Mengapa TÜV SÜD Mengatakan Ini Adalah Pemimpin Keamanan Siber Industri

MUNICH—Sekitar 67 persen dari semua perusahaan terpengaruh oleh insiden keamanan setiap tahun, kata Andy Schweiger, direktur pelaksana layanan keamanan siber di TÜV SÜD, organisasi pengujian, sertifikasi, dan pelatihan internasional. Dan “era script kiddies telah berlalu,” kata Schweiger, mengacu pada calon hacker yang mengandalkan sumber daya online untuk meluncurkan serangan siber. “[Anak-anak skrip yang] menjadi berita utama 10 hingga 15 tahun yang lalu sekarang sudah dewasa,” tambahnya. Akibatnya, serangan siber saat ini cenderung lebih merusak. Aktor negara telah mengambil peran yang lebih besar dalam meluncurkan serangan dan mengembangkan malware, yang kadang-kadang bocor seperti dalam kasus eksploitasi EternalBlue, memberikan peretas dunia bawah kemampuan untuk meluncurkan serangan yang sangat merusak. Dan beberapa penyerang memanfaatkan pembelajaran mesin untuk dalih dan mengidentifikasi target yang rentan.

Untuk menghadapi tantangan tersebut, TÜV SÜD, seperti UL di Amerika Serikat, semakin memposisikan dirinya sebagai otoritas dalam keamanan siber industri. Ada lima alasan TÜV SÜD siap untuk tugas itu, kata Schweiger dalam presentasi sebagai bagian dari jamuan pers keamanan siber Siemens di sini. Pertama, ia memiliki pengetahuan tentang persyaratan peraturan yang berkembang, seperti GDPR, yang terkait dengan dunia maya. (Pada titik terkait, produsen gadget yang terhubung dengan IoT yang diproduksi secara massal mendapati diri mereka berpotensi bertanggung jawab atas kerusakan yang disebabkan oleh eksploitasi dunia maya skala luas pada produk mereka). Kedua, organisasi terus memperhatikan lanskap ancaman saat ini. Ketiga, telah membangun tim ahli cyber yang solid. Keempat, netral dan objektif. Dan akhirnya, ia mengklaim sebagai "toko serba ada" untuk keamanan siber.

[ Dunia IoT adalah acara yang mengambil IIoT dari inspirasi hingga implementasi, peningkatan bisnis, dan operasi. Dapatkan tiket Anda sekarang. ]

Tagline bahasa Inggris organisasi ini adalah:“Add value. Menginspirasi kepercayaan.”

TÜV SÜD telah bekerja dengan cepat untuk membangun tim yang terdiri dari sekitar 30 lebih ahli dunia maya dalam jangka waktu enam bulan. Jika ada tujuan utama dari pendekatan sibernya, itu adalah untuk mengabadikan strategi siber di atas taktik. “Ada ribuan merek,” kata Schweiger, berbicara tentang lanskap vendor cyber. “Janjinya adalah:Anda membeli alat berikutnya, dan Anda akan lebih aman,” katanya. “Tapi itu belum tentu benar.”

Faktanya, sebuah organisasi yang membeli lusinan peralatan keamanan dan memiliki tim keamanan siber yang terdiri dari sekitar selusin dapat merasa dirinya kurang aman. Alih-alih memiliki strategi keamanan siber yang komprehensif, kemungkinan akan memiliki pertahanan tambal sulam yang membuat mereka rentan.

Schweiger mengatakan bahwa status TÜV SÜD sebagai penyedia layanan keamanan siber daripada produk membuatnya lebih gesit daripada penyedia produk. Jika kerentanan baru muncul, perusahaan dapat dengan cepat beradaptasi untuk mengembangkan strategi untuk mengatasinya.

Layanan keamanan siber intinya berada di bawah empat domain, perlindungan data (seperti konsultasi perlindungan data dan penghancuran data), keamanan transaksi komersial, keamanan siber industri (seperti pengujian keamanan berbasis AI dan deteksi anomali jaringan) dan layanan ahli (seperti deteksi layanan serangan). , penilaian paparan risiko dan pengujian penetrasi).

Di bidang industri, perusahaan bekerja untuk membantu departemen OT dan TI organisasi bertemu daripada dengan tegas menyatakan bahwa masing-masing hanya berbeda satu sama lain. “Jika Anda melampirkan PL ke sistem TI, semua tantangan sistem TI datang ke sistem OT,” kata Schweiger. Organisasi tersebut juga mengatakan membantu mengoptimalkan efisiensi PL dan TI dan menggunakan kembali proses internal pelanggan dengan praktik terbaik bersama.

Konten Terkait

Risiko adalah persamaan yang terdiri dari aset, kerentanan, dan ancaman, kata Stefan Laudat, ‎manajer keamanan informasi di TÜV SÜD Sec-IT GmbH. Namun tidak seperti keamanan TI tradisional, keamanan siber industri tidak hanya membahayakan data, produktivitas, dan ketersediaan sistem, tetapi juga berpotensi mengancam nyawa manusia atau menyebabkan cedera. Lingkungan industri yang mencakup infrastruktur kritis yang berpotensi rentan dapat berdampak pada masyarakat sekitar. Dan perusahaan kedirgantaraan terkemuka, misalnya, sedang menguji kerangka luar untuk memungkinkan pekerja mereka mengangkat benda berat. Jika salah satu perangkat ini dilanggar atau dikonfigurasi dengan jahat, itu dapat menimbulkan ancaman besar bagi pemakainya.

Tingkat ancaman siber saat ini di ruang industri sedang hingga tinggi, kata Laudat. Sementara aktor saat ini kurang lebih tidak aktif, mereka menginvestasikan banyak uang dalam meneliti serangan yang berfokus pada industri sementara biaya meluncurkan eksploitasi semacam itu terus turun. Situs seperti Shodan memudahkan penyerang untuk melakukan pengintaian terhadap target industri potensial.

Cakupan kerentanan di lingkungan industri juga dapat dipertimbangkan di lingkungan industri, mengingat sistem kontrol akses yang biasanya lemah, protokol kepemilikan yang lebih banyak, kerangka peraturan yang terbatas, jaringan pemasok yang kompleks, dan kesadaran keamanan TI yang umumnya rendah. Selain itu, protokol IoT MQTT yang banyak digunakan adalah ringan, tangguh, dan tidak aman, kata Laudat. Dan umur panjang dari banyak perangkat industri yang terhubung dapat membuat mereka rentan terhadap kerentanan besar dari waktu ke waktu.

Dalam beberapa kasus, organisasi menyarankan klien industrinya untuk menghindari digitalisasi dan tetap menggunakan teknologi analog ketika potensi ancaman dunia maya tidak dapat diterima.

Pendekatan siber TÜV SÜD tidak bergantung pada audit konvensional, di mana satu atau dua ahli akan melakukan perjalanan ke sebuah perusahaan dan melakukan wawancara. “Jawabannya keluar dari wawancara. Dalam kasus terbaik, mereka bias. Dalam kasus terburuk, mereka hanya memberi tahu Anda apa yang mereka inginkan, ”kata Schweiger. Tetapi pendekatan dunia maya organisasi bergantung pada otomatisasi untuk mengukur risiko dunia maya kliennya. “Sistem tidak membohongi kami,” tambahnya.