Een kwetsbaarheid signaleren is relatief eenvoudig geworden — de uitdaging zit in het aantoonbaar en consistent omzetten van die signalering in een behandeld risico. Dit artikel beschrijft een praktisch stappenplan dat aansluit op de risicobenadering van IEC 62443-2-1 en -3-2.
Stap 1: Signalering en initiële triage
Een nieuwe kwetsbaarheid wordt gesignaleerd via een CVE, KEV-vermelding, ICS Advisory of leveranciersbericht. De eerste vraag is een triagevraag: is dit product of protocol überhaupt in gebruik binnen de eigen omgeving? Dit vereist een actuele assetinventaris.
Stap 2: Industriële en organisatorische relevantie bepalen
Niet elke kwetsbaarheid in een getroffen product is voor elke organisatie even relevant. Bepaal: staat het apparaat in een kritieke zone? Is het vanaf het internet bereikbaar? Is er een KEV-vermelding? Dit platform ondersteunt deze stap met een industriële relevantiescore en expliciete IACS Radar-duiding per kwetsbaarheid.
Stap 3: Risicobeoordeling
Vertaal de technische kwetsbaarheid naar een risico-inschatting: wat is de kans op misbruik (mede op basis van KEV en EPSS), en wat is de impact op beschikbaarheid, integriteit of vertrouwelijkheid van het getroffen proces? Betrek hier expliciet de context van de zone waarin het apparaat staat.
Stap 4: Behandelkeuze
Op basis van de risicobeoordeling wordt een behandelkeuze gemaakt:
- Patchen — de kwetsbaarheid verhelpen via een leveranciersupdate.
- Mitigeren — het risico verkleinen via compenserende maatregelen, zoals extra segmentatie of verhoogde monitoring.
- Accepteren — het restrisico bewust accepteren, met een onderbouwing en een verantwoordelijke die dit besluit neemt.
- Uitfaseren — het apparaat vervangen wanneer patchen of mitigeren niet haalbaar is, bijvoorbeeld bij einde-levensduur-apparatuur.
Stap 5: Implementatie en verificatie
Voer de gekozen maatregel uit en verifieer dat deze daadwerkelijk effect heeft — bijvoorbeeld door te controleren dat een patch is toegepast, of dat een nieuwe firewallregel het verwachte verkeer daadwerkelijk blokkeert.
Stap 6: Vastlegging
Leg vast welke keuze is gemaakt, waarom, door wie, en welk bewijs er is van implementatie. Dit is niet alleen nuttig voor interne opvolging, maar ook het bewijsmateriaal waarmee je tegenover toezichthouders, auditors of het eigen management kunt aantonen dat risico's daadwerkelijk worden behandeld — niet alleen gesignaleerd.
Praktijkvoorbeeld
Voor een kritieke kwetsbaarheid in een RTU-model zonder directe patchmogelijkheid besluit een netbeheerder tot tijdelijke mitigatie via extra netwerksegmentatie, met een geplande vervanging van het apparaat over twaalf maanden. Dit besluit, inclusief onderbouwing en verantwoordelijke, wordt vastgelegd in het risicoregister.
Veelgemaakte fout
Een kwetsbaarheid als "bekend" markeren zonder een expliciete behandelkeuze en vastlegging. Zonder deze stap is achteraf niet aantoonbaar of, wanneer en waarom een risico daadwerkelijk is behandeld.