Fortinet past AI systemen toe in de beveiliging van OT

Slaats, die sinds januari 2026 werkzaam is in zijn huidige rol bij Fortinet, kent de wereld van netwerken en kritieke infrastructuren van haver tot gort. Met ruim twintig jaar ervaring in netwerkarchitecturen — waarvan twaalf jaar bij Vodafone Business met een sterke focus op internationale netwerkintegratie, security en kritieke omgevingen — ziet hij hoe het dreigingslandschap voor de industrie ingrijpend is veranderd. Knelpunten die voorheen uitsluitend in de IT-wereld speelden, sijpelen nu in hoog tempo door naar de fysieke apparatuur op de fabrieksvloer.

De verschuiving naar een technologische wedloop

Kritieke omgevingen en industriële netwerken worden geconfronteerd met aanvallers die steeds geavanceerder te werk gaan. Waar cybercriminelen in het verleden voornamelijk handmatig naar kwetsbaarheden zochten, zetten zij tegenwoordig AI-modellen in om op grote schaal en op hoge snelheid zwakke plekken in software en netwerkapparatuur op te sporen. Beveiligingsleveranciers staan voor de taak om deze dreiging te pareren door op hun beurt eveneens AI en geautomatiseerde analyses in te zetten.

"Het is in feite een 'battle of AI' aan het worden," legt Slaats uit. "Aanvallers gebruiken kunstmatige intelligentie om veel sneller kwetsbaarheden te vinden. Aan de andere kant gebruiken beveiligingsleveranciers AI om zo snel mogelijk dreigingsinformatie te verzamelen, te correleren en te analyseren. Het doel is om een betere en sluitende beveiligingsschil neer te zetten voordat een aanvaller kan toeslaan."

Twee niveaus van AI en de noodzaak van automatisering

Om de reactietijd bij incidenten drastisch te verkorten, moet AI binnen OT-beveiliging op twee verschillende niveaus worden toegepast. Het eerste niveau richt zich op de analyse van netwerkgedrag. Door machine learning toe te passen op netwerkverkeer, kan een nauwkeurige 'gedragsbaseline' worden vastgesteld voor zowel de IT- als de OT-omgeving.

Wanneer een apparaat of sensor plotseling afwijkend gedrag vertoont, herkent het systeem dit direct. Slaats benadrukt dat handmatige controle in moderne netwerken simpelweg niet meer haalbaar is: "Het aantal security-events dat dagelijks binnenkomt is gigantisch. Gelukkig betreft het overgrote deel 'false positives', maar om exact die ene kritieke melding eruit te pikken die er echt toe doet, heb je de rekenkracht van machines nodig. Met de hand is dat onbegonnen werk."

Het tweede niveau betreft de daadwerkelijke opvolging van incidenten. Zodra een ernstige afwijking wordt gedetecteerd, kunnen geautomatiseerde playbooks worden geactiveerd. Deze draaiboeken zijn gekoppeld aan een Security Operations Center (SOC) en een SOAR-systeem en kunnen automatisch actie ondernemen, zoals het isoleren van een besmet systeem of het blokkeren van een verdachte netwerkverbinding.

De balans tussen beveiliging en procescontinuïteit

Hoewel geautomatiseerde respons in een IT-omgeving de standaard is, vereist de toepassing ervan binnen OT een uiterst voorzichtige benadering. In industriële omgevingen draait alles om continuïteit, veiligheid en het voorkomen van ongeplande stilstand.

"In een OT-omgeving moet je heel goed nadenken over geautomatiseerde playbooks," waarschuwt Slaats. "Fabrieks- en procesbeheerders worden er over het algemeen niet vrolijk van als een beveiligingssysteem automatisch een fysiek productieproces of een continue lijn stillegt. De impact van zo'n onderbreking kan enorm zijn. Automatisering is hard nodig, maar je moet altijd de impact op de operationele processen en de business nauwlettend in de gaten houden."

Convergentie van IT en OT in één dashboard

Een van de grootste uitdagingen in de industrie is het gebrek aan overzicht. Binnen veel organisaties bestaan de IT- en OT-afdelingen nog altijd als twee gescheiden werelden, elk met hun eigen instrumenten en monitoringtools. Om effectief op te treden tegen dreigingen, is een integrale aanpak noodzakelijk.

Door alle actieve apparaten (assets) in het netwerk in kaart te brengen en te plotten op een zogeheten Purdue-model, ontstaat een heldere visuele weergave van de netwerkarchitectuur en de onderlinge communicatiestromen. Beheerders krijgen hiermee via één centraal dashboard inzicht in zowel de IT- als de OT-infrastructuur. Deze convergentie zorgt ervoor dat analisten niet tussen verschillende systemen hoeven te schakelen, waardoor bij een eventuele infectie of storing veel sneller kan worden ingegrepen.

Druk door sectorspecifieke wet- en regelgeving

Naast de technologische ontwikkelingen spelen wet- en regelgeving een steeds grotere rol in het verhogen van het beveiligingsniveau. Vrijwel elke industriële sector krijgt te maken met specifieke normen en richtlijnen.

Zo gelden in de maritieme sector de zogeheten Unified Requirements (zoals E26 en E27), die strikte eisen stellen aan de cyberweerbaarheid van schepen en hun deelsystemen. Ook in de energiesector, bij drinkwaterbedrijven en de waterschappen gelden afzonderlijke wettelijke kaders. Veel organisaties worstelen met de praktische vertaalslag van deze complexe voorschriften naar hun dagelijkse operationele praktijk.

NIS2: Van angst naar gestructureerde weerbaarheid

Een overkoepelende factor die momenteel veel beweging veroorzaakt, is de Europese NIS2-richtlijn. De strengere zorgplicht, de meldplicht bij incidenten en de mogelijke persoonlijke aansprakelijkheid voor bestuurders zorgen voor een verhoogde urgentie in het IT- en OT-domein.

Slaats merkt op dat angst voor boetes of bestuurlijke sancties een belangrijke drijfveer is geworden op de markt, maar hij pleit voor een nuchtere benadering: "Er heerst bij veel bedrijven de vrees dat ze nu in één keer enorme bedragen moeten uitgeven omdat ze anders boetes riskeren die kunnen oplopen tot miljoenen euro's. Angst is in deze markt een duidelijke factor, maar het blijft een slechte raadgever. We proberen bedrijven te helpen om niet vanuit paniek te handelen, maar om de richtlijnen te benutten als een kans om hun digitale weerbaarheid en procescontinuïteit op een gestructureerde manier naar een hoger niveau te tillen."