Daftar Periksa Keamanan ICS

Dalam keamanan siber tradisional, pelanggaran dapat mengekspos, merusak, atau bahkan menahan sistem data perusahaan .

Sementara pelanggaran data tradisional dapat menghabiskan biaya dan melemahkan sistem TI perusahaan, serangan siber pada sistem kontrol industri dapat memengaruhi data dan operasi yang sangat penting. Mengingat bahwa sistem kontrol industri mengendalikan segala sesuatu mulai dari pembangkit listrik tenaga nuklir hingga kilang, jaringan listrik, pabrik, dan alat berat, keamanan ICS sangat penting.

Sementara sistem TI adalah perangkat keras dalam perangkat lunak dalam pengaturan perusahaan tradisional, sistem kontrol industri—kadang dikenal sebagai teknologi operasional (OT)—mencakup perangkat, sistem, dan jaringan untuk mengoperasikan dan/atau mengotomatisasi proses industri.

Di sini, kami menawarkan serangkaian prinsip keamanan ICS untuk membantu profesional industri menurunkan risiko keamanan siber mereka.

1. Pahami Aset Anda 

Sebagian besar organisasi industri tidak siap untuk teknik keamanan siber tingkat lanjut. Mereka harus mulai dengan dasar-dasar. “Sebagian besar organisasi tidak tahu teknologi apa yang mereka gunakan,” kata Bill Malik, wakil presiden strategi infrastruktur di Trend Micro.

Sebagian dari tantangannya adalah fakta bahwa aset teknologi operasional seringkali berbeda dari aset TI, kata Jason Haward-Grau, kepala petugas keamanan informasi di PAS. Server di pusat data, misalnya, adalah aset TI. Tetapi sistem di ruang server di pabrik adalah "kemampuan yang membawa Anda ke aset," tambahnya. “Ini akan menjalankan sistem kontrol untuk PLC [pengontrol logika yang dapat diprogram], SCADA [kontrol pengawasan dan akuisisi data] atau sistem [sistem kontrol terdistribusi] DCS.”

Jadi menghitung server, alamat IP, atau sakelar jaringan tidak akan menangkap gambaran lengkap. “Ada banyak sekali sistem [industri] yang tidak berada di jaringan formal,” kata Haward-Grau. Tantangan lainnya adalah peralatan yang menua. “Masih ada teknologi dari tahun 1960-an dan 1970-an sebagai inti dari banyak pabrik,” tambahnya.

Di perusahaan, melakukan penilaian kerentanan atau membuat inventaris aset umumnya mudah, tindakan yang sama di dunia PL dan ICS biasanya tidak. Melakukan pemeriksaan inventaris “di lingkungan OT dapat menurunkan perangkat atau seluruh lingkungan,” kata Sean Peasley, pemimpin keamanan IoT mitra penasihat keuangan dan risiko Deloitte. Vendor keamanan ICS spesialis dapat membuat inventaris perangkat secara pasif, katanya.

2. Lihat Frameworks for Help 

Mengamankan infrastruktur industri mungkin sulit, tetapi semakin banyak standar yang dapat membantu. Memiliki kerangka kerja umum yang mencakup keamanan siber dapat menjembatani kesenjangan antara TI dan OT dan mendorong “pola pikir holistik” di seluruh organisasi industri, kata Peasley.

Ada banyak tumpang tindih antara sebagian besar standar ICS, kata Haward-Grau. “Mulailah dengan kerangka kerja. Saya tidak peduli yang mana," sarannya.

Standar dan kerangka kerja yang relevan mencakup hal berikut: 

• Prinsip Strategis DHS untuk Mengamankan Internet of Things
• ISA/IEC 62443
• ISO/IEC 27001
• Kerangka MITRE ATT&CK untuk Sistem Kontrol Industri
• NERC CIP
• Kerangka Kerja Keamanan Siber NIST, Panduan NIST untuk Keamanan Sistem Kontrol Industri (ICS) dan Rekomendasi NIST untuk Produsen Perangkat IoT 
• Standar UL 2900

3. Miliki Rencana Pemulihan Bencana Cyber

Sementara dokumen standar keamanan siber seringkali padat, pada akhirnya, sebuah kerangka kerja harus memungkinkan staf untuk membahas keamanan siber dalam bahasa Inggris yang sederhana dan memberi mereka rencana tentang bagaimana menanggapi skenario mimpi buruk siber. “[Dengan] kerangka kerja, kita berbicara tentang, 'Bagaimana cara mengidentifikasi dan melindungi sesuatu? Bagaimana saya akan mendeteksi, merespons, dan, yang lebih penting, pulih dari [serangan siber]?’” kata Haward-Grau.

4. Berinvestasi dalam Asuransi Siber

Karena serangan siber sering menyebabkan  asuransi siber sangat berharga. Membeli asuransi, bagaimanapun, tidak mudah. Peralatan industri lama adalah hal biasa, jadi lebih masuk akal untuk mengasuransikan proses industri daripada teknologi khusus, menurut Haward-Grau. "Jika saya memiliki barang yang tidak dapat saya tambal, perusahaan asuransi cyber akan mencari kontrol kompensasi," katanya. Bahkan dengan program keamanan siber yang kuat, mungkin ada pengecualian lain dalam polis asuransi yang perlu diperhatikan.

5. Merangkul 'Hak Istimewa Terkecil'

Dalam keamanan siber, konsep "hak istimewa terkecil" menyarankan bahwa organisasi harus membatasi kontrol akses antara sistem TI dan pengguna tanpa terdiri dari aktivitas inti.

Firewall adalah strategi berbasis TI tradisional untuk mencapai tujuan ini, tetapi juga penting dalam keamanan PL. “Pertimbangkan bagaimana malware dapat menyebar ke seluruh fasilitas produksi, dan siapkan firewall,” kata Malik. Untuk menghindari potensi gangguan, daftar putih proses yang diizinkan.

Ada lebih banyak "hak istimewa terkecil" daripada firewall, kata David Goldstein, CEO AssetLink Global. Misalnya, Goldstein merekomendasikan “membatasi lalu lintas ke arah yang tidak diperlukan untuk aplikasi. Jika Anda hanya memantau, nonaktifkan kemampuan untuk mengontrol, dan sebagainya. ”

Akses jarak jauh adalah kekhawatiran lain. “Gunakan ID unik untuk tugas pemeliharaan,” kata Malik. “Saat mengakses teknologi melalui jaringan IP di lingkungan industri, memerlukan otentikasi unik oleh setiap pengguna.”

Penggunaan PC generik di lingkungan ICS juga berisiko. “Kunci. Nonaktifkan instalasi, hapus kompiler dan nonaktifkan proses yang tidak dikenal atau tidak perlu, ”kata Malik.

6. Pertimbangkan Program Bug Bounty 

Program hadiah bug — di mana hadiah diberikan kepada pengembang yang mengidentifikasi kerentanan sistem — telah mendapatkan popularitas dalam beberapa tahun terakhir, termasuk dalam konteks industri. “Program hadiah bug adalah ciri khas dari IoT yang berpikiran maju dan vendor IoT industri,” kata Malik.

“Seluruh perjalanan digitalisasi akan mengubah cara pabrik beroperasi,” kata Haward-Grau. “Jika Anda mulai memperkenalkan perangkat IIoT dan 5G, Anda akan membutuhkan bug bounty.”

Tapi itu tidak berarti masuk akal untuk memprioritaskan hadiah bug dalam setiap kasus. Sebuah organisasi dengan peralatan dan workstation berusia puluhan tahun yang menjalankan sistem operasi yang belum ditambal atau ketinggalan zaman kemungkinan akan menemukan hasil dari program bug-bounty yang luar biasa.

7. Mengelola Risiko Pihak Ketiga 

Program manajemen risiko pihak ketiga semakin penting di ranah PL, kata Peasley. Tetapi mengelola risiko di seluruh rantai pasokan yang diperluas seringkali menantang, dia menekankan. “Untuk perusahaan besar, mungkin ada ribuan pihak ketiga, keempat, dan kelima yang harus mereka pertimbangkan,” katanya. “Apakah itu pemasok yang menyematkan sesuatu ke dalam subkomponen atau .. . sebuah produk perangkat lunak, semua itu perlu dipertimbangkan,” tambah Peasley.

8. Ambil Inspirasi dari Program Keselamatan

Banyak organisasi industri telah memiliki program keselamatan selama beberapa dekade. Sekarang ancaman keamanan siber dapat menyebabkan ancaman terkait keselamatan, “kita perlu memiliki mentalitas yang sama seputar keamanan,” kata Peasley.

Idenya telah mendapatkan tanah. American Institute of Chemical Engineers, misalnya, merekomendasikan untuk mengintegrasikan pertimbangan keamanan siber ke dalam analisis bahaya proses tradisional, yang secara tradisional berfokus pada risiko kesalahan manusia, kegagalan peralatan, dan sejenisnya di fasilitas teknik kimia.

Salah satu strategi untuk melindungi fasilitas industri dari potensi bencana adalah penggunaan sistem instrumentasi keselamatan. Tetapi sistem seperti itu sendiri dapat rentan terhadap kompromi, kata Malik. Dan perkuatan fungsionalitas keamanan ke dalam sistem instrumentasi keselamatan yang ada tidak disarankan, menurut Malik. “Anda akan membangun infrastruktur di atas platform yang tidak pernah dirancang untuk keamanan siber,” katanya.

Sementara Haward-Grau mengakui bahwa sistem instrumen keselamatan tidak sempurna, dia menekankan bahwa itu adalah pertahanan yang vital. “Saat kami mulai memperluas operasi, dan kami menghubungkan lebih banyak hal, kebutuhan akan sistem instrumen keselamatan yang lebih efektif tidak akan hilang sama sekali. Mereka akan menjadi lebih penting.”