikte segmentatie tussen cellen en zones het risico op.
Veelgemaakte fouten bij SASE voor OT en ICS
De meest voorkomende valkuil is ZTNA inzetten als een nieuwe VPN, en vervolgens toch brede netwerksegmenten openzetten voor leveranciers of integrators omdat dat sneller werkt. Dan heeft u een duurdere VPN.
Een tweede fout is uitzonderingsbeleid laten groeien zonder dat iemand het bijhoudt. Na een jaar staan er tientallen uitzonderingen waarvan niemand meer weet waarom ze er zijn, en wordt elke audit een zoektocht. Ook het standaard afdwingen van volledige inspectie op latency-gevoelige OT-stromen levert gegarandeerd prestatieproblemen op, en daarmee een productieafdeling die de hele oplossing wantrouwt. De remedie is weinig spectaculair: bewuste keuzes per verkeersstroom, documentatie per lijn en een vaste periodieke herziening van risico-acceptaties, gekoppeld aan operatie en onderhoud.
SASE koppelen aan SOC, SIEM en OT-incidentrespons volgens IEC 62443
SASE-telemetrie wordt pas nuttig als die terechtkomt in processen die al draaien. Stuur ZTNA- en SWG-events naar het SIEM en vul die aan met OT-specifieke detectieregels. Denk aan een leveranciersessie buiten het afgesproken onderhoudsvenster, of een account dat ineens meer rechten krijgt. Zulke signalen zijn in een OT-omgeving vaak betekenisvoller dan generieke malwaremeldingen. Hoe centrale logging, correlatie en detectie samen werken, leest u op onze pagina over security operations.
De reeks IEC 62443 geeft richting aan de inrichting. Het denken in zones en conduits sluit goed aan op de manier waarop SASE toegang per applicatie en per verbinding afbakent. Playbooks voor incidentrespons stemt u af op die principes, zodat indammen en herstellen rekening houden met veiligheid, kwaliteitscontroles en lopende productieruns. Een machine die midden in een batch wordt losgekoppeld, kan zelf een incident worden.
ZTNA voor remote onderhoud en leveranciers als eerste stap
De snelste risicoreductie zit in het moderniseren van externe toegang. ZTNA werkt dan als poortwachter voor leveranciers, met toegang die gebonden is aan tijd, taak en apparaat, en die alleen reikt tot de HMI’s, onderhouds-API’s of engineeringstations die voor die klus nodig zijn. Sessies worden opgenomen en gelogd, zodat u achteraf precies kunt nagaan wat er is gebeurd. Die opnames zijn overigens ook bruikbaar als trainingsmateriaal voor nieuwe engineers.
Het mooie van dit startpunt is dat het weinig raakt aan de productie zelf, terwijl het risico merkbaar daalt. Hoe SolidBE toegangscontrole voor gebruikers en apparaten inricht, ziet u bij onze secure access oplossingen.
Overzicht van SASE-maatregelen per OT-toepassing met bijbehorende KPI’s
| OT-toepassing | SASE-maatregel | Operationele verandering | KPI om te bewaken |
|---|---|---|---|
| Extern onderhoud op lijn of machine | ZTNA met taak- en tijdgebonden toegang | Geen brede VPN meer, alleen de doelapplicatie is bereikbaar | Slagingspercentage changes, MTTR, volledigheid audittrail |
| Kwaliteitscamera’s en vision-analyse | SD-WAN met voorkeursroutes en lokale internetuitgang | Lagere latency en minder backhaul | Jitter, pakketverlies, responstijd applicatie |
| SaaS voor engineering en documentatie | SWG en CASB met DLP-beleid | Zicht op datastromen en shadow IT | DLP-meldingen per rol, beleidsovertredingen |
| Data van fabriek naar cloud voor analytics | Service-identiteiten in plaats van technische accounts | Geen vastgecodeerde gebruikers meer in scripts | Sleutelrotatie, mislukte authenticaties |
| Leveranciers met tijdelijke toegang | Just-in-time toegang via de identity provider | Toegang aan en uit per klus, met opname en logging | Ongeautoriseerde pogingen, sessies buiten onderhoudsvensters |
Waar u als fabrikant het beste kunt beginnen
SASE geeft regie over toegang en inspectie zonder de continuïteit van de productie te raken, mits u identiteit centraal zet, gefaseerd migreert en de OT-uitzonderingen expliciet maakt. Het aanvalsoppervlak wordt kleiner en u kunt aantonen wie wanneer waar bij kon.
Wij zouden zelf beginnen bij remote onderhoud en leverancierstoegang met ZTNA. Meet wat dat doet met prestaties en veiligheid, en breid daarna uit naar web- en cloudverkeer en, waar het past, naar SD-WAN. Wilt u sparren over OT, SASE of Zero Trust in uw eigen fabriek, of heeft u hulp nodig bij een netwerk- of securityvraagstuk? Neem contact op met SolidBE, dan kijken we samen waar in uw situatie de meeste winst zit.
