Merencanakan Respons Insiden yang Efektif untuk Sistem Kontrol Industri
Infrastruktur kritis yang bergantung pada Sistem Kontrol Industri (ICS) harus memiliki strategi respons insiden siber yang khusus. Apakah ancaman berasal dari insider yang tidak sengaja atau penyerang berbahaya, rencana yang terstruktur melindungi operasi, keuangan, dan reputasi.
Rencana respons insiden (IR) ICS yang dirancang dengan baik membatasi waktu henti, kehilangan data, premi asuransi, kerusakan merek, dan risiko pada keselamatan karyawan dan publik. Panduan ini fokus secara eksklusif pada kebutuhan unik PCS (misalnya, supervisory control and data acquisition, building management) karena sebagian besar organisasi sudah memiliki rencana IT IR.
Penulis: Robert Talbot, Senior IT Manager, Parsons Information Security Office; Jack D. Oden, Principal Project Manager, Parsons Critical Infrastructure Operations.
Justifikasi
Lingkungan kontrol industri modern sering berjalan pada antarmuka manusia-mesin berbasis Windows atau Linux, berkomunikasi melalui protokol Internet, dan terhubung ke jaringan LAN enterprise dan Internet. Arsitektur ini memberikan penghematan biaya, mengurangi vendor lock-in, dan menyederhanakan aliran data ke manajemen keuangan dan pimpinan senior.
Namun, manfaat ini meningkatkan paparan terhadap serangan siber berbasis Internet. Kenyataannya adalah serangan akan terjadi; kesiapan adalah pertahanan yang satu-satunya yang viable.
Persiapan Sebelum Insiden
Sementara mendirikan rencana IR dan tim adalah esensial, pencegahan proaktif menghasilkan return terbesar. Berbeda dengan pekerja kantor, satu jam waktu henti sistem dapat meruntuhkan operasi industri.
Langkah kunci termasuk: membatasi akses ke jaringan enterprise, men-deploy IDS yang mengenali protokol industri proprietary, dan menguji konfigurasi backup secara teratur untuk memastikan jalur pemulihan yang cepat.
Verifikasi backup rutin dan deploymen IDS mengurangi dampak insiden dan mempercepat pemulihan.
Persiapan Respons Insiden
Bentuk Tim Respons Insiden Siber
Membangun tim adalah langkah kritis pertama. Termasuk: insinyur dan operator ICS, administrator jaringan dan sistem, manajer fasilitas, dan perwakilan dari IT, keamanan siber, SDM, komunikasi, dan hukum. IRT juga harus berliaison dengan penegak hukum, regulator, dan vendor.
Seimbangkan staf internal dengan ahli eksternal dalam forensik, pelestarian bukti, dan eksploitasi ancaman untuk menggabungkan pengetahuan sistem yang dalam dengan keterampilan spesialis.
Buat Rencana Respons Insiden
Rencana IR sepenting dengan tim itu sendiri. Rencana harus mendefinisikan langkah deteksi, klasifikasi, dan respons yang memungkinkan respons untuk mengisolasi dan menyelesaikan insiden dengan cepat sambil memitigasi tekanan organisasi.
Setelah tinjauan akhir oleh IRT, pastikan hal berikut telah tersedia:
Pengujian awal dan berkala dari rencana
Hubungan yang established dengan penegak hukum
Daftar kontak komprehensif untuk entitas eksternal
Saluran komunikasi redundan
Struktur organisasi IRT dan detail kontak yang terbaru
Penyimpanan aman kata sandi sistem
Rencana Respons Insiden
Cakupan dan Tujuan
Rencana IR berlaku untuk setiap insiden siber yang diduga atau terkonfirmasi yang mempengaruhi sistem industri, memandu deteksi, klasifikasi, dan respons untuk meminimalkan gangguan operasional.
Prosedur Penanganan Insiden
Adopsi prosedur yang terbukti untuk mempercepat pemulihan dan menghindari kesalahan yang mahal. Banyak sumber daya industri dapat berfungsi sebagai templat untuk protokol spesifik perusahaan.
Identifikasi Insiden
Deteksi, penyekatan, dan pemberantasan yang tepat waktu—idealnya dalam 24 jam—adalah krusial. Kolaborasi antara administrator sistem dan personil IR memastikan klasifikasi yang akurat insiden versus kerusakan baik.
Pemberitahuan
Konfirmasi insiden dengan memberitahu pemimpin IRT, CISO, manajemen eksekutif, dan hukum. Jika diingatkan, beri tahu penegak hukum.
Penyekatan
Identifikasi aset yang terinfeksi, titik masuk, dan stempel waktu. Segmentasi jaringan, perimeter yang aman, dan log firewall membantu menentukan bagaimana malware masuk. Pelihara bukti dengan protokol rantai pengawasan yang ketat; bukti yang terkompromi tidak dapat diterima di pengadilan. Identifikasi saksi potensial.
Pemberantasan
Hapus malware dari semua sistem yang terpengaruh dan bersihkan registry Windows. Kode tersisa apa pun dapat memicu infeksi ulang.
Pemulihan Sistem
Sebelum reboot, pulihkan data dari backup yang terverifikasi. Jika entri malware tidak pasti, pasang ulang sistem operasi dan aplikasi dari backup asli yang bersih.
Pelajaran yang Dipelajari
Dokumentasikan keberhasilan dan kesenjangan untuk menyempurnakan Rencana IR secara berkelanjutan.
Tantangan
IR yang efektif bergantung pada perencanaan dan pendanaan yang khusus. Karena anggaran keamanan IT dan industri seringkali terisolir, advokasi dari kepemimpinan senior adalah esensial. Juara tingkat tinggi dapat mengamankan sumber daya dan dukungan lintas departemen.
Penilaian keamanan saja tidak cukup; melibatkan partner eksternal yang berkualifikasi untuk pengujian kerentanan yang komprehensif adalah kritis.
Sementara sektor IT sudah lama mengakui dampak keuangan insiden siber, sektor industri telah tertinggal—meskipun pelanggaran berprofil tinggi seperti Stuxnet dan serangan point-of-sale Target.
Kesimpulan dan Rekomendasi
Insiden berprofil tinggi menyoroti urgensi untuk mengamankan lingkungan kontrol industri dan membangun kemampuan respons insiden yang kuat. Pergeseran budaya menuju pencegahan proaktif dan pemulihan cepat sedang berlangsung tetapi harus dipercepat. Organisasi harus memprioritaskan pengembangan program cyber IR yang khusus untuk sistem industri mereka.
Penulis: Robert Talbot, Senior IT Manager, Parsons Information Security Office; Jack D. Oden, Principal Project Manager, Parsons Critical Infrastructure Operations.
