Specific OT-characteristics demand a different approach

Bij OT is er daarom sprake van een sterke koppeling tussen de gebruikte systemen en het onderliggende fysieke proces. Dit leidt tot twee belangrijke observaties. Ten eerste zijn de OT systemen vaak maatwerkoplossingen voor één specifieke toepassing, waardoor grote technologische heterogeniteit ontstaat. Ter illustratie, een brugbedieningssysteem bestaat uit substantieel andere onderdelen en processen dan een chemische fabriek waarin een continu proces gemonitord en gestuurd moet worden. Ten tweede blijft het fysieke proces vaak (redelijk) constant, en daardoor blijven ook de functionaliteitseisen van het systeem constant, waardoor OT systemen minder veranderlijk zijn dan IT systemen.

In de OT is er daardoor ook vaak sprake van een lange levensloop en gemiddeld hoge leeftijd van de gebruikte systemen. IT systemen hebben typisch een levensduur van enkele jaren, terwijl in de OT het niet ongebruikelijk is dat systemen 15 tot 30 jaar in gebruik zijn. Dit heeft tot gevolg dat de snelheid waarmee technologie wordt vervangen voor OT systemen veel trager is dan voor IT systemen. Bovendien kan het vervangen van OT systemen veel werk en hinder opleveren. Bijvoorbeeld, het vervangen van een brug is een omvangrijke logistieke operatie, waarvoor een spoor of snelwegtraject vaak langere tijd moet worden afgesloten. Hierdoor wordt in het ontwerp vaak gestreefd naar een zo laag mogelijke faalkans. Hierdoor ligt er voor OT systemen, in vergelijking met IT systemen, relatief meer nadruk op preventie dan op herstel.

Het verschil in levensloop van IT en OT heeft ook gevolgen voor de beveiliging. In de interviews wordt genoemd dat de beveiliging van gebruikte communicatie protocollen, zoals fieldbuses en industrieel ethernet, vaak verouderd is en kwetsbaarheden bevat. Daarnaast is gebruikte IT als onderdeel van OT systemen soms dermate oud dat er geen security patches meer voor ontwikkeld worden. Door deze security kwetsbaarheden van oudere OT systemen is het van belang om voldoende aandacht te geven aan herstelvermogen (in aanvulling op de van nature zwaardere nadruk op preventie). 

Bovendien bestaat veel OT uit decentrale systemen, waarbij het systeem zich vaak uitspreid over een groot geografisch gebied. Hierdoor krijgen OT systemen voordelen die voortkomen uit een decentraal geïmplementeerd systeem. Het belangrijkste gevolg hiervan is dat in veel gevallen een natuurlijke mate van segmentering en robuustheid is aangebracht, waarbij delen van het systeem uit kunnen vallen zonder dat dit effect heeft op andere delen van het systeem.

Een opmerkelijk verschil tussen IT en OT is de organisatie cultuur. In de OT heerst een duidelijke veiligheidscultuur. Alle geïnterviewden hebben aangegeven dat veiligheid van mens, proces en milieu voorop staat. Met betrekking tot cybersecurity eigenschappen werd in één van de interviews aangegeven dat in plaats van CIA de acroniem SAIC gebruikt wordt, die de onderlinge prioriteit weergeeft van Safety, Availability, Integrity en Confidentiality . Vanuit een andere organisatie werd gechargeerd naar voren gebracht: “OT richt zich op safety en IT op security.” Ook werd opgemerkt dat de nadruk op veiligheid van OT, in combinatie met de langere levensloop ervan, leidt tot een behoedzame houding t.a.v. het doorvoeren van veranderingen in OT. Dit staat in contrast met het hoge verandertempo van IT toepassingen. Elk van deze constateringen maken duidelijk dat er een verschil bestaat tussen de organisatiecultuur van IT en OT.