Menangani Lanskap Ancaman yang Berkembang dari ICS dan IIoT

Bukan rahasia lagi bahwa proliferasi perangkat dan sensor yang terhubung telah memperkenalkan tantangan keamanan baru dan berkembang di setiap industri dan perusahaan. Pertanyaannya bukan lagi apakah perangkat atau sensor terhubung secara digital atau tidak. Fokus hari ini harus pada siapa yang memiliki akses ke data operasional yang dihasilkan dan bagaimana memastikan bahwa perangkat atau sensor aman . Ini sangat penting untuk sistem konvergensi yang membentuk fondasi infrastruktur penting kami.

Minggu ini, saya mendapat hak istimewa untuk berbicara di Konferensi Keamanan Siber ICS SecurityWeek di Atlanta, GA. Konferensi ini berfungsi sebagai pertemuan orang-orang di garis depan IIoT – operator dan mitra teknologi informasi yang menangani ancaman dunia maya terhadap sistem kontrol industri (ICS), termasuk elemen-elemen seperti sistem SCADA, sistem kontrol pabrik, dan pengontrol logika yang dapat diprogram (PLC). ). Secara kebetulan, kegiatan Bulan Kesadaran Keamanan Siber Nasional minggu ini difokuskan pada pentingnya mengamankan infrastruktur penting, dan rekan-rekan peserta konferensi saya mewakili banyak industri yang mendukung infrastruktur ini – pertahanan, pembangkit listrik, transmisi dan distribusi, utilitas air, bahan kimia, minyak dan gas, saluran pipa, pusat data, perangkat medis, dan banyak lagi.

Peningkatan jumlah sensor dan perangkat yang terhubung menciptakan permukaan serangan dengan kedalaman dan luas yang belum pernah terjadi sebelumnya. Ketika Anda mempertimbangkan bahwa IIoT terdiri dari sensor digital, pengontrol, mesin, perangkat lunak, dan perangkat seluler yang sekarang menggerakkan ICS dan infrastruktur yang menjadi dasar bagi masyarakat, tantangan untuk mengamankan koneksi ini tumbuh pada tingkat yang eksponensial.

Namun, ada kenyataan tambahan untuk tantangan keamanan ini. Kebutuhan esensial untuk menangani ekosistem pihak ketiga yang merupakan bagian integral dari siklus hidup lingkungan industri digital. Ekosistem ini mencakup produsen, distributor, dan penyedia layanan komponen yang terdiri dari ICS dan IIoT, termasuk teknologi informasi dan komunikasi (ICT) yang telah dikonvergensi oleh ICS/IIoT.

Masukkan kebutuhan penting untuk mengamankan ekosistem pihak ketiga ini guna memberikan jaminan infrastruktur penting.

Mengamankan Ekosistem Pihak Ketiga

Sistem kontrol, perangkat, dan sensor secara inheren bervariasi, dengan penyesuaian untuk umpan dan operasi data khusus. Misalnya, sektor energi akan memiliki sistem kontrol dengan toleransi operasi yang unik dan metrik permintaan puncak – faktor yang mungkin biasa-biasa saja dalam lingkungan pemberian layanan kesehatan yang terhubung. Selain itu, pengelolaan dan kontrol beragam sistem, sensor, dan perangkat ini juga akan bervariasi.

Menurut sebuah artikel baru-baru ini di EE Times, Mengapa IIoT begitu rentan terhadap serangan siber?, salah satu elemen kunci yang mendorong “badai sempurna” ancaman keamanan ini adalah “tambal sulam OT dan sistem kontrol dari beberapa vendor yang menjalankan kepemilikan dan non- perangkat lunak yang dapat diperbarui, termasuk komputer human-machine-interface (HMI) dengan akses ke unit terminal jarak jauh (RTU), SCADAmaster (komputer kontrol pengawasan), dan pengontrol logika yang dapat diprogram (PLC).” Bagaimana Anda mengelola keamanan dalam lingkungan dengan konfigurasi yang tampaknya tak terbatas?

Saat menangani ekosistem pihak ketiga vendor perangkat dan sensor ICS dan IIoT, saya mengusulkan lima langkah utama untuk mengatasi keamanan:

Langkah 1: Ketahui siapa yang membentuk ekosistem ini, apa yang mereka sediakan, dan bagaimana pengaruhnya terhadap keamanan ICS atau IIoT Anda.

Langkah 2: Pahami apa yang dilakukan anggota ekosistem Anda untuk membangun keamanan ke dalam solusi yang mencakup sistem operasi Anda.

Langkah 3: Terapkan arsitektur untuk mengontrol perangkat mana yang berkomunikasi dengan perangkat lain – manfaatkan prinsip segmentasi dan akses hak istimewa paling rendah.

Langkah 4: Nilai apakah pihak ketiga dalam ekosistem Anda beroperasi dalam tingkat toleransi keamanan Anda.

Langkah 5: Menyadari dan memberikan masukan terhadap kebijakan, standar, dan panduan yang berdampak pada ICS, IIoT, dan ekosistem pihak ketiganya (mis., ANSI/ISA-62443-4-1-2018, “Keamanan untuk otomasi industri dan sistem kontrol Bagian 4-1 :Persyaratan siklus hidup pengembangan keamanan produk;” US NISTIR Draft 8228,” Pertimbangan untuk Mengelola Keamanan Siber IoT dan Risiko Privasi;” NERC CIP 013-1, “Untuk mengurangi risiko keamanan siber pada pengoperasian Sistem Listrik Massal (BES) yang andal dengan menerapkan kontrol keamanan untuk manajemen risiko rantai pasokan BES Cyber ​​Systems").

Ada upaya baru yang sedang dilakukan untuk mengatasi keamanan di seluruh sektor publik dan swasta. Misalnya, Departemen Keamanan Dalam Negeri Amerika Serikat sedang dalam tahap akhir peluncuran Gugus Tugas Rantai Pasokan TIK. Pengakuan akan dampak ekosistem pihak ketiga dan kebutuhan akan keamanan melalui siklus hidup perangkat digital yang mendukung, menghadirkan, dan beroperasi di infrastruktur penting kami memberi saya harapan. Berharap melalui kemitraan publik/swasta di beragam industri — termasuk infrastruktur penting — kami akan bekerja bersama untuk mengatasi tantangan keamanan dari lanskap ancaman yang terus berkembang disertai dengan ekosistem pihak ketiga yang meningkat. Ini akan menjadi usaha besar, tetapi ini adalah langkah yang disambut baik ke arah yang benar.

Sekarang, lebih dari sebelumnya, kebutuhan untuk mengetahui siapa dan apa yang terdiri dari ekosistem pihak ketiga Anda sangat penting. Keamanan yang komprehensif di seluruh ekosistem ini adalah yang terpenting. Ini sangat penting bagi operator ICS di infrastruktur penting, serta pengguna dan produsen perangkat yang terhubung dengan IIoT di semua industri. Kabar baiknya adalah sektor publik dan swasta bekerja sama untuk menghadapi tantangan ini secara langsung. Terlibat, tetap waspada, dan berkolaborasi baik di dalam industri Anda sendiri maupun di industri lain untuk memastikan kesuksesan kita bersama.

Bacaan tambahan tentang mengamankan infrastruktur penting, ICS, dan IIoT:

• Mengamankan Infrastruktur Penting di Era Digital
• Meletakkan Dasar untuk Mengamankan Infrastruktur Penting Jangan Matikan Keamanan Infrastruktur Penting