Accenture, Dragos en het SANS Institute lanceren samen een nieuw initiatief om OT cyber resilience (operationele veerkracht) te vergroten bij kleine nutsbedrijven in de Verenigde Staten. Het gaat om water-, afvalwater-, elektriciteits- en gasbedrijven die vaak met beperkte budgetten en personeel moeten werken.
De aanleiding is duidelijk: aanvallers richten zich steeds vaker op operationele omgevingen die vitale diensten draaiende houden. Terwijl grotere organisaties vaker over gespecialiseerde capaciteit beschikken, hebben kleinere partijen die luxe minder. Dit initiatief probeert die kloof gericht te dichten.
Wat is de Community Cyber Resilience Foundation?
De partners kondigen de Community Cyber Resilience Foundation aan. In de startfase stellen zij samen ongeveer $10 miljoen beschikbaar, bestaande uit een mix van financiering en diensten. Daarmee willen ze nutsbedrijven helpen hun beveiliging in hun OT-omgeving (zoals industriële besturing en procesaansturing) te verbeteren.
De eerste fase richt zich op maximaal 500 utilities. Deelnemers krijgen daar hulpmiddelen, begeleiding en training voor terug.
Gratis tools en praktische implementatie
Een belangrijk onderdeel van het programma is dat deelnemers niet alleen “adviezen” ontvangen, maar ook toegang krijgen tot concrete beveiligingsmiddelen. In de eerste fase gaat het onder meer om:
- Gratis beveiligingstools en gerelateerde apparatuur
- Deployment- en integratiehulp bij het inschakelen van de oplossing
- Training voor medewerkers om verdedigingsmaatregelen zelfstandig te kunnen draaien
Volgens de initiatiefnemers ontvangen deelnemers hiervoor de Dragos Platform en de daarbij behorende services. Accenture neemt daarbij de inrichting, integratie en doorlopende ondersteuning voor zijn rekening. SANS levert de scholing voor ICS/OT security, zodat teams intern hun verdediging kunnen beheren.
Voor wie is het initiatief bedoeld?
Om mee te doen moet een utility in de Verenigde Staten gevestigd zijn en vallen onder een inkomensgrens. Deelnemers moeten een jaarlijkse omzet van onder $100 miljoen hebben. De partners geven aan dat deze drempel meer dan 50.000 organisaties dekt, goed voor naar schatting 97% van alle Amerikaanse utilities.
Concreet kunnen water-, afvalwater-, elektriciteits- en natuurlijke gasbedrijven zich aanmelden. Daarmee is de doelgroep breed genoeg om niet alleen grote industriële clusters te raken, maar ook kleinere spelers, waaronder partijen die vooral rurale of minder bediende gemeenschappen bedienen.
Waarom is OT cyber resilience nodig?
Veel kleine nutsbedrijven kampen met dezelfde structurele problemen: beperkte budgetten, tekort aan gespecialiseerde medewerkers en verouderde technologie. Juist daardoor is het lastig om tijdig te reageren op dreigingen en om beveiliging niet “later” te laten plaatsvinden.
De partners wijzen bovendien op recente incidenten: ze noemen aanvallen die in de VS meer dan 100 water-omgevingen troffen, verspreid over meer dan een dozijn staten. Dat soort gebeurtenissen laat zien hoe snel een operationele omgeving kwetsbaar kan worden zodra verdediging onvoldoende is voorbereid.
Dragos CEO Robert M. Lee verwoordt de kern als volgt: tegenstanders richten zich agressief op utilities en vallen juist de operationele omgevingen aan die miljoenen Amerikanen van levensnoodzakelijke diensten voorzien. Tegelijk hebben veel kleine operators niet de capaciteit om die dreiging goed te pareren.
Hoe werkt het programma in de praktijk?
Naast software en training is er ook aandacht voor de “harde kant” van implementatie. De foundation financiert namelijk ook het hardware dat nodig is om het Dragos Platform te deployen en draaiend te houden.
Daarnaast koppelt het initiatief deelnemers aan een peer netwerk van utilities. In dat netwerk delen organisaties operationele ervaringen en lessen uit de praktijk. Zo krijgen deelnemers niet alleen een toolset, maar ook een gemeenschapsstructuur om sneller te leren van wat werkt.
De aanpak lijkt daarmee te zijn gebouwd op drie pijlers: technologie (platform en apparatuur), mensen (training) en proces (blijvende ondersteuning en kennisdeling).
Voortbouwend op eerdere Dragos Community Defense
Het nieuwe initiatief bouwt volgens de aankondiging voort op het Dragos Community Defense Program. Dat programma bood al eerder meer dan 100 utilities gratis toegang tot het Dragos Platform. Die start lag in december 2023 en was bedoeld voor nutsbedrijven met een jaarlijkse omzet van minder dan $100 miljoen.
Met de foundation wordt dat concept dus opgeschaald: van een programma met een beperkte scope naar een bredere, structurele basis met een hoger budget en een duidelijker community- en opleidingscomponent.
Relatie met recente ontwikkelingen bij Dragos
De aankondiging komt bovendien in een periode waarin de OT-cyberveiligheidsstrategie van de markt verandert. Vier maanden voorafgaand aan dit nieuws maakte Accenture bekend dat het een meerderheidsbelang in Dragos overneemt. Die deal werd in de aankondiging gekoppeld aan een OT-cyber push met een totale waarde van ongeveer $4,1 miljard.
De nieuwe foundation past binnen die bredere lijn: niet alleen commercieel aanbod, maar ook een maatschappelijke insteek om juist kleinere spelers te ondersteunen.
Wat betekent dit voor cybersecurity teams en bestuur?
Voor security- en OT-teams bij kleine utilities is dit type initiatief vooral relevant omdat het drempels verlaagt. Wanneer middelen en expertise ontbreken, is de kans groter dat beveiliging versnipperd blijft of te laat wordt uitgerold. Door het combineren van platformtoegang, integratiehulp en training kunnen organisaties sneller naar een werkbare basis toe.
Ook voor bestuur en compliance-afdelingen kan dit helpen. OT security gaat immers niet alleen over “IT-regels”, maar over het borgen van de continuïteit van vitale processen. Een gestructureerde route richting OT cyber resilience maakt het eenvoudiger om intern uit te leggen wat er concreet wordt gedaan en welke capaciteiten worden opgebouwd.
Heb je binnen je organisatie al te maken met OT-dreigingen of wil je je voorbereidingen aanscherpen? Dan kan het nuttig zijn om ook te kijken naar hoe incidentrespons werkt bij dreigingen die zich door omgevingen kunnen bewegen. Bijvoorbeeld: Rogue AI-agents: incidentrespons in 5 stappen is relevant als je je wilt voorbereiden op geautomatiseerde aanvallen die in complexe omgevingen effect zoeken.
Snelle lessen uit OT-aanvallen (en waarom dit programma daarbij past)
De kern van OT-aanvallen is vaak dat ze niet simpelweg “data stelen”, maar de werking van systemen onderbreken of verstoren. Dat vraagt om een ander type beveiligingsstrategie dan bij puur IT-landscape. Daarom benadrukken de partners training voor ICS/OT security: zonder kennis van hoe operationele systemen zijn opgebouwd en hoe ze reageren op afwijkingen, blijft het verdedigen lastig.
Daarnaast laat het initiatief zien dat hardware, integratie en ondersteuning samen horen. Een tool implementeren is één ding; zorgen dat het in de operatie wordt ingebed en dat teams ermee leren werken, is een tweede stap die vaak onderschat wordt.
Wil je je daarnaast breder oriënteren op de manier waarop kwetsbaarheden en misbruik in softwareketens kunnen escaleren? Dan is Siemens Software Center kwetsbaarheid misbruikt een voorbeeld van hoe issues in tooling kunnen doorwerken naar het bredere aanvalsvlak.
Conclusie
Met de Community Cyber Resilience Foundation zetten Accenture, Dragos en SANS een stap richting schaalbare ondersteuning voor kleine nutsbedrijven. Hun doel is om OT cyber resilience praktisch te maken: deelnemers krijgen gratis tools en apparatuur, integratie- en implementatiehulp, én training zodat teams intern kunnen doorpakken.
Gezien de eerder genoemde aanvallen op Amerikaanse watersystemen en het structurele tekort aan middelen bij kleine utilities, is dit initiatief een logische reactie. Voor organisaties die snel hun OT-verdediging willen versterken, kan deelname een concrete versnelling betekenen richting veerkrachtigere en beter beheerde operationele omgevingen.
