Pelanggaran SolarWinds Mengapa Keamanan Siber Harus Prioritas Tingkat Dewan Direksi
Serangkaian peretasan SolarWinds pada Desember 2020 menyoroti betapa mudahnya rantai pasok perangkat lunak dan sistem dapat dikompromikan ketika organisasi tidak memiliki kebijakan keamanan siber yang kuat.
Pernyataan resmi CISA mencatat bahwa aktor ancaman persisten lanjutan (APT) mulai menargetkan agensi pemerintah AS, infrastruktur kritis, dan entitas swasta pada Maret 2020, menunjukkan kesabaran, keamanan operasional, dan teknik canggih. CISA memperingatkan bahwa menghapus aktor ini dari lingkungan yang dikompromikan akan sangat kompleks dan sulit. Vektor infeksi rinci dan langkah mitigasi dicantumkan dalam pernyataan di sini.
Detail ini mencerminkan wawasan dari embedded.com dan EE Times, memperkuat peran krusial keamanan IoT dan keahlian profesional keamanan industri semikonduktor.
Masalah yang mengejutkan adalah pelanggaran dapat terjadi bahkan ketika pemerintah mengobsesi tentang keamanan namun tetap rentan melalui sistem pihak ketiga yang melewati langkah pengamanan yang tepat. Saya ingat, sebagai kontraktor mantan untuk pemerintah Inggris, pelatihan keamanan dan kesadaran yang ketat diperlukan—tidak pernah meninggalkan laptop di mobil terkunci, selalu menjaga laptop di tubuh atau dalam pandangan. Praktik ini menggambarkan elemen manusia yang sering diabaikan.
Akhirnya, insiden SolarWinds menyoroti kesenjangan kebijakan fundamental: apakah keamanan siber harus menjadi tanggung jawab penuh dari perancang perangkat keras dan lunak, atau harus disematkan pada tingkat tertinggi tata kelola perusahaan?
Woodside Capital Partners, peratasial keuangan korporat terkemuka, melaporkan Tujuh Pelajaran untuk CEO, Direksi, Anggota Dewan, dan Perusahaan Private Equity, yang ditulis oleh Managing Director Nishant Jadhav. Laporan ini berpendapat bahwa serangan rantai pasok SolarWinds menunjukkan kebutuhan mendesak untuk pemahaman keamanan siber yang lebih dalam pada tingkat eksekutif dan dewan direksi. Di era di mana ancaman persisten lanjutan dapat bersembunyi tanpa terlihat, melindungi reputasi dan nilai perusahaan belum pernah lebih penting.
Laporan menekankan bahwa anggota dewan harus dapat mengonfirmasi, dalam bahasa sederhana, bahwa organisasi mereka memiliki jaminan keamanan siber yang kuat. Berikut adalah tujuh pelajaran:
Pelajaran Satu: Adopsi Mentalitas Keamanan-Pertama, Bukan Kepatuhan-Pertama – Dari Atas
Pendekatan keamanan-pertama berarti tim eksekutif dan dewan memahami risiko spesifik yang dihadapi perusahaan mereka dan risiko yang mereka ciptakan untuk klien dan mitra. Pendekatan kepatuhan-pertama hanya memenuhi daftar periksa regulatif dan menawarkan jaring keselamatan yang tetap, jangka pendek. Ancaman siber berkembang dengan cepat, jadi tanda tangan kuartalan dewan atas postur ancaman perusahaan sangat penting.
Pelajaran Dua: CISO Harus Jadi Bagian dari Tim Kepemimpinan Eksekutif
CISO yang efektif berpikir di luar IT dan mempertimbangkan setiap vektor ancaman potensial—termasuk kebocoran data tidak sengaja dari peran yang menghadapi pelanggan dan risiko yang timbul dari penerapan teknologi baru. Dengan mempertanggungjawabkan CISO pada tingkat eksekutif, organisasi memastikan rekomendasi keamanan diterapkan dan paparan risiko diukur secara berkelanjutan.
Pelajaran Tiga: Ukur CISO dengan KPI untuk Perlindungan dan Remediasi Berkelanjutan
Alih-alih memecat CISO setelah pelanggaran, fokus pada kemampuan mereka untuk mengalokasikan anggaran keamanan yang tepat, meningkatkan kesadaran keamanan siber di seluruh organisasi, dan memodelkan respons terhadap ancaman eksternal seperti SolarWinds. KPI harus mencerminkan ketersediaan operasional dan kemampuan bisnis untuk mengurangi dan pulih dari serangan.
Pelajaran Empat: Mitra yang Tepercaya Tidak Jaminan Keamanan
Kasus SolarWinds membuktikan bahwa tidak ada mitra yang dapat dianggap imun dari risiko. Menerapkan lingkungan air-gapped untuk pengembangan produk baru dapat mengurangi risiko infiltrasi dari vendor tepercaya.
Pelajaran Lima: Mengompromikan Keamanan Bukan Palang Laba
Woodside Capital mengusulkan “cyber grade” sebagai metrik valuasi yang mencerminkan investasi teknologi, pelatihan, kebijakan perlindungan berkelanjutan, dan remediasi cepat. Cyber grade yang lebih tinggi berkorelasi dengan valuasi perusahaan yang lebih tinggi. Perusahaan private equity harus memprioritaskan cyber grade di atas keuntungan jangka pendek.
Pelajaran Enam: Mengevaluasi Ulang Asuransi Siber pada Tingkat Dewan
Banyak polis mencakup kerugian finansial dari pelanggaran data tetapi mungkin mengecualikan serangan rantai pasok atau ancaman yang didukung negara. CISO harus melibatkan dewan untuk mengamankan asuransi yang mencakup skenario ini dan mencakup aftermath yang panjang dari serangan.
Pelajaran Tujuh: Perlindungan Reputasi Berkelanjutan
Pelanggaran dapat terjadi kapan saja, berdampak pada performa bisnis. Perusahaan harus menunjukkan bahwa keamanan siber adalah pengait utama—melalui investasi berkelanjutan, pendidikan, dan remediasi transparan. Dengan mendirikan jaminan keamanan siber dan menyampaikannya kepada klien dan mitra, perusahaan dapat melindungi reputasi mereka di jangka panjang.
Laporan Woodside Capital juga mencantumkan perusahaan tahap pertumbuhan yang menyediakan solusi jaminan keamanan siber komprehensif, dari manajemen risiko hingga asuransi siber. Laporan lengkap tersedia di sini.
