Case · Industrie / voedingsmiddelen (OT/IT)

Van één plat netwerk naar een gesegmenteerd productienetwerk bij Veco Zuivel

Bij zuivelfabriek Veco Zuivel in Zeewolde hingen machines, SCADA/PLC, camera's, wifi en kantoor in één plat netwerk. 020 ICT bracht het netwerk in kaart en maakte een opbouw met negen tot tien VLAN-segmenten, waarin machines en SCADA gescheiden zijn van kantoor en internet.

Opdrachtgever
Veco Zuivel (Zeewolde)
Periode
2015 – 2021
Rol
Netwerkarchitect en engineer
Techniek
MikroTik, Allied Telesis, Ubiquiti/UniFi, VLAN-segmentatie, glasvezel, VPN voor leveranciers, SCADA/PLC

Situatie

Veco Zuivel is een zuivelfabriek in Zeewolde. Het productienetwerk was gegroeid tot één plat netwerk: machines van meerdere machineleveranciers, SCADA/PLC, camera's, wifi, kantoor en losse pc's met internet hingen door elkaar. Een actueel overzicht van alle aangesloten apparaten ontbrak. Het werk liep via een ICT-dienstverlener; 020 ICT maakte de netwerktekening en de VLAN-opbouw.

Aanpak

Eerst is het productienetwerk in kaart gebracht en is de bestaande situatie gedocumenteerd. Op basis daarvan is een nieuw VLAN-ontwerp gemaakt met negen tot tien segmenten: beheer, machines per leverancier, videobewaking, wifi, voice, kantoor en printers. De machine-pc's kwamen in eigen segmenten zonder internet, en printers en handscanners kregen een eigen segment. Leveranciers kregen alleen via een beveiligde VPN toegang tot SCADA/PLC. In 2017 volgde een rondgang door de fabriek met een checklist en risicoanalyse, met daarna advies over vervanging van verouderde systemen en back-up. Later zijn uitbreidingen gekoppeld, zoals een nieuwe productie-installatie en een meetsysteem aan SCADA.

Voor één plat netwerk Machines SCADA/PLC Wifi Camera's Kantoor Losse pc's met internet alles door elkaar in één netwerk geen actueel apparatenoverzicht VLAN- ontwerp Na gescheiden segmenten Glasvezelinternet Leveranciers via beveiligde VPN Router / firewall MikroTik · VLAN's gescheiden Machines per leverancier machine-pc's · geen internet SCADA / PLC geen internet Beheer Videobewaking Wifi Voice Kantoor Printers en handscanners
Voor en na: van één plat netwerk naar gescheiden segmenten achter een router met firewall. De segmenten voor machines en SCADA/PLC hebben geen internet; leveranciers komen er alleen via een beveiligde VPN bij.

Wat er is gebouwd

  • Een netwerktekening en documentatie van de bestaande situatie van het productienetwerk.
  • Een VLAN-ontwerp met negen tot tien segmenten: beheer, machines per leverancier, videobewaking, wifi, voice, kantoor en printers.
  • Eigen segmenten zonder internet voor de machine-pc's, en een eigen segment voor printers en handscanners.
  • Een beveiligde VPN als enige toegang voor leveranciers tot SCADA/PLC.
  • MikroTik-routers, een Allied Telesis-chassisswitch en Ubiquiti-switches op de switchlocaties (productie, kantoor, boterruimte, magazijn en technische ruimtes), met glasvezel ertussen.
  • UniFi-wifi, IP-camera's, glasvezelinternet en een IP-VPN voor telefonie.
  • Een rondgang door de fabriek in 2017 met checklist en risicoanalyse, gevolgd door advies over vervanging van verouderde systemen en back-up.
  • Koppeling van latere uitbreidingen, zoals een nieuwe productie-installatie en een meetsysteem aan SCADA.

Resultaat

  • Van één plat netwerk naar een gesegmenteerd productienetwerk.
  • Machines en SCADA zijn gescheiden van kantoor en internet.
  • Leveranciers hebben alleen gecontroleerde VPN-toegang.
  • Toen het kantoornetwerk in 2020 naar een andere partij ging, bleef het productienetwerk gescheiden.

Wat dit voor u betekent

Hangen uw machines, SCADA en kantoor nog in één netwerk? Door NIS2 is de scheiding tussen productie (OT) en kantoor (IT) actueel. 020 ICT brengt uw netwerk in kaart, maakt een ontwerp met gescheiden segmenten en regelt gecontroleerde toegang voor uw leveranciers.

Lees meer: vecozuivel.com (Veco Zuivel).

Meer over deze dienst: Out-of-band beheer