Unsplash
Een modern gebouw kan tientallen soorten netwerkverkeer over dezelfde fysieke infrastructuur vervoeren. Medewerkers gebruiken wifi, bezoekers krijgen internettoegang en gebouwinstallaties wisselen gegevens uit voor klimaatregeling, toegangscontrole, monitoring of beheer op afstand. Dat alles via dezelfde glasvezel, switches of accesspoints laten lopen betekent niet dat het ook één logisch netwerk moet zijn.
Niet ieder apparaat verdient hetzelfde vertrouwen
Een regelinstallatie, werkplek en smartphone van een bezoeker hebben een andere relatie met het gebouw. Vaste installatiecomponenten worden door de beheerorganisatie geselecteerd, geconfigureerd en onderhouden. Op een gastnetwerk verschijnen juist apparaten waarvan configuratie, patchniveau en geïnstalleerde software onbekend zijn.
Dat maakt gastwifi niet automatisch gevaarlijk. Het betekent wel dat een gastapparaat geen reden heeft om rechtstreeks bereikbaar te zijn vanuit dezelfde netwerkzone als bijvoorbeeld een gebouwbeheersysteem. De bezoeker heeft internet nodig; toegang tot interne gebouwfuncties hoort daar niet vanzelf bij.
Een apart SSID is nog geen scheiding
Op het draadloze netwerk kan ‘Gast’ keurig naast ‘Bedrijf’ staan. Dat ziet er voor gebruikers gescheiden uit, maar de naam van een wifi-netwerk zegt niets over de technische verkeersstromen erachter. De relevante vraag is waar het verkeer na verbinding terechtkomt en welke andere systemen vanuit die zone bereikbaar zijn.
Segmentatie deelt een netwerk op in afzonderlijke zones. VLAN’s kunnen daarvoor onderdeel van de inrichting zijn, maar vormen niet op zichzelf het volledige beveiligingsmodel. Routing, firewallregels en andere toegangsbeperkingen bepalen vervolgens welk verkeer tussen segmenten daadwerkelijk wordt toegestaan.
Het uitgangspunt is daarbij functioneel: welke communicatie is noodzakelijk? Een gastapparaat moet bijvoorbeeld via de internetverbinding naar publieke diensten kunnen, maar hoeft daarvoor niet eerst langs een netwerksegment met technische installaties.
Gastinternet moet vooral internet blijven
Bezoekers gebruiken een gastnetwerk voor allerlei gewone publieke internetdiensten. Iemand leest nieuws, opent een webshop, gebruikt webmail of bezoekt een zakelijke website. Een volwassen gebruiker kan eveneens een gereguleerde 18+-dienst als 711.nl openen. Voor het netwerkontwerp zijn zulke bestemmingen in eerste instantie gewoon extern internetverkeer.
Het relevante onderscheid zit daarom niet tussen deze afzonderlijke websites, maar tussen internettoegang en interne bereikbaarheid. Het feit dat een gast verbinding met het openbare internet krijgt, is geen functionele reden om vanaf datzelfde netwerk ook controllers, beheerservers of andere gebouwsystemen te kunnen benaderen.
Daarmee voorkom je tevens dat netwerksegmentatie onbedoeld verandert in een discussie over welke websites bezoekers wel of niet mogen gebruiken. Contentbeleid en technische scheiding zijn twee verschillende vraagstukken.
IT en OT vragen om een bewuste grens
Ook reguliere bedrijfs-IT en operationele gebouwtechniek hoeven niet onbeperkt met elkaar te communiceren. Een beheerwerkplek kan bijvoorbeeld gegevens uit een installatie nodig hebben, terwijl een willekeurige kantoorcomputer geen directe verbinding met iedere regelcontroller nodig heeft.
Het NCSC adviseert bij operationele technologie om IT en OT te scheiden en alleen noodzakelijk verkeer toe te laten. Dat verkleint het gebied waarbinnen een probleem zich ongehinderd kan verspreiden en maakt duidelijker welke verbindingen werkelijk onderdeel zijn van de bedrijfsvoering.
Dat vraagt meer dan één algemene firewall tussen ‘binnen’ en ‘buiten’. Binnen een gebouw kunnen meerdere vertrouwensniveaus bestaan: gasten, kantoorautomatisering, beheeromgevingen, externe onderhoudstoegang en verschillende delen van de OT-installatie.
Remote beheer verdient een eigen route
Installaties worden steeds vaker op afstand onderhouden. Daarmee ontstaat een verkeersstroom die functioneel nodig kan zijn, maar niet hetzelfde is als gewone internettoegang. Een externe servicemedewerker moet mogelijk een specifieke installatie kunnen bereiken zonder daarmee toegang te krijgen tot alle andere netwerken in het gebouw.
Leg daarom vast vanaf welke bron toegang mogelijk is, naar welke systemen die verbinding mag lopen en welke protocollen daarvoor noodzakelijk zijn. ‘De leverancier moet erbij kunnen’ is als ontwerpeis te algemeen. Hoe preciezer de benodigde verbinding wordt beschreven, hoe gerichter de netwerktoegang kan worden ingericht.
Segmentatie moet ook beheerbaar blijven
Een uitgebreid netwerkmodel verliest zijn waarde wanneer enkele jaren later niemand meer weet waarom bepaalde zones met elkaar mogen communiceren. Documenteer daarom niet alleen VLAN-nummers en IP-reeksen, maar ook de functie van segmenten en de reden voor toegestane koppelingen.
Dat helpt bij uitbreidingen. Wanneer later nieuwe sensoren, een andere beheeromgeving of extra draadloze apparatuur worden toegevoegd, kan worden bepaald bij welk vertrouwensniveau ze horen in plaats van ze automatisch aan het dichtstbijzijnde netwerk te koppelen.
De fysieke infrastructuur van een slim gebouw mag veel diensten samenbrengen. Logisch hoeft dat verkeer niet dezelfde vrijheid te krijgen. Door gastinternet, bedrijfs-IT en gebouwtechniek vanuit functie en vertrouwen te scheiden, ontstaat een netwerk waarin ieder onderdeel alleen de verbindingen krijgt die het daadwerkelijk nodig heeft.