Wat is het verschil tussen IT en OT? Uitleg voor eigenaren en beheerders van gebouwen

IT en OT in één zin

IT gaat over gegevens. OT gaat over dingen die verwarmen, koelen, bewegen, openen en sluiten.

Met IT bedoelen we alles waarmee een organisatie gegevens opslaat, verwerkt en verstuurt: laptops, servers, het kantoornetwerk, wifi, e-mail en de cloud. Valt de IT uit, dan kunnen mensen niet werken.

Met OT bedoelen we de techniek die de fysieke wereld meet en aanstuurt. In een gebouw zijn dat de klimaatinstallatie, de verlichting, de liften, de toegangspoorten en de laadpalen. In een fabriek of distributiecentrum zijn dat ook de productielijnen, de pompen, de koelcellen en de sorteerinstallaties. Valt de OT uit, dan wordt het koud, gaan deuren niet open of staat een lift stil.

Het verschil tussen IT en OT in een tabel

Het belangrijkste verschil zit in de derde rij. Bij IT is het grootste risico dat gegevens uitlekken. Bij OT is het grootste risico dat een installatie stopt of verkeerd gaat werken. Daarom kun je OT niet zomaar beveiligen op dezelfde manier als IT. Een computer kun je even opnieuw opstarten voor een update. Een koelinstallatie of een lift niet altijd.

Welke OT zit er in een gebouw?

Bijna elk kantoor, winkelpand of bedrijfsgebouw heeft meer OT dan de eigenaar denkt. De meest voorkomende systemen:

• Het gebouwbeheersysteem (ook GBS of BMS genoemd). Dit is het centrale systeem dat verwarming, koeling, ventilatie en vaak ook verlichting regelt.
• Verlichting en zonwering die automatisch reageren op tijd, licht of aanwezigheid.
• Liften en roltrappen.
• Toegangscontrole: pasjeslezers, slimme sloten, slagbomen en toegangspoorten.
• Camera's en de recorder die de beelden opslaat.
• De brandmeld- en ontruimingsinstallatie.
• Energie: slimme meters, laadpalen, de omvormers van zonnepanelen en batterijen.
• In logistiek en industrie: koelcellen, sorteerinstallaties, dockdeuren en productielijnen.

U hoort ook vaak de term IoT, het Internet of Things. Dat zijn slimme apparaten die via een netwerk gegevens versturen. Veel OT in gebouwen is tegenwoordig ook IoT. Hoe veilig die apparaten zijn, leest u in Hoe veilig is het slimme gebouw?

Waarom IT en OT samenkomen

Vroeger was OT een wereld op zich. De klimaatinstallatie had eigen kabels en een eigen kastje in de technische ruimte. Niets ervan was aangesloten op internet.

Dat is veranderd. De installateur wil storingen op afstand oplossen. De eigenaar wil het energieverbruik zien in een dashboard. De huurder wil met een app de temperatuur regelen of een vergaderruimte boeken. Daarom wordt OT steeds vaker aangesloten op het netwerk, en vaak op hetzelfde netwerk als de computers. Dit heet IT/OT-convergentie: de twee werelden groeien naar elkaar toe.

Dat levert veel op. Een gebouw dat zichzelf goed regelt, verbruikt minder energie. Storingen worden sneller gezien en verholpen. Voor grote utiliteitsgebouwen is een gebouwautomatiseringssysteem zelfs verplicht als de installatie voor verwarming of koeling meer dan 290 kW vermogen heeft. Vanaf 2030 geldt dat ook voor gebouwen vanaf 70 kW. Meer gebouwen krijgen dus OT die aan het netwerk hangt.

Waarom dat een risico is

OT is jarenlang gebouwd voor een gesloten wereld. Nu het aan het netwerk hangt, komen een paar zwakke plekken aan het licht:

• Oude protocollen. Veel OT-apparaten spreken een taal zonder versleuteling en zonder wachtwoord. Wie op het netwerk zit, kan meelezen of opdrachten geven.
• Weinig updates. Een installatie mag niet stilvallen, en de leverancier moet vaak meedoen. Daardoor draait er soms jarenlang verouderde software.
• Toegang op afstand. Installateurs en leveranciers loggen in van buitenaf. Elke verbinding die zij gebruiken, is ook een mogelijke ingang voor anderen.
• Verdeeld beheer. De IT-partner beheert de computers, de installateur de klimaatinstallatie en de facilitaire dienst de toegangspoorten. Niemand ziet het geheel.

Een bekend voorbeeld komt uit de Verenigde Staten. In 2013 kwamen aanvallers binnen bij het winkelbedrijf Target met de inloggegevens van hun leverancier van klimaatinstallaties. Van daaruit bereikten zij de kassasystemen en stalen zij de gegevens van tientallen miljoenen betaalkaarten. De les: een partij die toegang heeft voor de installaties, heeft daarmee ook een weg naar uw netwerk.

Bij OT zijn de gevolgen van een aanval bovendien fysiek. Het gaat niet alleen om gegevens. Het gaat om een gebouw dat niet meer warm wordt, deuren die niet meer openen of een koelcel die uitvalt.

Wat het IT-Label en de Security Audit hier doen

Het IT-Label beoordeelt de digitale infrastructuur van een gebouw: de aansluiting, de bekabeling, de wifi en de technische ruimte. Het IT-Label kijkt wel of er slimme gebouwsystemen zijn, zoals klimaat, toegang en camera's, maar beoordeelt niet hoe veilig die OT is. Wel kijkt de inspecteur of het gebouwbeheersysteem is aangesloten op het IT-netwerk. Dat is een belangrijk signaal: dan zijn IT en OT met elkaar verbonden, en moet u weten hoe dat geregeld is.

Wilt u weten of de gebouwsystemen goed gescheiden zijn van uw kantoornetwerk? Dat onderzoeken we in de Security Audit. Een auditor controleert op locatie of uw netwerk gescheiden is van gasten, andere huurders en de gebouwsystemen, zoals toegang en klimaat. U krijgt een rapport met de risico's en een advies over hoe u de netwerken scheidt.

Vijf vragen voor elke eigenaar en beheerder

1. Welke OT zit er in mijn pand, en is daar een overzicht van?
2. Wie beheert elk systeem: de installateur, de facilitaire dienst of de IT-partner?
3. Is het gebouwbeheersysteem aangesloten op het kantoornetwerk of op internet?
4. Wie kan er op afstand inloggen, en hoe is die toegang beveiligd?
5. Wanneer zijn de systemen voor het laatst bijgewerkt?

Weet u op een paar vragen het antwoord niet? Dat is heel gewoon, maar het is wel een risico. Begin met de gratis IT-Label Zelfscan. In een paar minuten ziet u hoeveel u van uw pand weet en waar de aandachtspunten zitten.

Een reeks over IT en OT

Dit is het eerste deel van een reeks over IT en OT in gebouwen. Elke woensdag verschijnt een nieuw deel, onder meer over de systemen in uw gebouw, de Cyberbeveiligingswet, de plicht tot gebouwautomatisering en het scheiden van netwerken. Alle begrippen en delen vindt u op de pagina IT en OT in gebouwen. Wilt u geen deel missen? Meld u aan voor de nieuwsbrief.

Veelgestelde vragen

Wat betekenen IT en OT?

IT staat voor Information Technology, in het Nederlands informatietechnologie. Het gaat over digitale gegevens, computers en netwerken. OT staat voor Operational Technology, in het Nederlands operationele technologie. Het gaat over de hardware en software die fysieke processen aansturen, zoals klimaat, liften en machines.

Wat is het belangrijkste verschil tussen IT en OT?

IT draait om gegevens, OT om fysieke processen. Daardoor verschillen ook de prioriteiten. Bij IT is het belangrijkste dat gegevens vertrouwelijk blijven. Bij OT is het belangrijkste dat de installatie blijft werken en veilig is voor mensen.

Is een gebouwbeheersysteem IT of OT?

Een gebouwbeheersysteem is OT, want het stuurt verwarming, koeling, ventilatie en verlichting aan. Maar het draait op computers en is vaak aangesloten op het netwerk. Daarom raakt het ook de IT.

Wat is IT/OT-convergentie?

Dat is het samengroeien van IT en OT. Installaties die vroeger los stonden, worden aangesloten op het netwerk, zodat ze op afstand te beheren zijn en gegevens kunnen delen. Dat levert gemak en energiebesparing op, maar vraagt ook om goede beveiliging.

Is OT hetzelfde als IoT?

Niet helemaal. IoT, het Internet of Things, zijn alle slimme apparaten die via een netwerk gegevens versturen. OT is alle techniek die fysieke processen aanstuurt, ook als die niet aan het netwerk hangt. In moderne gebouwen overlappen ze steeds meer.

Meet het IT-Label ook OT?

Deels. Het IT-Label beoordeelt de digitale infrastructuur van een gebouw en kijkt of er slimme gebouwsystemen zijn, maar niet hoe veilig die OT is. Wel kijkt de inspecteur of het gebouwbeheersysteem is aangesloten op het IT-netwerk. Of de netwerken goed gescheiden zijn, onderzoeken we in de Security Audit. Daarbij krijgt u ook advies.