Wanneer een monteur van een externe leverancier inlogt op de OT-omgeving van een klant om een firmwareupdate op één specifieke PLC te zetten, en vervolgens het volledige besturingsnetwerk kan zien (inclusief systemen die niets met zijn opdracht te maken hebben) dan gaat er iets redelijk fout. En dat dat geen incident is, is te wijten aan hoe een traditionele VPN-verbinding naar een OT-netwerk meestal werkt. Eenmaal binnen, overal bij.
En dat is niet meer hoe huidige netwerk beveiling zou moeten werken….. dus wat kunnen we eraan doen?
FortiPAM is de privileged access management oplossing van Fortinet, en binnen OT-omgevingen lost het precies dit probleem op. In plaats van externe leveranciers, contractanten of eigen technici via een VPN toegang te geven tot het hele OT-segment, regelt FortiPAM toegang per machine, per protocol en voor een beperkte tijd. Sessies worden daarbij gemonitord en opgenomen, inclusief toetsaanslagen en muisbewegingen, wat het instrument meteen bruikbaar maakt voor audits en voor de Cyberbeveiligingswet. Dit artikel legt uit hoe dat er in de praktijk uitziet, en waarom het meer is dan een chique wachtwoordkluis.
Waarom een VPN naar het volledige OT netwerk niet meer volstaat
Onderhoud op afstand door machineleveranciers, integrators en auditors is in de meeste industriële omgevingen niet weg te denken. Het probleem zit niet in die toegang zelf, maar in de manier waarop die meestal wordt ingericht. Een VPN-tunnel opent doorgaans een compleet netwerksegment, en wie eenmaal is ingelogd kan met een beetje kennis van het netwerk overal bij, van de eigen PLC tot het SCADA-systeem drie hallen verderop. In ons artikel over de grootste risico’s in OT cybersecurity en hoe het Fortinet platform die oplost beschreven we al dat ongecontroleerde toegang van derden een van de meest onderschatte problemen binnen operationele technologie is. Persoonlijk vind ik dat organisaties nog te makkelijk genoegen nemen met zo’n platte VPN-tunnel, puur omdat het sneller ingericht is als een granulaire opzet met losse rechten per gebruiker.
Het punt is dat een aanvaller helemaal geen malware nodig heeft om schade aan te richten zodra hij eenmaal binnen zo’n netwerk zit. Gestolen inloggegevens van één contractant zijn dan genoeg om bij systemen te komen die niks met het oorspronkelijke onderhoudscontract te maken hebben.
Wat FortiPAM is en waar het vandaan komt
FortiPAM is gebouwd op FortiOS, hetzelfde besturingssysteem dat ook onder de FortiGate firewalls draait, en maakt onderdeel uit van de Fortinet Security Fabric. Dat is meer dan een marketingzin, want het betekent dat FortiPAM dezelfde identiteitsbronnen, dezelfde dreigingsinformatie van FortiGuard Labs en dezelfde beheeromgeving kan gebruiken als de rest van een Fortinet-inrichting, in plaats van een geïsoleerd eiland te worden.
Het product richt zich op privileged account and session management, oftewel PASM, en is er voor rollen als firewallbeheerders, Windows-domeinbeheerders en systeembeheerders. Het slaat wachtwoorden, SSH-sleutels, API-tokens en certificaten versleuteld op met AES256, ontdekt en importeert nieuwe of vergeten accounts automatisch, en regelt de periodieke rotatie van wachtwoorden op basis van beleid. Voor OT-omgevingen komt daar een specifieke laag bovenop, die volgens de eigen specificatiebladen van Fortinet expliciet is benoemd als OT-gerichte credential management en secure remote access voor OT.
Granulaire toegang tot machines in plaats van het hele netwerk
Dit is waar FortiPAM voor OT-omgevingen echt het verschil maakt. In plaats van een netwerkverbinding te openen, geeft FortiPAM toegang tot een specifiek doel: die ene HMI, dat ene VNC-station, die ene databaseserver. De gebruiker krijgt nooit het wachtwoord zelf te zien, want de inloggegevens worden door FortiPAM zelf ingevuld op het moment dat de sessie start, en volledig verborgen gehouden voor degene achter het toetsenbord. Wordt een sessie afgesloten, dan kan het wachtwoord automatisch worden ververst, zodat een eenmalig gelekte sessie geen blijvende toegang oplevert.
Toegang per protocol, per asset en met een houdbaarheidsdatum
FortiPAM ondersteunt uit de doos een reeks protocollen die in industriële en IT-omgevingen naast elkaar bestaan, waaronder RDP, SSH, VNC, Telnet, MSSQL, SMB en SCP, en daarnaast is er een launcher waarmee een aangepast protocol kan worden toegevoegd als een specifiek fabrieksstation daarom vraagt. Beheerders stellen per gebruiker, per groep of per rol vast welke doelen bereikbaar zijn, en kunnen daar een goedkeuringsstap aan hangen, tot drie niveaus diep, zodat een aanvraag voor toegang tot een kritieke installatie eerst langs een of meerdere verantwoordelijken gaat voordat de sessie daadwerkelijk opent. Toegang kan bovendien tijdelijk zijn: een leverancier die voor een dagdeel onderhoud komt plegen, houd na afloop geen openstaande rechten over.
Verbinden zonder client software op het apparaat van de monteur
Voor OT is dit misschien wel het meest praktische onderdeel. FortiPAM biedt een clientless variant voor secure remote access, wat betekent dat een externe monteur geen software hoeft te installeren op zijn eigen laptop om verbinding te maken. Dat scheelt discussies met leveranciers die hun laptops liever niet openstellen voor een vreemde agent, en het voorkomt dat een niet-gepatchte machine van een derde partij zelf een risico wordt. Tegelijk is er ook een variant met volledige ZTNA-handhaving beschikbaar, waarbij FortiClient EMS continu controleert of het verbindende apparaat aan het beleid voldoet voordat het toegang krijgt. Die keuze tussen clientless en volledig ZTNA-gehandhaafd geeft organisaties de vrijheid om het beveiligingsniveau af te stemmen op het risico van de doelgroep, in plaats van iedereen over dezelfde kam te scheren.
Sessies opnemen en terugkijken als audit sluitstuk
Toegang beperken is één helft van het verhaal, weten wat er binnen die toegang is gebeurd de andere. FortiPAM monitort actieve sessies in real time, en geeft beheerders de mogelijkheid om een verdachte sessie direct te beëindigen zonder te hoeven wachten tot iemand fysiek bij het apparaat komt. Ik denk zelf dat sessieopnames op termijn net zo vanzelfsprekend worden als cameratoezicht op een productievloer: niemand vindt het gek, en iedereen is opgelucht als de beelden er zijn zodra er iets misgaat.
Wat er precies wordt vastgelegd tijdens een sessie
Concreet legt FortiPAM logins, toetsaanslagen en muisbewegingen vast, en slaat het complete sessies op als video die later kan worden teruggekeken. Beheerders kunnen daarnaast met command filtering en SSH-filterprofielen specifieke commando’s blokkeren, zodat een technicus wel bij een systeem kan komen maar geen destructieve commando’s kan uitvoeren, ook niet per ongeluk. De logs, samen met gebeurtenissen op systeemniveau en gebruikersniveau, wordt centraal bijgehouden in een audittrail die volgens Fortinet zelf manipulatiebestendig is opgezet, wat voor een auditor net zo belangrijk is als de opname zelf. Voor bestandsoverdracht via web-SFTP of SMB draait bovendien een ingebouwde virusscanner en dataleakpreventie mee, aangestuurd door FortiGuard Labs, wat voorkomt dat een sessie wordt misbruikt om malware een OT-netwerk in te smokkelen of juist gevoelige data eruit te sluizen.
Hoe FortiPAM zich verhoudt tot de rest van het Fortinet OT platform
FortiPAM lost het toegangsprobleem op, maar staat niet op zichzelf. Segmentatie van het netwerk zelf, bijvoorbeeld volgens het Purdue-model met FortiGate en FortiSwitch, blijft een aparte laag die los van FortiPAM wordt ingericht. Wat FortiPAM toevoegt is de identiteitslaag daarbovenop: wie mag, wanneer, en tot welk specifiek doel binnen die gesegmenteerde omgeving. Vergelijkbaar met wat we eerder beschreven in ons artikel over SASE in de maakindustrie en hoe dat externe toegang tot SCADA en MES systemen regelt zonder de productie te verstoren, richt FortiPAM zich puur op de sessie en de identiteit, niet op het netwerkpad ernaartoe. Beide oplossingen zijn complementair, en worden bij grotere OT-implementaties vaak naast elkaar ingezet.
FortiPAM koppelt daarnaast met FortiAuthenticator en FortiToken voor multifactor authenticatie en single sign-on, en kan LDAP, RADIUS en SAML gebruiken om automatisch rechten toe te wijzen op basis van groepslidmaatschap zodra een nieuwe gebruiker voor het eerst inlogt. Voor organisaties die zelf al scripts of automatisering draaien, is er een REST API beschikbaar waarmee tools als Ansible of Terraform geheimen uit FortiPAM kunnen ophalen zonder dat een mens daar tussen zit.
Wat dit betekent voor beheerders en voor de Cyberbeveiligingswet
Sinds de Cyberbeveiligingswet op 15 augustus 2026 van kracht is geworden, moeten organisaties die onder de wet vallen kunnen aantonen dat toegang tot kritieke systemen beheerst verloopt, en dat een incident snel te herleiden is. Een manipulatiebestendige audittrail met sessieopnames is precies het soort bewijs waar toezichthouders naar vragen, en scheelt achteraf een hoop reconstructiewerk als er toch iets misgaat. Hetzelfde geldt voor de internationale norm IEC 62443, waarin toegangsbeheersing voor industriële automatisering een terugkerend onderwerp is.
Wat betreft de inrichting zelf is FortiPAM zowel als hardware-appliance als virtuele machine beschikbaar, met licenties die oplopen van een kleine omgeving voor tot 25 gebruikers tot modellen voor honderden gebruikers, en met de keuze tussen licenseren per naam of per gelijktijdige sessie. Voor omgevingen waar uitval geen optie is, biedt het platform high availability en een aparte disaster recovery voorziening, aangevuld met een break glass mogelijkheid voor noodtoegang wanneer de normale goedkeuringsketen even niet beschikbaar is. Mijn advies aan klanten is meestal om te beginnen bij de kroonjuwelen, de PLC’s en HMI’s die bij uitval direct de productie stilleggen, in plaats van in een keer de hele omgeving onder FortiPAM te willen brengen.
Waar de meeste organisaties het beste kunnen beginnen
De vraag is uiteindelijk niet of externe toegang tot een OT-omgeving nodig is, want dat is hij vrijwel altijd. De vraag is of die toegang op dit moment aantoonbaar beperkt is tot wat strikt noodzakelijk, of dat een enkele gelekte VPN-inlog nog steeds toegang geeft tot alles wat er in het netwerk staat. Wie dat laatste antwoord geeft, doet er goed aan eerst te inventariseren welke assets echt kritiek zijn, voordat er wordt gekeken naar een oplossing als FortiPAM.
