De FBI waarschuwde deze week Amerikaanse supermarkten: haal je koelsystemen van het internet. Aanleiding zijn koelinstallaties die rechtstreeks via internet te benaderen blijken, vaak zonder enige bescherming. Het klinkt als een ver-van-je-bed-show, maar de situatie is in Nederlandse groothandel, voedselproductie en transport minstens zo realistisch. Koeling is precies het soort systeem dat ooit lokaal werd beheerd en inmiddels op afstand wordt uitgelezen, vaak door de leverancier van de installatie zelf.
Een waarschuwing die verder reikt dan supermarkten
Koelsystemen zijn de afgelopen jaren slimmer geworden. Temperatuur, storingen en energieverbruik worden op afstand gemonitord, vaak door de installateur of een gespecialiseerde partij. Handig, want zo wordt een storing sneller opgemerkt. Maar om op afstand te kunnen meekijken, moet een systeem verbonden zijn met internet. En die verbinding is niet altijd even goed afgeschermd.
Voor een groothandel met gekoelde opslag, een voedselproducent met vriescellen of een transportbedrijf met gekoelde trailers geldt hetzelfde principe. Zodra een koelsysteem met internet verbonden is, is het in theorie van buitenaf te benaderen. Niet omdat iemand per se jouw bedrijf op het oog heeft, maar omdat dit soort systemen wereldwijd worden gescand op zwakke plekken.
Het echte risico zit niet in de hack, maar in de uitval
Het gaat hier niet om een spannend hackersverhaal. Het gaat om continuïteit. Als een koelsysteem wordt overgenomen, uitgeschakeld of verkeerd ingesteld, dan bederft voorraad. Dat betekent omzetverlies, mogelijk schade aan de reputatie bij klanten die strenge ketenafspraken stellen, en in sommige sectoren ook gedoe met certificering of voedselveiligheid.
Het punt is dat dit risico al bestaat zonder dat er iets kwaadaardigs gebeurt. Een verkeerd geconfigureerde internetverbinding, een vergeten wachtwoord van de fabrieksinstelling, een leverancier die toegang heeft gehouden nadat het contract al was afgelopen: het zijn allemaal manieren waarop een koelsysteem onbedoeld kwetsbaar wordt. De FBI-waarschuwing is een duwtje om daar nu naar te kijken, niet pas na een incident.
Eerst meten: wat staat er eigenlijk open
Voordat je kunt beslissen wat er moet gebeuren, moet je weten wat er is. Dat klinkt vanzelfsprekend, maar in de praktijk weten weinig bedrijven precies welke operationele systemen met internet zijn verbonden. Koelinstallaties, vriescellen, laadklep-sturing, klimaatregeling in een productiehal: het zijn allemaal systemen die buiten het zicht van de gewone ICT-afdeling vallen, omdat ze door de installateur zijn aangesloten.
Concreet betekent dit: vraag je leverancier van de koelinstallatie na of er op afstand wordt meegekeken, en hoe die verbinding is beveiligd. Vraag wie er allemaal toegang heeft, en of die toegang nog actueel is. En laat je netwerk in kaart brengen door je ICT-partner, zodat zichtbaar wordt welke apparaten naar buiten communiceren. Je kunt geen beleid maken over iets wat je niet kunt zien.
Van blootstelling naar vastgelegd scenario
Een afgeschermde verbinding is een goede eerste stap, maar geen garantie dat koeling nooit uitvalt. Een stroomstoring, een kapotte compressor of een menselijke fout kan altijd gebeuren, los van internetrisico’s. Daarom hoort dit onderwerp ook thuis in je continuïteitsplan.
Leg vast wat er gebeurt als een koelsysteem uitvalt. Wie wordt als eerste gewaarschuwd, wie mag de installatie fysiek benaderen, binnen welke tijd moet er een reservesysteem of noodoplossing actief zijn, en wie beslist of voorraad moet worden afgeschreven. Dat is geen theoretische oefening. Het is het verschil tussen een avond vol paniek en een procedure die iedereen al kent.
Wat je deze week kunt doen
Begin met een overzicht van alle koel- en klimaatsystemen die op afstand worden beheerd of uitgelezen. Vraag per systeem na wie er toegang heeft en hoe die toegang is beveiligd. Bespreek met je ICT-partner of een scan van je netwerk nodig is om verborgen verbindingen te vinden. En zorg dat uitval van koeling een vastgelegd scenario is, met een eigenaar en concrete stappen, in plaats van iets waar je op hoopt dat het nooit gebeurt.
Een paar vragen die we vaak krijgen
Moeten we onze koelinstallatie helemaal van internet afhalen?
Niet per se. Veel installaties hebben baat bij monitoring op afstand, bijvoorbeeld voor vroegtijdige storingsmeldingen. Het gaat erom dat die verbinding bewust is ingericht en afgeschermd, in plaats van open te staan zonder dat iemand dat weet.
Onze koelinstallatie wordt beheerd door de leverancier, is dat dan ons probleem?
Juridisch en operationeel wel. Jij draagt de gevolgen als voorraad bederft, ongeacht wie de verbinding beheert. Het is daarom verstandig om met de leverancier expliciete afspraken te maken over toegang en beveiliging, en die vast te leggen.
Hoe weet ik of dit ook voor ons bedrijf speelt zonder zelf verstand van netwerken te hebben?
Je hoeft dat zelf niet te beoordelen. Een korte inventarisatie door je ICT-partner laat zien welke systemen met internet verbinden en wie daar toegang toe heeft. Dat geeft je binnen een paar dagen een concreet beeld in plaats van een vermoeden.
Hoort dit bij ICT-beveiliging of bij bedrijfscontinuïteit?
Bij allebei, maar in deze volgorde: eerst breng je in kaart wat er technisch open staat, daarna leg je vast wat er gebeurt als koeling toch uitvalt. Beveiliging verkleint de kans op uitval, een continuïteitsplan zorgt dat je voorbereid bent als het toch gebeurt.
Wil je weten welke operationele systemen bij jouw bedrijf met internet zijn verbonden, en of koeluitval als scenario is vastgelegd? Wij denken graag met je mee, vanuit het domein bedrijfscontinuïteit in plaats van losse technische oplossingen.
