Memastikan keamanan siber dan privasi dalam Adopsi IoT
Internet of Things masih dalam tahap permulaan, tetapi seiring dengan semakin banyaknya perangkat yang terhubung ke jaringan, implikasi keamanan mulai menyebabkan sakit kepala bagi bisnis. Tidak seperti konsumen, perusahaan yang “diretas” lebih cepat diterjemahkan menjadi kerusakan reputasi, kehilangan pendapatan, atau bahkan klaim kompensasi.
Risiko terbesar terhadap keamanan online perusahaan berasal dari karyawan, kata Jack Warner, pakar keamanan siber di TechWarn . Staf yang kurang terlatih atau kurangnya kebijakan TI yang jelas mendorong perilaku sembrono dan penanganan data sensitif yang ceroboh. Karyawan mungkin tidak menyadari fitur dan risiko perangkat, atau memiliki pola pikir yang menolak keamanan untuk mengetahui kebocoran yang berpotensi merusak.
Lebih dari sebelumnya, penting bagi perusahaan untuk memeriksa semua peralatan kantor oleh tim insinyur yang sadar akan keamanan. Harus ada kebijakan yang jelas untuk data apa yang boleh dikumpulkan oleh perangkat, dan aturan yang harus dipatuhi oleh data tersebut. Kebijakan ini harus berlaku sama untuk data yang dikumpulkan oleh perangkat yang dimiliki dan diterapkan oleh perusahaan, serta milik karyawan.
Studi kasus:Data aplikasi kebugaran
Pada bulan November 2017, aplikasi kebugaran Strava merilis data yang dikumpulkan oleh penggunanya. Meskipun data tersebut telah dianonimkan, data tersebut masih menimbulkan perhatian besar karena para analis menemukan data tersebut mengungkapkan lokasi pangkalan militer rahasia, karena tentara akan mengenakan perangkat IoT kebugaran mereka saat jogging di sekitar pangkalan, berpatroli, atau berolahraga.
Rute latihan menguraikan ukuran dan lokasi pangkalan, memberikan perkiraan berapa banyak tentara yang ditempatkan di sana, dan bahkan frekuensi patroli kasarnya. Kebocoran data Strava mewakili risiko keamanan yang sangat besar bagi operasi pasukan AS dan sepenuhnya diakibatkan oleh diri sendiri.
Informasi seperti ini dapat dengan mudah membahayakan organisasi komersial juga. Lokasi pengujian, lokasi pramuka, atau rutinitas pengiriman mungkin merupakan kekayaan intelektual organisasi yang dijaga dengan baik.
Ada banyak perangkat IoT lain yang mungkin digunakan karyawan dengan santai yang mengungkapkan data sensitif. Telepon staf mungkin merekam lokasi mereka serta digunakan untuk mengambil gambar. Karyawan mungkin secara tidak sengaja membagikan lokasi mereka melalui media sosial, atau menggunakan aplikasi pemindai pintar di ponsel mereka untuk mengonversi data sensitif ke pdf. Kata sandi mungkin ditempelkan ke dalam folder konsep akun email pribadi, atau informasi pelanggan mungkin masuk ke daftar kontak pribadi karyawan, yang kemudian diunggah ke berbagai aplikasi.
Perangkat jaringan di kantor
Ketika keamanan informasi tidak dipertimbangkan sejak awal, kantor biasa mungkin sudah penuh dengan perangkat yang tidak menghormati privasi dan menciptakan kebocoran keamanan. Misalnya, printer dapat menyimpan dokumen tercetak untuk waktu yang lama (atau bahkan mengunggahnya secara online) dan pembersih udara dapat menyediakan data yang dikumpulkan ke server pusat.
Bahkan sistem seperti termostat, lampu, atau kunci pintu sering kali dilengkapi dengan kemampuan jaringan dan mungkin membagikan datanya dengan pengiklan atau setidaknya layanan cloud pusat. Paling tidak, ini membuka peluang bagi penyusup atau pesaing untuk mendapatkan akses ke rahasia perusahaan.
Jaringan dan intranet perusahaan
Sementara kita menjadi lebih sensitif terhadap informasi yang dihadapi publik, database internal dan jaringan organisasi masih terlalu sering dianggap “aman”. Sering kali di sini peretas memiliki kebebasan dan, begitu berada di dalam jaringan, dapat memanfaatkan posisi istimewa mereka untuk terhubung ke basis data, menginfeksi komputer dengan virus, atau menyabotase peralatan penting.
Router adalah salah satu peralatan yang paling diabaikan di jaringan kantor. Meskipun perangkat karyawan menerima pembaruan otomatis reguler, dan server menjadi perhatian utama, router jarang diperiksa dan tidak menerima pembaruan. Namun semua lalu lintas perusahaan akan melewatinya, dan siapa pun yang mengendalikan router dapat mencegat, mengubah bentuk, menyuntikkan, atau mengubah data apa pun yang dikirim ke internet dan perangkat internal lainnya.
Router VPN yang bagus tidak sulit didapat, tetapi perbedaan harga antar model bisa sangat besar dan manfaatnya tidak jelas bagi pembeli dan operator.
Ketergantungan pada penyedia hosting pihak ketiga
Ancaman terbesar terhadap kebutuhan privasi organisasi telah menjadi meluasnya penggunaan layanan yang dihosting termasuk email, obrolan, dan manajemen file.
Sementara beberapa tahun yang lalu masih relatif umum untuk setidaknya organisasi besar untuk mengelola server email mereka sendiri dan menyimpan dokumen di server internal, hari ini hampir secara eksklusif penyedia cloud pihak ketiga. Email, obrolan, dokumen, kode perangkat lunak—hampir tidak ada yang tersisa di dalam kantor banyak perusahaan.
Perjuangan abadi
Cara layanan internet dan perangkat Internet of Things berkembang sangat bertentangan dengan kebutuhan privasi dan keamanan perusahaan. Sejauh ini hanya ada sedikit penolakan atau permintaan untuk layanan yang lebih sadar akan keamanan.
Strategi yang paling berkelanjutan untuk korporat mungkin membatasi jumlah informasi yang mereka kumpulkan dari pelanggan mereka, dan menyimpan informasi ini bersama dengan kekayaan intelektual mereka, pada infrastruktur fisik yang dikelola sendiri di rumah.
Penulis blog ini adalah Jack Warner, pakar keamanan siber di TechWarn
Tentang penulis
Jack adalah pakar keamanan siber ulung dengan pengalaman bertahun-tahun di TechWarn, agen digital tepercaya untuk perusahaan keamanan siber kelas dunia. Sebagai advokat keamanan digital yang bersemangat, Jack sering berkontribusi pada blog teknologi dan media digital berbagi wawasan pakar tentang topik-topik seperti whistleblowing dan alat keamanan siber.
