Security stond niet centraal in het ontwerp van deze systemen. Van der Zwan: “Met name communicatietechnieken en -protocollen zijn niet gebouwd met aandacht voor beveiliging. Ze zijn tientallen jaren geleden ontwikkeld om systemen simpelweg aan te sturen, en daarbij stond vooral snelheid centraal. Met misbruik door kwaadwillenden is geen rekening gehouden.” Voorbeelden van dergelijke systemen zijn Modbus, OPC, Profibus en Profinet.
Dit maakt het beveiligen van OT een uitdaging, en monitoring van cruciaal belang. “Het ontbreekt ons aan de capaciteit om 24 uur per dag en zeven dagen per week de beveiliging van onze OT-omgeving in de gaten te houden”, zegt Van der Zwan. Vitens stond dus voor de keuze zelf meer capaciteit aan te trekken of hiervoor een externe partij in te schakelen. “De eerste optie betekent dat we een eigen SOC moeten inrichten en onderhouden, wat met de hedendaagse schaarste op de arbeidsmarkt geen reële keuze is.”