NIST Menawarkan Alat untuk Membantu Pertahanan Terhadap Peretas yang Disponsori Negara
Publikasi Khusus 800-172 dirancang untuk melindungi informasi sensitif dalam berbagai sistem elektronik.
Negara-negara di seluruh dunia menambahkan perang siber ke gudang senjata mereka, mempekerjakan tim yang sangat terampil untuk meluncurkan serangan terhadap negara lain. Musuh ini juga disebut “ancaman gigih tingkat lanjut”, atau APT, karena mereka memiliki alat dan sumber daya untuk mengejar tujuan mereka berulang kali dalam jangka waktu yang lama, beradaptasi dengan upaya para pembela HAM untuk melawan mereka.
Data yang rentan termasuk informasi sensitif tetapi tidak rahasia yang dikelola oleh pemerintah, industri dan akademisi untuk mendukung berbagai program federal. Sekarang, publikasi final dari Institut Nasional Standar dan Teknologi (NIST) memberikan panduan untuk melindungi "informasi tidak rahasia yang terkontrol" (CUI) dari APT. Publikasi Khusus (SP) NIST 800-172, Persyaratan Keamanan yang Disempurnakan untuk Melindungi Informasi Tidak Rahasia Terkendali:Tambahan untuk NIST SP 800-171, menawarkan seperangkat alat yang dirancang untuk melawan upaya peretas yang disponsori negara dan melengkapi publikasi NIST lainnya yang bertujuan melindungi CUI.
“Serangan siber dilakukan dengan senjata senyap, dan dalam beberapa situasi senjata tersebut tidak terdeteksi,” kata Ron Ross, seorang ilmuwan komputer dan rekan NIST. “Karena Anda mungkin belum 'merasakan' efek langsung dari peretasan berikutnya, Anda mungkin berpikir itu akan terjadi suatu hari nanti; tapi kenyataannya, itu terjadi sekarang.”
Pemerintah federal sangat bergantung pada penyedia layanan nonfederal untuk membantu melaksanakan berbagai misi menggunakan sistem informasi — istilah yang mencakup komputer, tetapi juga berbagai teknologi khusus lainnya seperti sistem kontrol industri dan Internet of Things. Perlindungan informasi federal sensitif yang berada dalam sistem nonfederal — seperti yang digunakan oleh pemerintah negara bagian dan lokal, perguruan tinggi dan universitas, dan organisasi penelitian independen — adalah sangat penting, karena dapat berdampak langsung pada kemampuan pemerintah federal untuk melaksanakan operasinya. . Peretasan pada tahun 2018 yang mengkompromikan informasi sensitif secara langsung menginspirasi kerja tim NIST di SP 800-172.
Sebelumnya bernomor SP 800-171B selama tahap rancangannya, SP 800-172 menawarkan rekomendasi tambahan untuk menangani CUI dalam situasi di mana informasi tersebut memiliki risiko paparan yang lebih tinggi daripada biasanya. CUI mencakup berbagai jenis informasi, dari nama individu atau nomor Jaminan Sosial hingga informasi pertahanan penting.
“Kami mengembangkan SP 800-171 sebagai tanggapan atas serangan siber besar pada infrastruktur penting AS, dan dokumen pendampingnya SP 800-172 dirancang untuk mengurangi serangan dari ancaman siber tingkat lanjut seperti APT,” kata Ross. “Menerapkan perlindungan siber di SP 800-172 akan membantu pemilik sistem melindungi apa yang dianggap peretas tingkat negara bagian sebagai target bernilai tinggi:informasi sensitif tentang orang, teknologi, inovasi, dan kekayaan intelektual, yang pengungkapannya dapat membahayakan ekonomi kita. dan keamanan nasional.”
Persyaratan keamanan yang ditingkatkan harus diterapkan selain yang ada di SP 800-171, karena publikasi tersebut tidak dirancang untuk menangani APT. Persyaratan dalam SP 800-172 berlaku untuk komponen sistem nonfederal yang memproses, menyimpan, atau mengirimkan CUI atau yang memberikan perlindungan untuk komponen tersebut. Untuk lebih mempersempit cakupan, persyaratan hanya diterapkan jika CUI yang ditunjuk dikaitkan dengan program penting atau aset bernilai tinggi — prioritas tertinggi untuk perlindungan.
Dikembangkan terutama untuk administrator seperti manajer program, CIO, dan auditor sistem, publikasi ini membahas perlindungan CUI untuk komponen sistem dengan mempromosikan arsitektur tahan penetrasi, operasi yang membatasi kerusakan, dan desain untuk mencapai ketahanan dan kemampuan bertahan dunia maya. Perangkatnya, yang dibagi menjadi 14 keluarga, tidak dimaksudkan untuk diterapkan secara massal, tetapi dipilih sesuai dengan kebutuhan organisasi.
“Kemungkinan besar organisasi yang menerapkan panduan ini tidak ingin menggunakan semua persyaratan keamanan yang ditingkatkan yang kami tawarkan di sini,” kata Ross. “Keputusan untuk memilih serangkaian persyaratan keamanan yang ditingkatkan akan didasarkan pada misi dan kebutuhan bisnis Anda — dan kemudian dipandu dan diinformasikan oleh penilaian risiko yang sedang berlangsung.”
Sebagai tanggapan atas umpan balik yang diterima selama periode komentar publik, draf akhir mencakup panduan cakupan dan penerapan yang diperbarui serta pendekatan pemilihan persyaratan yang lebih fleksibel untuk memungkinkan organisasi menyesuaikan solusi keamanan mereka.
Ross mengatakan bahwa alat dalam publikasi baru harus menawarkan harapan kepada siapa pun yang ingin mempertahankan diri dari peretasan, bahkan dengan ancaman yang mengintimidasi seperti APT.
"Musuh membawa 'A-game' mereka dalam serangan siber ini 24 jam sehari, 7 hari seminggu," katanya. “Anda dapat mulai memastikan kerusakan diminimalkan jika Anda menggunakan perlindungan cyber SP 800-172.”
Sumber Asli:https://www.nist.gov/news-events/news/2021/02/nist-offers-tools-help-defend-against-state-sponsored-hackers
