Cybersecurity in de bouw is lastig te organiseren om een reden die weinig met techniek te maken heeft. Een bouwproject is een tijdelijke organisatie van partijen die elkaar vaak niet kennen, met een hoofdaannemer, tientallen onderaannemers, installateurs, adviseurs en een opdrachtgever die allemaal gegevens uitwisselen. Na oplevering valt die samenwerking uiteen en blijft alleen het gebouw over, met alle systemen erin. Niemand beheert het geheel, en precies daar zit de ingang. Cybersecurity in de bouw gaat daarom minder over je eigen netwerk dan over de afspraken tussen partijen.
De tweede reden is dat de systemen in een opgeleverd gebouw zelden als IT worden gezien. Klimaatinstallaties, camerasystemen, toegangscontrole, liften en verlichting zijn techniek die door een installateur wordt onderhouden, en die valt in de praktijk buiten elk securitybeleid. Wie cybersecurity in de bouw opzet zonder die systemen mee te tellen, beveiligt de helft.
De systemen die niemand telt
Het NCSC rekent gebouwbeheersystemen expliciet tot operationele technologie, in hetzelfde rijtje als de bediening van een brug of sluis, een waterzuivering of een energiecentrale. Tot ongeveer twintig jaar geleden communiceerden zulke systemen in een gesloten netwerk zonder internetverbinding. Nu zijn ze volgens het NCSC vaak gekoppeld aan de kantoorautomatisering en via internet bereikbaar. Het NCSC wijst er ook op dat beveiligingsstrategieën uit het IT-domein hier niet een-op-een werken, door de lange levensduur van deze systemen en afwijkende patchprocessen.
Dat gebeurt meestal met goede reden: de installateur wil op afstand kunnen meekijken zonder elke keer te moeten voorrijden, en de opdrachtgever wil snelle service. Het NCSC merkt daarbij op dat bij zo’n internetkoppeling niet altijd de juiste maatregelen worden getroffen, en dat de beveiliging van deze systemen niet altijd onderdeel is van het securitybeleid. Loop een willekeurig kantoorpand langs en de lijst is langer dan verwacht:
- Klimaat- en ventilatie-installaties met een beheerportaal
- Camerabewaking en videoregistratie
- Toegangscontrole, slagbomen en tourniquets
- Liftbesturing met een onderhoudsverbinding
- Verlichting, zonwering en energiemeting
- Brandmeld- en ontruimingsinstallaties
Geen van deze systemen staat doorgaans in de assetlijst van de IT-afdeling. Wie cybersecurity in de bouw en het vastgoedbeheer serieus neemt, begint daarom met tellen. Het NCSC noemt dat ook als voorwaarde: de organisatie moet een actueel overzicht hebben van alle systemen die met internet zijn verbonden. Het NCSC beschrijft exposuremanagement als het inventariseren van systemen en het bepalen welke daarvan vanaf internet bereikbaar zijn. Hoe je zo’n inventarisatie opzet beschreven we bij vulnerability management als teamdiscipline. Bij cybersecurity in de bouw is die lijst vrijwel altijd langer dan de IT-afdeling verwacht.
Beheerd door een ander, verantwoordelijk blijf je zelf
Hier zit het punt dat in deze sector het vaakst misgaat. Gebouwsystemen worden bijna altijd beheerd door de installateur of een onderhoudspartij. Het NCSC is daar helder over: als opdrachtgever monitor je of de juiste beveiligingsmaatregelen worden genomen, want de verantwoordelijkheid blijft bij de organisatie die eigenaar is van de systemen. Contractmanagement is bij cybersecurity in de bouw daarmee een securitytaak en geen inkoopformaliteit.
Praktisch betekent dat: leg vast welke minimale eisen je stelt aan de partij die beheert, en controleer of die worden nagekomen. Neem die afspraken op in het inkoopproces bij nieuwe installaties, want achteraf onderhandelen over toegangsbeheer lukt zelden. Bij een meerjarig onderhoudscontract is het eerste verlengmoment het volgende bruikbare aanknopingspunt. Dezelfde logica speelt bij elke leverancier met toegang tot je omgeving, zoals we uitwerkten bij detectie van supply chain-risico’s.
Er is ook een fysieke kant die in de bouw zwaarder weegt dan elders. Het NCSC stelt dat wanneer iemand fysiek machines kan bedienen of manipuleren, veel andere beveiligingsmaatregelen worden omzeild, en adviseert een fysiek toegangsbeleid waarin sleutelbeheer expliciet is geregeld bij externe partijen die beheer of onderhoud doen. Op een bouwplaats loopt dagelijks een wisselend gezelschap rond, en de technische ruimte staat vaker open dan dicht. Dat maakt cybersecurity in de bouw voor een deel een kwestie van sleutelbeheer.
De keten is het doelwit, niet het bedrijf
Projectcommunicatie verloopt via mail, gedeelde omgevingen en documentportalen waar tientallen partijen bij kunnen. Facturen gaan heen en weer tussen hoofdaannemer en onderaannemers, vaak met grote bedragen en een strak betaalritme. Dat is een aantrekkelijke omgeving voor iemand die een betaling wil omleiden, omdat een bericht over gewijzigde bankgegevens er volkomen normaal uitziet. Bij cybersecurity in de bouw is dit het scenario met de hoogste directe schade.
Zulke fraude vraagt geen technische inbraak en wel een menselijke fout. Hoe je een team leert die berichten te herkennen beschreven we bij business email compromise en detectie en bij phishing-detectie als teamdiscipline. MITRE ATT&CK beschrijft de bijbehorende technieken op basis van waargenomen aanvallen, wat helpt om voorbeelden te kiezen die echt voorkomen.
Cybersecurity in de bouw verschilt hierin van sectoren met een vast personeelsbestand. Je beveiligt geen afgebakende organisatie, je beveiligt een samenwerking die per project van samenstelling verandert. Tooling uitrollen over partijen die je niet in dienst hebt, lukt niet. Afspraken maken en mensen trainen lukt wel, en dat verklaart waarom cybersecurity in de bouw vrijwel altijd bij gedrag begint.
Waarom awareness hier eerder rendeert dan tooling
Het NCSC stelt dat technische maatregelen en procedures maar het halve werk zijn, omdat mensen overal bij betrokken zijn, en dat een gezonde veiligheidscultuur zorgt voor sterke groei in digitale weerbaarheid. Voor cybersecurity in de bouw is dat argument sterker dan gemiddeld, om drie redenen.
De eerste is dat de sector al een volwassen veiligheidscultuur kent. Op een bouwplaats wordt fysieke veiligheid serieus genomen, met toolboxmeetings, meldingen en aanspreekgedrag dat iedereen kent. Cybersecurity in de bouw kan op die structuur meeliften in plaats van er een nieuwe naast te zetten, en dat scheelt jaren aan gewenning.
De tweede is dat het personeel verspreid werkt. Uitvoerders, monteurs en projectleiders zitten op locatie, gebruiken hun telefoon voor werkmail en delen soms apparatuur. E-learning die uitgaat van een vaste werkplek sluit daar slecht op aan, een korte sessie op locatie wel, het liefst op een moment waarop het team er toch al is. Wat dat vraagt van de opzet beschreven we bij awareness-training die niet werkt.
De derde is de verhouding tussen kosten en effect. Een securityplatform voor een organisatie met een beperkte IT-afdeling levert meldingen op die niemand beoordeelt. Een training die vierhonderd medewerkers leert een afwijkend betaalverzoek te herkennen, werkt vanaf de volgende dag. De European Cybersecurity Skills Framework van ENISA helpt vervolgens om te bepalen welk profiel je nodig hebt zodra je wel iemand wilt opleiden. Dat is dezelfde afweging als bij cybersecurity in het mkb met een klein budget.
Wat je concreet organiseert
Cybersecurity in de bouw begint met de inventarisatie van gebouwgebonden systemen en de vraag wie ze beheert, met naam en contract erbij. Loop daarbij de standaardwachtwoorden na, want het NCSC noemt het aanpassen daarvan als basismaatregel en in gebouwsystemen staat de fabrieksinstelling er verrassend vaak nog op. Vraag ook wie er op afstand kan inloggen en of dat via meerfactorauthenticatie gaat.
Leg vervolgens vast hoe een wijziging van bankgegevens wordt geverifieerd. Eén regel volstaat: terugbellen op een nummer uit je eigen administratie en nooit op het nummer uit het bericht. Zet die regel in de projectstartdocumenten, zodat elke nieuwe onderaannemer hem meekrijgt. Een regel die pas bestaat na het eerste incident, komt per definitie te laat.
Neem digitale veiligheid daarna op in het bestaande veiligheidsoverleg. Een toolbox van een kwartier over een recent phishingvoorbeeld uit de eigen mailbox doet meer dan een jaarlijkse e-learning, omdat het herkenbaar is en omdat het ritme al bestaat.
Welk leerpad bij deze sector past
Voor de brede organisatie is de Cyber Awareness Training de aangewezen vorm, in acht of zestien uur en gericht op medewerkers zonder technische achtergrond. Dat is de investering die het snelst rendeert, omdat de meeste incidenten via een medewerker binnenkomen.
Voor de directie en de financiële administratie loont een aparte sessie. Die groep heeft betaalbevoegdheid en staat onder tijdsdruk, waardoor een goed getimede fraudepoging vaak precies daar slaagt. Een korte sessie voor tien mensen levert hier meer op dan een campagne voor het hele bedrijf, omdat de gesprekken concreet worden en de voorbeelden uit de eigen administratie komen.
Heb je een eigen IT-afdeling van enige omvang, dan is de opleiding Cyber Security Specialist de route om één iemand op een werkbaar niveau te brengen die de inventarisatie beheert, de leveranciersafspraken toetst en het aanspreekpunt wordt. Welke medewerkers daarvoor in aanmerking komen beschreven we bij IT-beheerders omscholen.
Beheer je een grote vastgoedportefeuille met eigen monitoring, dan ligt de opleiding SOC T1 + T2 Analyst in het verlengde. Het verschil tussen het beoordelen van IT-meldingen en gebouwgebonden techniek komt aan bod bij OT-security tegenover IT-security.
Beginnen bij het volgende project
De eenvoudigste ingang voor cybersecurity in de bouw is een nieuw project, omdat je daar de afspraken vooraf kunt vastleggen zonder bestaande contracten open te breken. Neem de eisen aan gebouwsystemen op in het bestek, leg de verificatieregel voor betalingen vast in de projectstart, en plan één awareness-sessie voor het projectteam in de eerste weken. Cybersecurity in de bouw wordt zelden opgelost met een aankoop. Het wordt opgelost doordat vierhonderd mensen weten waar ze op letten en doordat iemand bijhoudt wie de sleutel van de technische ruimte heeft.
Op de pagina voor werkgevers staan de in-company mogelijkheden voor sessies op locatie, het volledige opleidingsaanbod is per niveau geordend en de startmomenten staan op de agenda. Wil je bespreken hoe je dit voor jouw projecten inricht, plan dan een kennismaking.
