De EPZ-kerncentrale in Borssele, gebouwd in de jaren 70, heeft samen met CGI cyberbeveiligingsrisico’s aangepakt en de operationele efficiëntie verbeterd.
Als onderdeel van een streng gereguleerde industrie heeft de centrale te maken met aanzienlijke veiligheids- en beveiligingsuitdagingen. Om de nuclaire veiligheid te borgen, werkt de centrale op continue basis aan de verbetering van haar cyberbeveiliging. Zo blijft zij beschermd tegen hedendaagse dreigingen, terwijl zij tegelijkertijd complexe regelgeving naleeft en uitdagingen met verouderde technologie aangaat.
Uitdaging
De centrale kreeg te maken met een uitdaging van de Nederlandse toezichthouder: een uitgebreide risicoanalyse van het gehele systeem. Dit betrof niet alleen de IT-systemen, maar de operationele technologie (OT) die wordt gebruikt voor de aansturing van de kerncentrale, zoals koeling, generatoren, etc. Het doel was om kwetsbaarheden te identificeren, met name het risico dat kwaadwillenden misbruik maken van deze systemen, wat kan leiden tot aanzienlijke schade.
Vanwege de leeftijd van de centrale en de fysieke scheiding van het digitale netwerk, werden cybersecurityrisico’s tot dan toe beheerd via fysieke scheiding (air-gapping) van de systemen. Nieuwe securitybedreigingen maakten duidelijk: er was een meer effectieve en schaalbare aanpak nodig voor de risicoanalyse. De focus moest liggen op de meest kritieke kwetsbaarheden, zonder afgeleid te worden door kleinere risico's.
Oplossing
Om aan de eisen te voldoen, werkte CGI samen met de klant aan een gerichte risicoanalyse op basis van de Attack Tree-methodologie. Deze aanpak stelde CGI in staat om kritieke kwetsbaarheden te identificeren door te starten met het ergste scenario en vanuit daar terug te werken om mogelijke misbruiken te ontdekken. Door zich te richten op de belangrijkste risico's, kon CGI snel de belangrijkste dreigingen evalueren zonder onnodige complicaties.
De oplossing was snel, effectief en begrijpbaar, en leverde een actiegerichte risicoanalyse op. Het proces werd vereenvoudigd en afgestemd op de expertise van de EPZ op het gebied van nucleaire veiligheid. Bovendien werd nauw samengewerkt met de systeemverantwoordelijken om ervoor te zorgen dat elke dreiging gekoppeld werd aan de juiste mitigatiestrategieën.
Als reactie op een nieuwe regelgeving ontwikkelde CGI een tool die de risicoanalyse verbond met het MITRE ATT&CK-framework, een wereldwijd erkende standaard voor het classificeren van aanvalstechnieken van kwaadwillende actoren. Deze tool stelde de klant in staat risico's concreter te volgen en te evalueren, zodat de mitigaties voldeden aan de verwachtingen van de toezichthouder.
De tool werd verder verrijkt met de CIS (Center for Internet Security) Controls, waardoor gedetailleerdere, systeemspecifieke maatregelen werden geboden om de cybersecurity te versterken. Deze integratie zorgde ervoor dat de centrale zich beter kon voorbereiden en reageren op dreigingen, terwijl het tegelijkertijd voldeed aan industrienormen.
Belangrijke resultaten
- Snellere risicoanalyse: door de Attack Tree-methodologie te gebruiken, werd het proces van het identificeren en prioriteren van risico's gestroomlijnd. De focus lag op de meest kritieke kwetsbaarheden, in plaats van op minder belangrijke dreigingen.
- Verbeterde beveiliging: de integratie van MITRE ATT&CK en CIS Controls maakte nauwkeuriger en gedetailleerder de selectie van controles mogelijk, waardoor de voortgang van mitigaties beter gevolgd kon worden en een volledige dekking werd gewaarborgd.
- Naleven regelgeving: de nieuwe risicoanalysetool hielp de klant om te voldoen aan de eis van de Nederlandse nucleaire toezichthouder om risicobeoordelingen te koppelen aan het MITRE ATT&CK-framework.
- Actiegerichte inzichten: door de koppeling van de tool en de voortdurende feedbackloop met systeemverantwoordelijken, kon de centrale waar nodig compenserende controles implementeren, wat leidde tot een sterker en proactiever beveiligingsframework.
- Modernisering van legacy-systemen: hoewel de centrale nog steeds werkt met geïsoleerde systemen, legt het huidige werk de basis voor toekomstige digitale upgrades, waardoor de klant zich kan aanpassen aan de veranderende cybersecurity-uitdagingen.
De vervolgstappen: de toekomst beveiligen
Deze samenwerking is de start van een langdurig proces om veiliger te worden. Naarmate nieuwe digitale centrales worden gebouwd, zullen de lessen die uit deze samenwerking zijn getrokken cruciaal zijn voor het aanpakken van de toegenomen connectiviteit en de beveiligingsrisico’s die gepaard gaan met moderne nucleaire installaties. Het werk van CGI met EPZ blijft een essentieel onderdeel van de inspanningen van de organisatie om zowel legacy-systemen te beveiligen als zich voor te bereiden op de volgende generatie nucleaire krachtcentrales.
EPZ Kerncentrale heeft de risicoanalyse gestroomlijnd met de Attack Tree-methodologie en MITRE ATT&CK-integratie, waardoor de beveiliging, naleving en toekomstige digitale gereedheid worden verbeterd.
De cybersecurityaanpak van CGI is van onschatbare waarde geweest. Ze hebben ons geholpen risico's beter te begrijpen en te verminderen, door duidelijke, uitvoerbare inzichten te bieden die zowel aansluiten bij de regelgeving als onze operationele prioriteiten. We voelen ons nu zekerder in onze mogelijkheid om ons te verdedigen tegen potentiële cyberdreigingen, terwijl we de veiligheid, betrouwbaarheid en efficiëntie van onze fabriek waarborgen.
Directeur ICT, EPZ
