Serangan yang Dimonetisasi Memicu Ancaman Baru: Langkah Keamanan Ahli untuk Menanggulanginya
Dalam wicara terbuka, Ted Harrington, executive partner di Independent Security Evaluators (ISE), berbagi wawasan kritis tentang bagaimana serangan siber yang berhasil menghasilkan ancaman baru dan mencantumkan langkah keamanan konkret untuk menghentikannya.
Threat Modeling: Memahami Di Mana Risiko Nyata Ada
Harrington menjelaskan bahwa “ancaman terbesar” bervariasi menurut organisasi. “Threat modelling adalah latihan di mana Anda mengidentifikasi aset yang harus Anda lindungi, lawan yang Anda hadapi, dan permukaan serangan yang akan mereka eksploitasi,” katanya. “Apa yang kritis untuk satu perusahaan mungkin menjadi remeh untuk yang lain.”
Kecurangan Data di Web Browser: Kesimpulan Studi
Dalam studi terbaru ISE, 21 situs ternama di seluruh keuangan, kesehatan, asuransi, dan utilitas—70 % dari yang diuji—gagal mencegah browser menyimpan data sensitif di disk. Ini meninggalkan konten yang tidak terenkripsi di mesin pengguna akhir. Harrington mencatat, “Studi ini menunjukkan bahwa bahkan pengembang dengan niat baik dapat melewatkan vektor serangan kunci jika mereka tidak memahami cara peretas merusak sistem.”
Dia merekomendasikan:
Edukasi Eksekutif – Memberi pengambil keputusan wawasan keamanan yang jelas dan dapat ditindaklanjuti.
Demonstrasi Eksploitasi – Mengubah risiko abstrak menjadi ancaman nyata untuk melawan bias kognitif.
Empati – Mendengarkan pengembang dan tim UX sehingga solusi keamanan cocok dengan alur kerja dunia nyata.
Serangan Romantik Seehotel: Pelajaran untuk Perhotelan dan Di Luarnya
Saat peretas mengalih kendali kunci pintu hotel dan menuntut $1.600 dalam Bitcoin, pemilik membayar untuk menjaga keselamatan tamu. Harrington mencantumkan tiga pelajaran kunci:
Lawan Berevolusi – Penggunaan baru ransomware—memaksa pembayaran dengan mengganggu pengalaman tamu—menunjukkan bahwa penyeserang berevolusi dengan cepat.
Keberhasilan Membanggakan Pengikut – Serangan yang menguntungkan mengundang peniru; sektor perhotelan harus mengejar ancaman lanjutan.
Keamanan Multiaspek – Kepatuhan PCI dan perlindungan PII saja tidak dapat melindungi reputasi merek, keselamatan tamu, atau pengalaman.
Dampak ISE di Seluruh Industri
Harrington telah memimpin Door Lock Security Working Group untuk Hospitality Technology Next Generation, menghasilkan threat model abstrak dan pedoman terbaik untuk sistem kunci RFID, online, dan seluler. Dia sekarang memimpin bersama IoT Working Group dengan Interel untuk memandu adopsi perangkat yang aman.
Kesehatan: Melindungi Kesehatan Pasien, Bukan Hanya Data
Sementara HIPAA mendorong keamanan data, Harrington memperingatkan bahwa rumah sakit sering melewati gambaran besar: kesehatan pasien. Studi dua tahun dengan 12 rumah sakit menemukan bahwa penyerang dapat menyebabkan kerusakan serius—atau kematian—dengan merusak perangkat medis. “Melindungi data pasien saja tidak cukup,” katanya.
Tiga Tindakan Utama untuk Penyedia Layanan IoT
Harrington menekankan membangun keamanan di setiap tahap pengembangan, dari persyaratan hingga pasca-deploymen. Dia merekomendasikan:
Penilaian Keamanan Pihak Ketiga – Ahli independen dapat mengungkapkan kerentanan yang mungkin terlewatkan tim Anda.
Adopsi Mentalitas Lawan – Beralih dari pemindaian otomatis dan tes penetrasi standar; berpikir seperti penyerang.
Ted Harrington, executive partner Independent Security Evaluators, diwawancarai oleh editorial director Jeremy Cowan.
