Hans van Wijk

Hans van Wijk is van oorsprong een werktuigbouwkundig ingenieur maar al jaren werkzaam op het terrein van industriele automatisering en mechatronica. De laatste jaren werkzaam als Business Development manager bij een grote systeem integrator. Daar kijkt hij zowel naar de ontwikkelingen binnen de diverse marktsegmenten maar ook naar nieuwe technologieen die toegepast kunnen gaan worden. Hij verzorgt regelmatig presentaties en gastcolleges over diverse onderwerpen en zijn er een groot aantal artikelen van zijn hand gepubliceerd. Hij is alweer enige jaren de vice-voorzitter van de FEDA, de branchevereniging voor aandrijftechniek en automatiseren.

De mens is en blijft de zwakste schakel als we het hebben over veiligheid. Dat is duidelijk. Wat ook duidelijk is, is dat de industrie, maar ook overheidsinstanties, zich de laatste jaren vooral hebben gefocust op digitale beveiliging. Het grote gevaar zou tegenwoordig immers via internet, modem en usb-stick komen.
Ik gaf u een paar maanden terug het voorbeeld van een bedrijf dat zijn digitale kwetsbaarheid liet testen. Voorbij de firewall kwam niemand. Ook niet langs de bewaking. Maar een quasi per ongeluk verloren usb-stick verschafte de zogenaamde aanvallers binnen anderhalf uur toegang tot de server. Weer was het de mens die het grootste risico bleek.
Met digitaal terrorisme houdt het natuurlijk niet op. 9/11 heeft ons keihard met de neus op de feiten gedrukt en laten zien dat het per saldo altijd lukt om een ramp te ontketenen. Intelligente misdadigers zijn in dit kader uiteraard het gevaarlijkst. Met name binnen de food & farma-wereld is men bijvoorbeeld als de dood voor een slimme, goed georganiseerde biologische aanval. Stel dat het lukt om een ernstige virusbacterie in een batch met bijvoorbeeld melk of medicijnen te krijgen. Zo’n ramp kan net zoveel of misschien wel meer slachtoffers eisen dan op 9/11 in New York.
Slachtoffers maken is natuurlijk niet altijd het doel. Wat te denken van het ‘kidnappen’ van een product? Receptbeheer is steeds belangrijker. Juist nu iedereen de globale chemische samenstelling van een product met de huidige generaties analyseapparatuur binnen no-time bepaald heeft. Dan weet je weliswaar nog niet hoe je het maakt, maar je bent al wel een heel eind. Heb je vervolgens ook het productieschema te pakken, dan kun je het 1:1 namaken. Vooral in de farmawereld worden vaak honderden miljoenen euro’s geïnvesteerd in de ontwikkeling van een nieuw medicijn. Via patenten kun je weliswaar tegenhouden dat anderen dit straffeloos namaken, maar tegen diefstal van het recept zul je jezelf heel goed fysiek moeten wapenen. Veel bedrijven hebben de receptuur dan ook versnipperd opgeslagen. Nergens ligt het complete recept en niemand heeft dit. Is dit wel zo, dan is zo’n persoon natuurlijk een lucratief doelwit voor professionele kidnappers. Maar niet alleen de receptuur moet met hand en tand bewaakt worden, ook de productie-installaties moeten achter hermetisch gesloten deuren worden beschermd tegen nieuwsgierige blikken. Hoe gemakkelijk experts hier conclusies uit kunnen trekken, bleek onlangs toen een Chinese delegatie op bezoek was bij een petrochemisch bedrijf. Een Chinees keek aandachtig naar een bepaalde installatie en vroeg aan de procestechnoloog hoeveel ton per jaar men hiermee produceerde. De technoloog wilde niet het achterste van zijn tong laten zien en noemde een getal. Het enige wat de Chinees antwoordde was: ‘Zo weinig?’ Experts hoef je niets wijs te maken en soms is het raadzaam om niet alleen het IT-netwerk, maar ook de poorten hermetisch gesloten te houden. Dat realiseert de proceswereld zich steeds meer. Vandaar dat de aandacht voor fysieke beveiliging sterk is toegenomen.
Amerikanen zijn vooral na 9/11 heel voorzichtig geworden. Niet helemaal onterecht natuurlijk, want het is nu eenmaal een land dat zich met mondiale zaken bemoeit en niet iedereen is daar even blij mee. Maar dat neemt niet weg dat het nooit kwaad kan om heel kritisch naar je organisatie te kijken. Niet dat bij ons de risico’s nu zo groot zijn, maar neem bijvoorbeeld de nieuwe Machinerichtlijn die eind 2008 in werking treedt. Daarin staat dat werkgevers straks hoofdelijk aansprakelijk worden gesteld voor de gevolgen van fouten en calamiteiten. Dat zal ongetwijfeld een run op veiligheidsseminars betekenen, maar u kunt om te beginnen ook een nuttig programma downloaden van de Amerikaanse FDA. U vindt het via de link onder aan deze pagina. Het staat op de ‘Food Defense and Terrorism’-pagina. Met de software kunt u door de ogen van een terrorist naar uw productieorganisatie kijken, ontdekken waar de zwakke plekken zitten en hier vervolgens actie op ondernemen. Dat is nuttig, want soms focussen bedrijven zich dermate sterk op complexe veiligheidsaspecten dat ze gewoon over het hoofd zien dat de achterdeur bij wijze van spreken nooit op slot is. Ook de nieuwe ISA 99 is overigens een nuttige norm om in de gaten te houden want daarin staan specifieke zaken over het beveiligen van procesbesturingssystemen. Hier kun je nu eenmaal geen virusscanner op laten meedraaien. De beveiliging tegen dit soort digitale risico’s zul je dus anders moeten oplossen. Want dat het criminele circuit ook steeds inventiever wordt, dat is inmiddels wel duidelijk.