Hoe Darta gedeelde werkstations transformeerde tot veilige, gebruiksvriendelijke identificatie over haar Europese sites heen
Over Darta
Darta is een internationale producent van diepvriesproducten waaronder fruit, groenten, kruiden en maaltijden. Vanuit de hoofdzetel in Ardooie breidde de organisatie haar activiteiten internationaal uit, met vestigingen in onder andere het Verenigd Koninkrijk, Portugal, Spanje, Sicilië en Italië.
Ongeveer vijf jaar geleden startte Darta het project rond badge-authenticatie op. De drivers hiervoor waren duidelijk. Enerzijds was er de nood om te voldoen aan de toenemende vereisten rond NIS2 en GDPR. Anderzijds was er behoefte aan een sterkere en meer gestructureerde securitystrategie op de werkvloer.
De toenmalige Infrastructure Manager, Ralph Houthoofdt, nam het initiatief om dit zogenaamde ‘Shared Service-project’ op te starten. De initiële geografische scope was beperkt was tot de site in Ardooie. Maar al snel werd het duidelijk dat de uitrol naar de andere sites een cruciaal onderdeel van het project zou zijn.
Alle systemen, processen en standaarden werden zo opgezet dat ze makkelijk konden worden opgeschaald en hergebruikt. Eens de configuratie in Ardooie was afgerond, kon dezelfde aanpak vrijwel één op één worden doorgetrokken naar de andere vestigingen.
De uitdaging: Authenticatie bestond eigenlijk niet
Bij Darta wordt er een onderscheid gemaakt tussen zogenaamde “white en blue collars”. White collars nemen meer de typische kantoorrollen op zich, terwijl we bij blue collars denken aan de medewerkers op de werkvloer. In de kantooromgeving maakten medewerkers gebruik van domeingekoppelde computers met klassieke on-premises Active Directory-authenticatie. In de productieomgeving bestond aanmelden niet echt.
De meeste computers in de fabriek waren continue, automatisch aangemeld via Citrix. Wie naar een werkstation wandelde, kon onmiddellijk aan de slag. Dat betekende ook dat elke gebruiker dezelfde rechten en sessie deelde. “Het concept aanmelden bestond eigenlijk niet”, zegt Ralph.
Het gevolg? Weinig tot geen traceerbaarheid. Er was geen duidelijk overzicht van wie welke acties deed en dus ook geen controle.
Het valt niet te ontkennen dat deze werkwijze voor medewerkers heel makkelijk is. Maar daarnaast brengt ze onlosmakelijk enorme risico’s met zich mee. Wanneer bijvoorbeeld een onbevoegd persoon toegang krijgt tot de site, kan hij of zij zonder enige authenticatie gebruikmaken van een werkstation.
Er was nood aan een oplossing die de beveiliging van de productievloer kon versterken maar die het ook voor de medewerkers werkbaar kon houden. Daarom begon de organisatie uit te kijken naar een manier om badge-authenticatie te introduceren.
Een all-in-one oplossing die eigenlijk niet de bedoeling was
ACEN kwam in contact met Darta in het kader van een Citrix-traject. Oorspronkelijk was het plan om badge-authenticatie toe te voegen bovenop een Citrix-omgeving. Zo konden medewerkers eenvoudig aanmelden op hun persoonlijke virtuele desktop. Maar Imprivata was daar niet het specifieke doel.
Al vrij snel kwam er een fundamentele vraag naar boven tijdens de eerste workshops: Waarom is die Citrix-laag eigenlijk nodig?
Vrijwel alle gebruikersaccounts en werkstations op de productievloer beschikten over een heel gelijkaardig profiel. De enige grote uitzonderingen daarin waren de SCADA- (Supervisory Control and Data Acquisition – voor beheer, aansturing en monitoring van processen en machines op de productievloer) en ERP-systemen(Enterprise Resource Planning – inzicht en connectie van en tussen productieprocessen).
ACEN stelde daarin een fundamenteel andere aanpak voor: gedeelde kiosk-pc’s met authenticatie via Imprivata.
"Wij werden oorspronkelijk betrokken voor een badge-authenticatievraag bovenop Citrix. Maar toen we de omgeving analyseerden, bleek die Citrix-laag eigenlijk weinig toegevoegde waarde te bieden. Door die stap terug te nemen konden we de oplossing eenvoudiger, goedkoper én veiliger maken."
Bovendien beschikte Darta in de productieomgeving puur over vaste werkstations, ‘fat clients’. Dit maakte de overstap van Citrix naar een Windows-gebaseerde omgeving relatief eenvoudig en kostenefficiënt. Er moest geen hardware worden vervangen en tegelijkertijd konden de kosten en het onderhoud van de volledige Citrix-stack worden geëlimineerd.
De gerealiseerde besparing op de Citrix-infrastructuur compenseerde daarmee de investering in Imprivata.
Voor Darta was de samenwerking met ACEN een eyeopener.
"Waar waren jullie al die jaren? We hebben al zoveel partijen over de vloer gehad om dit probleem op te lossen, maar niemand kwam met deze oplossing."
De implementatie: Technologie was niet de grootste uitdaging
Na een succesvolle, eerste proof of concept werd er snel een akkoord bereikt en kwam het project in een stroomversnelling. De eerste gesprekken gebeurden in oktober 2022. De eerste productie-omgeving werd al in januari 2023 opgezet.
Technisch verliep de implementatie vlot en snel. Voor het change management was er meer tijd en effort nodig. Meer dan 400 arbeiders moesten voorzien worden van badges. Daarnaast moesten er ook on- en offboarding procedures worden ingesteld en verfijnd. Een extra moeilijkheid was dat Darta vaak met tijdelijke medewerkers werkt onder de vorm van seizoensarbeiders en interimprofielen. En ook daar moesten duidelijke processen voor worden opgezet.
Waar medewerkers vroeger eenvoudig naar een werkstation konden wandelen en meteen aan de slag konden, moesten ze nu badgen en inloggen. Die extra stap werd zeker in het begin met enige scepsis onthaald. Dankzij Imprivata bleef de impact op de dagelijkse werking echter minimaal. Een badge aanbieden en een persoonlijke pincode ingeven volstaan. Vervolgens krijgen medewerkers via Single Sign-On automatisch toegang tot alle toepassingen die ze nodig hebben.
Éen badge, een waaier aan use cases
Er werd bewust gekozen voor MIFARE DESFire EV3-badges, omdat deze voldoende mogelijkheden bieden om ook toekomstige toepassingen te ondersteunen.
Wat begon als een authenticatiebadge voor de computers op de fabrieksvloer, evolueert daardoor steeds meer naar een multifunctioneel identificatiemiddel. De afgelopen jaren werd de oplossing bijvoorbeeld ook verder uitgebreid naar mobiele toepassingen. Vandaag zijn ook de handscanners en heftrucks in de fabriek uitgerust met Imprivata.
Heftruckchauffeurs gebruiken dezelfde badge om hun voertuig te activeren én om zich aan te melden op de tablet in hun voertuig. Ook gebruikers van handscanners krijgen dankzij badge-authenticatie onmiddellijk toegang tot SAP onder hun persoonlijke account.
“Een belangrijk voordeel van Imprivata voor Darta is de flexibiliteit binnen SAP”, geeft Ralph mee. “Je kan met Imprivata onderscheid maken tussen de ingelogde gebruiker in Windows en de gebruiker gekoppeld aan de gescande badge.” Een verpakker kan bijvoorbeeld werken vanuit een generiek Windows-profiel, terwijl een laborant zich tijdelijk met zijn badge authenticeert om kwaliteitscontroles uit te voeren. Imprivata zorgt er vervolgens automatisch voor dat de juiste identiteit en gebruikersrechten worden toegepast. Die flexibiliteit was een gigantisch selling point voor Darta.
" Geen enkele arbeider hoeft nog een eigen wachtwoord in te geven of te kennen. Alles wordt automatisch gegenereerd en beheerd. Badging maakt het hele proces makkelijker, sneller én veiliger.”
En de evolutie stopt daar niet. Waar medewerkers vandaag nog twee badges gebruiken, één voor fysieke toegang tot de site en één voor authenticatie op de computers, worden deze volgend jaar gecombineerd tot één badge.
Tegelijkertijd bieden de gekozen DESFire EV3-badges een hoog beveiligingsniveau en zijn ze zeer moeilijk te kopiëren.
Ardooie als basis voor internationale standaard
Na het succes in Ardooie besliste Darta al snel om het platform ook naar de andere sites uit te rollen. Dankzij de gestandaardiseerde architectuur kon het interne IT-team de oplossing relatief eenvoudig repliceren. De uitbreiding naar andere sites komt neer op badges bijbestellen, badgelezers installeren en de bestaande processen lokaal overnemen.
De eerste aan de beurt was de site in Yorkshire. Later volgde Portugal. Maar ook Spanje en Italië staan inmiddels op de roadmap na het toevoegen van de mobiele toestellen afgelopen jaar.
"Het systeem is eigenlijk taalongevoelig. Het enige woordje dat van belang is, is het label ‘user’ en verder werkt badge-authenticatie overal hetzelfde.”
Door de stabiliteit en standaardisatie kan Darta de meeste uitrolprojecten bovendien met haar eigen IT-team uitvoeren. ACEN wordt voornamelijk betrokken bij specifieke vragen of nieuwe use cases.
Ralph geeft nog mee dat de Citrix-laag toch nog steeds voor wat extra onzekerheid zorgde. Met Imprivata wordt er nog steeds altijd eerst uitgebreid getest voor iets in productie gaat. Maar het is eigenlijk perfect in te schatten wat de oplossing gaat doen bij een nieuwe opzet.
De resultaten
Concrete cijfers zijn er niet maar de impact bij Darta is groot.
1. Minder complexiteit
Door het wegvallen van de Citrix-omgeving werd de infrastructuur aanzienlijk eenvoudiger. Volgens Darta halveerde het aantal infrastructuurtickets na de migratie. Dat ontlastte de interne IT-dienst en maakte tijd vrij voor andere projecten.
2. Tijdswinst
De Citrix-laag viel weg waardoor er kosten werden bespaard en de omgeving eenvoudiger werd. Daarnaast bespaart badge-authenticatie medewerkers tijd door het manuele loginproces met wachtwoorden weg te nemen. Ook binnen de productieprocessen levert dit tijdswinst op.
3. Inzicht en traceerbaarheid
NIS2-Readiness was een belangrijke drijfveer in dit project. Waar vroeger weinig tot geen inzicht bestond in wie welke acties uitvoerde, beschikt Darta vandaag over een gedetailleerd overzicht van gebruikersactiviteiten.
Dankzij individuele gebruikersidentificatie, uitgebreide logging en auditinformatie beschikt Darta vandaag over volledige traceerbaarheid van gebruikersactiviteiten. Dat versterkt niet alleen de beveiliging, maar vormt ook een belangrijke voorbereiding op de strengere eisen die NIS2 in heel Europa met zich meebrengt.
4. Een uitzonderlijk stabiel platform
Een van de meest opvallende resultaten is volgens Ralph de stabiliteit van de omgeving: “Zonder gêne; Imprivata is waarschijnlijk het meest stabiele systeem dat we vandaag hebben draaien.”
Zelfs de migratie van VMware naar Hyper-V verliep zonder problemen. Dankzij ingebouwde redundantie hebben upgrades bovendien nauwelijks impact op de operationele werking.
Over de samenwerking en toekomstplannen
Doorheen de jaren werkte Darta nauw samen met ACEN om steeds het meest uit de oplossing te halen. Samen werden nieuwe pistes bedacht en getest, met de nodige kritische blik.
De rol van ACEN beperkte zich daarbij niet tot de implementatie van nieuwe technologieën. Ook bestaande processen en architecturen werden onder de loep genomen. Dit past binnen de bredere visie van ACEN: wanneer zaken niet logisch of optimaal lijken, of wanneer er ruimte is voor verbetering, wordt er kritisch meegedacht en geadviseerd over de best mogelijke aanpak.
Naast de inhoudelijke ondersteuning benadrukt Ralph ook de waarde van de continuïteit in de samenwerking. Richard en zijn collega’s waren doorheen de jaren een vast aanspreekpunt voor Darta. “Het samenwerken met eenzelfde persoon doorheen het project is een niet te onderschatten voordeel”, wordt er aangehaald. “Bij kennisoverdracht gaat er onvermijdelijk informatie verloren. Je verliest altijd iets, al is het maar die persoonlijke touch.”
Omdat Imprivata zo’n belangrijk systeem geworden is voor Darta, wordt er gekeken naar de mogelijkheden rond een managed service en/of support model.
Voor Darta is de architectuur vandaag onmisbaar geworden is deze zeker een aanrader voor andere industriebedrijven, ook door Ralph zelf:
"Dit type probleem bestaat in vrijwel elke fabriek. Ik weet eerlijk gezegd niet hoe veel andere organisaties het vandaag de dag oplossen. Tijdens de proof of concept had ik vooral één reactie: waarom wist ik niet dat dit bestond?"
