Dalam Dunia Industri, Perangkat Lunak Tepercaya Berarti Keselamatan
Sementara banyak perusahaan berjuang untuk mendapatkan kepercayaan dari pihak yang semakin sinis publik, taruhannya lebih tinggi untuk organisasi industri yang harus bergantung pada berbagai jenis perangkat lunak.
Perangkat lunak yang bermasalah dapat menyebabkan waktu henti operasional, kehilangan kekayaan intelektual, dan, dalam beberapa kasus, konsekuensi yang mengancam jiwa.
Ada peningkatan minat baru-baru ini pada perangkat lunak tepercaya mengenai Internet of Things (IoT) dan kualitas perangkat lunak secara umum. Nasib ekonomi digital bergantung pada “individu dan organisasi yang mempercayai teknologi komputasi.” Namun, kepercayaan “kurang kokoh” dibandingkan sebelumnya, seperti yang disimpulkan oleh National Institute of Standards and Technology pada tahun 2016.
Dalam beberapa tahun terakhir, berbagai organisasi telah menjadikan perangkat lunak yang dapat dipercaya sebagai pusat misi mereka. Didirikan pada tahun 2016, Trustworthy Software Foundation nirlaba yang berbasis di Inggris mendorong praktik terbaik dalam pengembangan perangkat lunak. Akhir tahun lalu, Linux Foundation meluncurkan Project Alvarium, sebuah inisiatif yang mengeksplorasi mekanisme untuk mendukung kepercayaan pada sistem yang heterogen, termasuk penerapan IoT dan di antara beragam pemangku kepentingan. Konsorsium Internet Industri menganjurkan konsep dapat dipercaya dalam IoT industri.
Hasil yang Harus Dihindari
Serangkaian peristiwa berfungsi sebagai peringatan risiko mengandalkan perangkat lunak industri yang tidak dapat dipercaya, menurut Bob Martin, ketua bersama Kelompok Tugas Keterpercayaan Perangkat Lunak di Konsorsium Internet Industri yang ikut menulis buku putih organisasi “Praktik Terbaik Keterpercayaan Perangkat Lunak.”
Pada tahun 2004, misalnya, kesalahan perangkat lunak menyebabkan infrastruktur kontrol lalu lintas udara dan sistem cadangannya ditutup di California Selatan, menurut L.A. Times. Kesalahan tersebut mengakibatkan pengalihan 800 penerbangan maskapai komersial setelah peralatan radio dan radar gagal selama lebih dari tiga jam.
Cerita bertema serupa lainnya termasuk mesin terapi radiasi yang dikendalikan komputer yang menyebabkan beberapa kematian pada 1980-an dan pemadaman listrik di Tempe, Arizona, pada 2007 yang diakibatkan oleh kesalahan konfigurasi oleh seorang insinyur vendor.
“Sistem nyata telah diterapkan di ruang IoT industri dengan jenis kesalahan yang tidak ingin Anda alami di resume Anda,” kata Martin.
Ledakan konektivitas dan aplikasi baru dalam pengaturan IoT industri telah meningkatkan jumlah profesional yang membuat dan membeli perangkat lunak untuk proses penting. “Orang-orang yang baru membangun sistem dengan perangkat lunak atau mencoba membuat perangkat lunak tangguh mungkin tidak pernah mengalami peristiwa ini dalam pendidikan mereka,” kata Martin.
Berbagai sistem dan lingkungan operasi yang terlibat dengan perangkat IoT industri menimbulkan tantangan lain karena membuka kemungkinan risiko terkait keamanan atau keselamatan, kata Johannes Bauer, penasihat keamanan utama, manajemen identitas dan keamanan di UL. Ini juga memperumit proses mencari kesalahan dalam berbagai elemen pemrosesan dan kode yang terlibat dalam satu proyek.
Membuat Bahasa Kepercayaan Umum
Di bidang industri, kepercayaan mencakup aspek, termasuk keselamatan, keamanan, keandalan privasi, dan ketahanan. Perangkat lunak tepercaya dapat menahan gangguan lingkungan, kesalahan manusia, kesalahan sistem, dan serangan siber, menurut Konsorsium Internet Industri.
Menyebarkan perangkat lunak yang dapat dipercaya memerlukan pendekatan komprehensif yang mencakup seluruh proses siklus hidup perangkat lunak, menurut Simon Rix, ahli strategi produk di Irdeto. “Anda harus memasukkan keamanan lebih awal, dan Anda harus mencari cara untuk mengotomatiskannya,” kata Rix, yang juga ikut menulis whitepaper IIC.
Namun, mendorong percakapan di antara para pemangku kepentingan tersebut dapat menjadi tantangan. “Bagaimana Anda membuat para pebisnis berbicara dengan cara yang dapat dipahami oleh orang-orang teknis, dan bagaimana Anda menjaga agar orang-orang teknologi tidak terburu-buru menjalankan misi mereka untuk merancang produk dengan cepat?” tanya Rix.
“Kuncinya adalah untuk mengatasi seluruh siklus hidup, semua metodologi pengembangan perangkat lunak yang berbeda, dan untuk memastikan Anda membawa pemangku kepentingan bisnis serta operator,” kata Martin. “Ada kebutuhan akan kunci terjemahan atau Rosetta Stone agar pihak-pihak yang berbeda dapat berbicara tentang apa yang mereka pedulikan di mana orang lain di sekitar meja dapat melihat perspektif mereka juga.”
Kerangka Memberikan Titik Awal
Semakin banyak kerangka kerja menyaring subjek kepercayaan di antara berbagai pemangku kepentingan, tetapi menanamkan kepercayaan pada perangkat lunak tetap menjadi proposisi yang kompleks. “Penggunaan kata 'kepercayaan' memiliki begitu banyak variabilitas sehingga hampir menjadi konsep yang tidak berguna kecuali itu memungkinkan kita untuk berdialog," kata Martin.
Menempatkan kontrol untuk mengoptimalkan keamanan dan keselamatan perangkat lunak industri adalah langkah pertama yang penting. Tetapi proses keamanan siber perlu terus diaudit. “Kekhawatiran saya adalah Anda dapat mengacaukan apa pun,” kata Chester Wisniewski, ilmuwan peneliti utama di Sophos. “Misalnya, saya dapat menggunakan [Standar Enkripsi Lanjutan], tetapi saya dapat menyalahgunakannya jauh lebih banyak daripada yang dapat saya gunakan dengan benar.” Wisniewski menarik paralel dari ritel. “Banyak toko yang memiliki pembaca chip untuk kartu kredit memiliki selembar karton dengan tanda yang mengatakan, 'Silakan geser.'” katanya. “Memiliki pembaca chip tidak berarti pemrosesan kartu kredit Anda aman jika Anda tidak benar-benar menggunakan [teknologi yang dirancang untuk membatasi penipuan].”
Jebakan lain adalah fokus pada penerapan perangkat lunak yang aman pada awalnya tetapi tidak menganggap bahwa itu akan menjadi usang. “Kami membedakan antara akhir dukungan dan akhir penggunaan. Hanya karena pencipta asli mungkin tidak mendukung perangkat lunak tidak berarti bahwa itu berubah menjadi pilar garam - itu tidak dapat digunakan, ”kata Martin.
Ironisnya, topik perangkat lunak akhir masa pakai juga menggarisbawahi pentingnya fokus pada pertimbangan keamanan sejak awal. “Jika perangkat lunak itu penting bagi Anda, maka masukkan ke dalam kontrak Anda untuk mendapatkan hak atas sumbernya,” saran Martin.
Pada akhirnya, memahami cara kerja perangkat lunak di dunia nyata membutuhkan fokus jangka panjang. “Itu tidak ajaib. Ia bereaksi, berinteraksi, dan terkadang perlu diganti.”
