Overbruggen van verschillen tussen OT en IT blijft moeilijk

IT en OT zijn twee aparte werelden. Een brug slaan tussen beide afdelingen levert desondanks enorme voordelen op, aldus Simon Dompeling van YaWorks. “De eerste en moeilijkste stap is om met een open instelling samen om de tafel te gaan zitten.”  

Dompeling is Senior Consultant bij YaWorks. Hij heeft inmiddels vaker de IT- en OT-afdeling bij een bedrijf op één lijn gebracht. Wat volgens hem een absolute voorwaarde is voor het welslagen van dergelijke projecten is dat ook de directie aangehaakt is, want: “zonder mandaat ga je helemaal niks veranderen en je krijgt geen mandaat als je het probleem niet duidelijk kan uitleggen, dus daar ligt de eerste belangrijke taak”

Organisatie 
Volgens Dompeling begint het In de praktijk vaak bij een auditor. Die signaleert een aantal OT & IT risico’s in de systemen en gaat vragen stellen. “De OT-systemen zijn tegenwoordig minstens zo kritiek als IT-systemen, dus een auditor verwacht dat het beheer minimaal op hetzelfde niveau is. Maar waar in de loop der jaren bedrijven de regie over IT centraliseerde, standaardiseerde en ITIL introduceerde, ligt de regie voor OT veelal bij de fabriek. Elke fabriek werkt vaak nog steeds met een eigen OT-systeem, een eigen profit and loss, eigen OT-partners en eigen OT-beheer. Helaas heeft een enkele fabriek heeft vrijwel nooit de massa of de middelen om het OT-beheer op het gewenste niveau te brengen.”

De vernieuwing van OT is dan ook vaak IT gedreven. “IT en OT zijn fundamenteel anders, met een compleet andere manier van werken; en die scheiding gaat van onder tot boven door de hele organisatie. Daar waar IT onder de CIO valt en rapporteert aan de CFO, hangt de supply chain vaak onder de COO en rapporteert aan de CEO. Dus ze moeten echt samen om de tafel om eruit te komen.”

Veiligheid vs beveiliging
Het belangrijkste verschil wat overbrugd moet worden is volgens Dompeling de nadruk op veiligheid bij de ene groep en beveiliging bij de andere. “Bij OT gaat het om de beschikbaarheid van het systeem zodat de fabriek in de eerste plaats altijd kan blijven draaien en er geen slachtoffers vallen door een mankement in het systeem; voor IT is het belangrijk dat informatie niet ongewenst verandert of in verkeerde handen valt.”
Vaak zie je dat IT haar beveiligingsbeleid probeert te op te leggen op de fabrieksomgeving. Maar een IT-beveiligingsbeleid is gericht op risico's die meestal niet of nauwelijks in de fabrieksomgeving voorkomen. IT laat zich vaak leiden door eigen ervaringen en belevingen om te bepalen wat belangrijk is. 

Productieproces bepaalt de organisatie
Een andere uitdaging is dat het in de maakindustrie draait om het productieproces. Dit maakt elke fabrieksomgeving en dus ook elke OT-omgeving uniek. Terwijl de ondersteunende organisatie, waaronder personeelszaken, marketing, boekhoudingsafdeling, etc, over het algemeen vergelijkbaar zijn ingericht met vergelijkbare security vereisten en risico's. Binnen de OT-omgeving hangt dit sterk af van het productieproces zelf en heeft elk productieproces andere veiligheidsrisico’s vanwege het werken met machines, en heeft elk productieproces andere karakteristieken, risico's en marges. De OT-cultuur in bijvoorbeeld de petrochemie is volkomen anders dan die in de food & beverage. 
Het is dan ook niet gek dat er dan cultuurverschillen ontstaan tussen de maak- en ondersteunende organisatie. 

Inleven
IT en OT hebben duidelijk verschillende behoeften en de diensten van een IT-afdeling hoeven niet toepasbaar te zijn in een fabrieksomgeving.
Daarbij heeft IT heeft de luxe dat zij zichzelf elke vier à vijf jaar opnieuw kan uitvinden omdat de levensduur van de apparatuur veel korter is. OT kan dit vaak niet, zij hebben te maken met fabrieksmachines die vaak meer dan twintig jaar meegaan. “IT en OT zijn gewoon fundamenteel anders, met een compleet andere manier van werken.”

Toch is het is mogelijk om beiden nader tot elkaar te brengen, zo heeft Dompeling ervaren. “De eerste en moeilijkste stap is om met een open instelling samen om de tafel te gaan zitten.”  

Het is zaak om de overeenkomsten en verschillen zo concreet mogelijk te maken en de noodzaak voor de verschillen voor zowel de maak- als ondersteunde organisaties te onderbouwen. 
Bij het concretiseren worden verschillen in bijvoorbeeld service venster, servicelevels, onderhoudsvensters, updatebeleid of wijzigingsbeheer duidelijk. Zo ontdek je dat een gedeelde IT/OT dienstverlening respectievelijk overdelivered of underdelivered voor of de maak- of ondersteunde organisatie.

Ook moet besloten worden welke systemen in welke zone horen. Bij deze bepaling kijk je naar de organisatie die het systeem uiteindelijk bedient. “Een SCADA server is geen IT-systeem omdat het een server is, maar OT-systeem omdat SCADA de maak-organisatie bedient. Sommige (infrastructuur-) systemen bedienen beide organisaties en in deze gevallen moet een keuze worden gemaakt voor het ontvlechten of een niet suboptimale ondersteuning voor één van de twee afdelingen”.

Daarna is het belangrijk om een scheiding met beperkte communicatie tussen de zones aan te brengen. Een goede scheiding beschermt de kritieke OT-systemen, voorziet tegelijkertijd in de behoefte aan ondersteuning op afstand en de ontsluiting van data OT naar buiten en heeft duidelijke spelregels over toegestane communicatie van en naar de OT-zone.
Uiteindelijk, aldus Dompeling, kom je dan tot efficiëntere en beheersbare processen binnen de onderneming die kunnen rekenen op instemming van IT én OT.

“Als je echt een brug weet te slaan tussen OT en IT zijn de potentiële voordelen enorm. Denk aan het verbeteren van systeembeheer, downtime te verminderen door ondersteuning op afstand en preventief onderhoud te verbeteren door de toepassing van kunstmatige intelligentie. En de eerste stap kan je in feite vandaag al zetten door de vloer op te stappen en in gesprek te gaan.”