Mengamankan Sistem Kontrol Industri dan IIoT di Tengah Lanskap Ancaman yang Tumbuh

Tidak lagi pertanyaan apakah suatu perangkat atau sensor terhubung—ini tentang siapa yang dapat mengakses data operasional yang dihasilkannya dan bagaimana menjaga perangkat atau sensor tersebut aman. Imperatif ini mendasari sistem terpadu yang membentuk tulang punggung infrastruktur kritis kita.

Awal minggu ini, saya memiliki kesempatan untuk berbicara di SecurityWeek’s Industrial Control Systems (ICS) Cyber Security Conference di Atlanta, GA. Acara ini mengumpulkan penggarap garis depan IIoT—operator dan mitra TI yang bekerja dengan SCADA, sistem kontrol pabrik, PLC, dan lingkungan kontrol industri lainnya. Bertepatan dengan Bulan Kesadaran Keamanan Siber Nasional, konferensi menyoroti kebutuhan kritis untuk melindungi industri yang melestarikan masyarakat kita: pertahanan, pembangkit listrik, transmisi, utilitas air, kimia, minyak & gas, pipa, pusat data, alat medis, dan lainnya.

Setiap sensor atau perangkat baru yang bergabung ke jaringan memperluas permukaan serangan dengan kedalaman dan lebar yang tak tertandingi. IIoT bukan sekadar sekelompok gawai yang terhubung; itu adalah ekosistem kompleks dari sensor digital, pengontrol, mesin, perangkat lunak, dan perangkat seluler yang mendukung kain masyarakat modern. Oleh karena itu, mengamankan koneksi ini adalah tantangan yang terus berkembang.

Sama pentingnya adalah ekosistem pihak ketiga yang mendorong lingkungan industri digital. Produsen, distributor, dan penyedia layanan dari komponen yang membentuk ICC dan IIoT—termasuk ICT yang konvergen—adalah integral dalam siklus hidup sistem. Mengamankan ekosistem ini esensial untuk memberikan jaminan kepada infrastruktur kritis.

Mengamankan Ekosistem Pihak Ketiga

Sistem kontrol, perangkat, dan sensor sangat bervariasi dan seringkali disesuaikan untuk masukan data dan persyaratan operasional khusus. Misalnya, sistem kontrol sektor energi memiliki toleransi operasi dan metrik permintaan puncak yang sangat berbeda dari lingkungan perawatan kesehatan yang terhubung. Akibatnya, manajemen dan kontrol sistem yang beragam bervariasi secara luas.

Menurut artikel EE Times terbaru, “Why is the IIoT so vulnerable to cyberattacks?”, pengemudi kunci dari “perfect storm” ini adalah rantai warisan OT dan sistem kontrol dari banyak vendor, banyak menjalankan perangkat lunak proprietary dan yang tidak dapat diperbarui. Antarmuka manusia-mesin, unit terminal jarak jauh, master SCADA, dan PLC semua coexist dalam labirin konfigurasi, yang mengangkat pertanyaan: bagaimana Anda mengelola keamanan dalam lingkungan seperti itu?

Saat mengatasi ekosistem pihak ketiga, saya merekomendasikan lima langkah esensial:

• Langkah 1: Identifikasi anggota ekosistem, pahami apa yang mereka sediakan, dan evaluasi dampak potensial mereka pada keamanan IC atau IIoT Anda.
• Langkah 2: Evaluasi bagaimana mitra ini menyematkan keamanan ke dalam solusi yang menjadi bagian dari sistem operasi Anda.
• Langkah 3: Terapkan arsitektur yang mengatur komunikasi perangkat—terapkan segmentasi dan prinsip akses hak istimewa terendah.
• Langkah 4: Verifikasi bahwa komponen pihak ketiga beroperasi dalam tingkat toleransi keamanan yang ditentukan Anda.
• Langkah 5: Terlibat dengan, dan mempengaruhi, kebijakan, standar, dan pedoman yang membentuk IC, IIoT, dan ekosistem mereka, seperti ANSI/ISA-62443-4-1-2018, NISTIR Draft 8228, dan NERC CIP 013-1.

Sektor publik dan swasta meluncurkan inisiatif untuk mengatasi risiko ini. Departemen Keamanan Dalam Negeri AS akan meluncurkan ICT Supply Chain Task Force, menyoroti pentingnya mengamankan siklus hidup lengkap perangkat digital dalam infrastruktur kita. Upaya kolaboratif ini menawarkan jalan yang harapan, menghadirkan industri yang beragam untuk menghadapi lanskap ancaman yang berkembang dan ekosistem pihak ketiga yang tumbuh.

Untuk operator IC, pengguna IIoT, dan produsen, memahami siapa dan apa yang menyusun ekosistem pihak ketiga Anda belum pernah lebih penting. Keamanan komprehensif di seluruh ekosistem ini adalah prioritas utama. Terlibat dengan rekan industri, tetap terinformasi, dan berkolaborasi lintas sektor untuk mencapai keberhasilan bersama.

Bacaan tambahan tentang mengamankan infrastruktur kritis, IC, dan IIoT:

• Securing Critical Infrastructure in the Digital Age
• Laying the Foundation to Secure Critical Infrastructure – Don’t Let the Lights Go Out on Critical Infrastructure Security