De koelinstallatie, de toegangscontrole, het camerasysteem en de noodstroomvoorziening hangen in vrijwel elk modern gebouw aan het netwerk. Ze worden alleen nog steeds beheerd alsof dat niet zo is: door installateurs, onder een onderhoudscontract, met een leverancier die op afstand meekijkt en een wachtwoord dat sinds de oplevering niet is gewijzigd.
Daarmee ontstaat een categorie apparatuur die technisch onderdeel is van je informatievoorziening, maar administratief nergens voorkomt. Niet in het assetregister, niet in het patchbeleid, niet in de leveranciersbeoordeling en niet in het risicoregister. En dat terwijl zowel NIS2 als ISO 27001 deze systemen expliciet tot het domein van informatiebeveiliging rekenen.
Waar de scheiding vandaan komt
Twintig jaar geleden klopte de scheiding tussen facilitair en IT. Een klimaatinstallatie was een gesloten systeem met een eigen bedieningspaneel, een toegangssysteem was een bekabelde lus met een controller in de meterkast, en een camera schreef naar een videorecorder in dezelfde ruimte. Er viel voor een aanvaller niets te halen dat de moeite waard was, en er was geen pad naar de rest van het netwerk.
Alles aan die situatie is veranderd, behalve de organisatorische indeling. Gebouwbeheersystemen praten nu over IP, hebben webinterfaces, worden op afstand onderhouden en zijn vaak gekoppeld aan cloudplatformen van de leverancier. Camerasystemen schrijven naar netwerkopslag. Toegangssystemen synchroniseren met de personeelsadministratie. De apparatuur is IT geworden; het beheer is installatietechniek gebleven.
In een datacenter is die spanning het scherpst voelbaar, omdat daar de facilitaire laag onderdeel is van het primaire proces. Zie ook het artikel over datacenters en NIS2. Maar het geldt net zo goed voor een ziekenhuis, een gemeentehuis of een productielocatie.
Wat er tegenwoordig aan het netwerk hangt
Een inventarisatie levert bij vrijwel elke organisatie meer op dan verwacht:
- Gebouwbeheersysteem voor verwarming, koeling en ventilatie, vaak met een webinterface en externe toegang voor de installateur
- Toegangscontrole met pasjes, soms met biometrie, gekoppeld aan personeelssystemen
- Camerabewaking met netwerkopslag en op afstand benaderbare beeldweergave
- Noodstroomvoorziening met beheerkaart en meldfunctie
- Brandmeld- en ontruimingsinstallatie met doormelding naar een meldkamer
- Liftinstallaties met externe diagnose door de onderhoudspartij
- Laadpalen met een cloudplatform van de exploitant
- Slimme verlichting en aanwezigheidsdetectie, met bewegingsdata als bijproduct
- Ruimtereserveringssystemen en digitale bewegwijzering
Deze systemen delen drie eigenschappen die ze aantrekkelijk maken als aanvalspad: ze staan zelden op een gesegmenteerd netwerk, ze draaien vaak jarenlang op dezelfde softwareversie, en de leverancier heeft doorgaans permanente toegang op afstand.
Wat de kaders er feitelijk over zeggen
Dit is geen extra eis die iemand erbij verzint. Het staat er al.
NIS2 noemt in de opsomming van maatregelen expliciet de beveiliging van personeel, toegangsbeleid en het beheer van activa. Beschikbaarheid is bovendien onderdeel van de zorgplicht, en dat maakt een uitgevallen koeling die systemen laat afschakelen tot een beveiligingsincident in de zin van de wet, niet tot een facilitaire storing.
ISO 27001 wijdt in de versie van 2022 een compleet thema aan fysieke beheersmaatregelen, met veertien maatregelen. Daar zitten onder meer beveiligingszones, fysieke toegang, monitoring van fysieke beveiliging, bescherming tegen omgevingsdreigingen, ondersteunende voorzieningen zoals stroom en koeling, beveiliging van bekabeling en onderhoud van apparatuur bij. Monitoring van fysieke beveiliging is in die versie nieuw toegevoegd, precies omdat dit terrein aan belang won.
De AVG vraagt om passende technische en organisatorische maatregelen, en fysieke beveiliging valt daar volledig onder. Daarnaast produceren deze systemen zelf persoonsgegevens, waarover verderop meer.
NEN 7510 neemt de fysieke beveiliging van ISO 27002 over en scherpt die aan voor ruimtes waar patientgegevens worden verwerkt.
Drie risico’s die zelden in het register staan
| Risico | Wat er feitelijk gebeurt | Waarom het gemist wordt |
|---|---|---|
| Permanente leverancierstoegang | De installateur heeft een vaste verbinding voor onderhoud op afstand, vaak met een gedeeld account | Staat in een onderhoudscontract, niet in het toegangsbeheer van IT |
| Ongepatchte installatietechniek | Systemen draaien jaren op dezelfde firmware, soms met standaardwachtwoorden | Valt buiten het patchbeleid omdat het geen ICT-apparatuur heet |
| Plat netwerk | Gebouwsystemen zitten op hetzelfde segment als kantoorautomatisering | Bij oplevering aangesloten op de dichtstbijzijnde poort, nooit herzien |
Wat deze drie gemeen hebben: het zijn geen technische verrassingen. Iedereen die ernaar kijkt, ziet ze binnen een dag. Ze blijven bestaan omdat niemand ze bezit. De facilitair manager beheert de installatie maar stelt geen beveiligingseisen, de security officer stelt eisen maar kent de installatie niet, en de leverancier doet wat er in het contract staat.
Toegangslogs en camerabeelden zijn persoonsgegevens
Naast beveiligingsrisico’s produceren deze systemen een gegevensstroom die onder de AVG valt, en die stroom is gevoeliger dan hij lijkt.
Uit toegangslogs valt af te leiden wie wanneer waar was, hoe lang iemand aanwezig was, met wie diegene samen naar binnen ging en welk patroon iemands werkweek heeft. Dat is in feite een aanwezigheidsregistratie, en die kwalificatie heeft gevolgen: er moet een grondslag zijn, een bewaartermijn die daadwerkelijk wordt gehandhaafd, en medewerkers moeten weten dat het gebeurt.
Voor camerabeelden geldt hetzelfde, met bovendien de vraag of het toezicht proportioneel is en of er niet ongemerkt sprake is van monitoring van werknemers. Waar biometrie wordt ingezet voor toegang, komt er een zwaarder regime bij, want biometrische gegevens ter unieke identificatie vormen een bijzondere categorie persoonsgegevens. Bij systematische, grootschalige monitoring is een gegevensbeschermingseffectbeoordeling doorgaans verplicht.
De praktische bevinding die we hier het vaakst tegenkomen: de bewaartermijn is nooit bepaald, dus het systeem bewaart tot de schijf vol is. Vaak blijkt dat maanden of jaren te zijn, terwijl het doel met enkele weken gediend was.
Het interessante is dat het hier telkens om dezelfde apparaten gaat. Het toegangscontrolesysteem is tegelijk een beveiligingsmaatregel, een asset met eigen kwetsbaarheden, en een verwerking van persoonsgegevens. Wie die drie invalshoeken in drie aparte administraties bijhoudt, in een securityregister, een assetlijst en een verwerkingsregister, houdt drie waarheden bij die onvermijdelijk uit elkaar gaan lopen.
Hoe je fysieke assets meeneemt zonder tweede administratie
Vier stappen, in deze volgorde.
1. Inventariseer wat er aan het netwerk hangt. Niet op basis van de facilitaire contractenlijst, maar op basis van wat er daadwerkelijk verbinding maakt. Een netwerkscan levert hier vrijwel altijd apparatuur op die niemand verwacht.
2. Beleg eigenaarschap waar het beheer ligt. De facilitair manager blijft eigenaar van de klimaatinstallatie. Wat verandert, is dat er beveiligingseisen bij dat eigenaarschap horen, en dat de status daarvan zichtbaar is voor wie op informatiebeveiliging stuurt.
3. Behandel de installateur als leverancier met toegang. Een onderhoudspartij met permanente toegang op afstand is een toeleverancier in de zin van NIS2. Dat betekent: risicoclassificatie, contractuele beveiligingseisen, en een periodieke beoordeling. Hetzelfde regime als voor je hostingpartij.
4. Registreer de gegevensstroom. Toegangslogs, camerabeelden en bezoekersregistratie horen in je verwerkingsregister, met grondslag en bewaartermijn, en die termijn moet ook in het systeem zijn ingesteld.
De valkuil bij al deze stappen is dat ze uitmonden in een aparte facilitaire beveiligingsadministratie naast de bestaande. Dan heb je het probleem verplaatst in plaats van opgelost.
Wat Pulse hier doet
In het Pulse Framework zijn domeinen, processen en assets de basis van het model, en er is geen apart type asset voor “IT” en “facilitair”. Een koelinstallatie, een toegangssysteem en een databaseserver krijgen dezelfde behandeling: een eigenaar, gekoppelde risico’s, de controls die die risico’s beheersen en het bewijs dat de werking aantoont.
Dat levert drie dingen op die met losse registers niet lukken.
Eén waarheid over je assets. Het toegangscontrolesysteem staat één keer in het model, met zijn beveiligingsrisico’s, zijn plek in je verwerkingsregister en zijn onderhoudsleverancier eraan gekoppeld. Verandert de bewaartermijn, dan verandert dat op één plek.
Eigenaarschap bij de beheerder, zicht bij de stuurder. Taken stromen naar de facilitair manager die de installatie beheert, terwijl de security officer en het bestuur de status zien zonder dat zij het beheer overnemen.
Leveranciers in hetzelfde regime. Onderhoudspartijen met toegang op afstand krijgen dezelfde risicoclassificatie en beoordelingscyclus als je ICT-leveranciers, in hetzelfde register, met dezelfde rapportage richting klanten en toezicht.
Gappie helpt bij het toetsen van je fysieke beveiligingsbeleid tegen de eisen uit ISO 27001, NIS2 en NEN 7510, en levert de verschillen met bronvermelding aan. Dat is precies het soort werk waar het naast elkaar leggen van teksten de meeste tijd kost en de minste toegevoegde waarde heeft.
Hoe wij ernaar kijken
De scheiding tussen facilitair en IT is een organisatiegrens die de aanvaller niet kent en de wetgever niet erkent. Zolang die grens ook een grens is in je administratie, heb je per definitie een blinde vlek, en het is een blinde vlek in de laag waar iemand fysiek naast je apparatuur kan staan.
Onze ervaring is dat organisaties die deze inventarisatie doen, schrikken van de uitkomst en daarna opgelucht zijn. Niet omdat er iets ernstigs is gebeurd, maar omdat het meestal met een handvol gerichte maatregelen op te lossen is: segmenteren, accounts opschonen, bewaartermijnen instellen en de onderhoudscontracten aanscherpen. Het lastige deel is niet de oplossing, het lastige deel is dat iemand het risico moet bezitten.
Aan de slag
Wil je weten hoe je fysieke assets, je verwerkingen en je normenkaders in één model samenkomen, plan dan een demo van 30 minuten. We nemen je eigen gebouw en je eigen leveranciers als voorbeeld. Twijfel je of NIS2 op jouw organisatie van toepassing is, begin dan met de gratis NIS2-check.