Vergelijkingen

IT-SOC vs OT-SOC: 10 verschillen die er in de industrie toe doen

Belangrijkste punten

De volgorde van prioriteiten draait om, van vertrouwelijkheid eerst naar veiligheid en beschikbaarheid eerst.
OT-telemetrie komt vooral van passieve netwerksensoren, niet van EDR-agents.
Geautomatiseerde containment is zeldzaam in OT; de respons stem je af met de procesvoering.
Een IT-SOC kan OT alleen afdekken met OT-telemetrie, protocolkennis en afgesproken escalatiepaden.

Wat is het kernverschil tussen een IT-SOC en een OT-SOC?

Het kernverschil zit in wat je beschermt. Een IT-SOC beschermt informatie: data, identiteiten en de systemen die ze verwerken. Een OT-SOC beschermt een fysiek proces (een productielijn, een zuiveringsinstallatie, een onderstation) en de mensen en installaties eromheen. Al het andere volgt daaruit.

IT-SOC vs OT-SOC: 10 verschillen
Dimensie	IT-SOC	OT-SOC
1. Prioriteit	Vertrouwelijkheid → integriteit → beschikbaarheid	Veiligheid → beschikbaarheid → integriteit → vertrouwelijkheid
2. Assets	Laptops, servers, cloudworkloads, identiteiten	PLC's, RTU's, HMI's, engineeringwerkstations, historians, SIS
3. Telemetrie	EDR-agents, identity-, e-mail- en cloudlogs	Passieve netwerksensoren (SPAN/TAP), logs van OT-systemen, firewalls, remote access
4. Protocollen	HTTP(S), DNS, SMB, Kerberos, LDAP	Modbus, S7comm, PROFINET, EtherNet/IP, DNP3, IEC 104, IEC 61850, OPC UA
5. Levensduur assets	3–5 jaar	15–30 jaar, vaak met besturingssystemen zonder ondersteuning
6. Patchen	Maandelijkse cycli, geautomatiseerd	Alleen in onderhoudsvensters; anders compenserende maatregelen
7. Detectiefocus	Malware, phishing, misbruik van inloggegevens, datadiefstal	Ongeautoriseerde wijzigingen in logica en setpoints, afwijkende engineeringtoegang, ICS-malware
8. Beheersing (containment)	Geautomatiseerd isoleren binnen minuten	Vooraf afgesproken, handmatig, samen met de controlekamer
9. Kennis en vaardigheden	Windows, cloud, identity, malware-analyse	Daarnaast industriële protocollen, regeltechniek en procesveiligheid
10. KPI's	MTTD, MTTR, % endpoints afgedekt	Daarnaast % bewaakte kritieke verbindingen, nauwkeurigheid asset-inventaris, aandeel veilig afgehandelde incidenten

Waarom draait de volgorde van prioriteiten om in OT?

In IT is een paar uur uitval duur, maar zelden gevaarlijk. In OT kan een ongeplande stop installaties beschadigen, een batch onbruikbaar maken of in het ergste geval mensen in gevaar brengen. Daarom zetten OT-kaders zoals NIST SP 800-82 en IEC 62443 veiligheid en beschikbaarheid voorop. Voor het SOC betekent dat: een alert staat nooit op zichzelf. Analisten moeten weten welk proces een apparaat aanstuurt en wat een responsactie met dat proces doet.

Waarom is OT-monitoring grotendeels passief?

Veel controllers en embedded apparaten zijn nooit ontworpen om onverwacht netwerkverkeer te verwerken. Actief scannen of intensief pollen kan ze laten vastlopen of herstarten. De meeste OT-SOC’s spiegelen daarom verkeer vanaf switches (SPAN) of plaatsen netwerk-TAPs, en analyseren dat verkeer buiten het proces om. Door industriële protocollen te decoderen zien ze wie welke controller programmeert, welke commando’s worden verstuurd en welke waarden veranderen.

Kan een IT-SOC OT bewaken?

Ja, onder drie voorwaarden:

OT-telemetrie: passieve sensoren op de belangrijkste verbindingen en logs van OT-systemen en remote-accesspaden.
OT-kennis: analisten (intern of via een partner) die industriële protocollen en de technieken uit MITRE ATT&CK for ICS begrijpen.
Afgesproken escalatie: een aanspreekpunt in de procesvoering voor elke locatie en vooraf afgesproken responsopties per zone.

Onderzoek van SINTEF en NTNU beschrijft meerdere werkbare modellen, van een volledig geïntegreerd IT/OT-SOC tot een apart OT-SOC en monitoring door de leverancier. Een overzicht vind je in Wat is een SOC voor OT?.

Veelgestelde vragen

Moeten IT- en OT-securitymonitoring in één SOC zitten?

Veel organisaties kiezen voor een geïntegreerd SOC, omdat aanvallen op OT meestal in de IT-omgeving beginnen. Dat werkt als het SOC OT-telemetrie ontvangt, analisten of een partner heeft met kennis van industriële protocollen, en playbooks heeft afgesproken met de procesvoering. Een apart OT-SOC is zinvol voor grote, veiligheidskritische of zwaar gereguleerde organisaties.

Waarom kan een OT-SOC een besmet systeem niet gewoon isoleren?

Omdat een OT-systeem onderdeel kan zijn van een draaiend proces. Het isoleren van een HMI, historian of engineeringwerkstation kan operators blind maken of de productie stilleggen, en ingrijpen in een veiligheidssysteem kan een gevaarlijke situatie veroorzaken. Beheersopties worden daarom per zone vooraf afgesproken en samen met de controlekamer uitgevoerd.

Welke KPI's passen bij een OT-SOC?

Naast de gangbare SOC-KPI's zoals de gemiddelde tijd tot detectie (MTTD) en tot herstel (MTTR) zijn voor OT vooral het percentage bewaakte kritieke verbindingen, de nauwkeurigheid van de asset-inventaris en het aandeel incidenten dat zonder onbedoelde procesverstoring is afgehandeld zinvol.

Bronnen

NIST SP 800-82 Rev. 3: Guide to Operational Technology (OT) Security — National Institute of Standards and Technology
MITRE ATT&CK for ICS matrix — MITRE
A Comparative Study of SOC Models for Operational Technology — SINTEF / NTNU

Wat is een SOC voor OT? Securitymonitoring voor industriële systemen

Een SOC voor OT bewaakt industriële besturingssystemen op cyberdreigingen en stuurt een respons waarin veiligheid voorop staat. Zo werkt het, en zo verschilt het van IT.

Cyberbeveiligingswet (Cbw): wat betekent de wet voor OT-monitoring?

Wat de Cyberbeveiligingswet (Cbw) vraagt bij OT: zorgplicht, meldplicht binnen 24 en 72 uur, registratie en bestuurdersplichten, en hoe een OT-SOC je helpt.