AI Belum Siap untuk Keamanan Siber Sistem Kontrol Industri
Saat Google Duplex pertama kali bicara di telepon restoran, ia terdengar hampir seperti manusia. Demo menunjukkan apa yang dapat dilakukan AI saat ini: mengeksekusi percakapan yang sempit dan skrip dengan kecepatan yang aneh. Namun, teknologi yang sama, yang kini tersedia di 43 bagian AS untuk pengguna Google Pixel, menyoroti batasan AI saat ini—cukup mampu untuk interaksi rutin namun masih jauh dari menghadapi kompleksitas sistem kontrol industri (ICS).
Proyek AI yang menyoroti lainnya mempertegas perbedaan ini. IBM’s Project Debater dapat membuat argumen yang mempesona, namun suaranya tetap robotik dan pemahamannya abstrak. Kedua contoh ini menggambarkan bahwa AI paling canggih berasal dari perusahaan dengan kantong dalam dan kumpulan data besar—meskipun mereka pun memperingatkan bahwa algoritma mungkin gagal, data bisa bias, dan praktik yang tidak tepat dapat merusak kepercayaan.
Narasi pemasaran sering melukis AI sebagai obat jempol untuk tantangan bisnis, berjanji untuk memahami sejumlah besar data industri dan mempertahankan keamanan sistem kontrol. Analitik industri, ketika diterapkan pada data mesin, mendorong konvergensi OT dan IT dan membangkitkan Revolusi Industri Keempat, menurut Industrial Internet of Things Analytics Framework dari Industrial Internet Consortium.
Veteran keamanan siber Jason Haward-Grau, CISO di PAS Global, mencatat bahwa “otomatisasi proses robotik mungkin jauh lebih menarik, dari sudut pandang AI, daripada AI dalam keamanan.” Dia berpendapat bahwa vendor dapat klaim mereka menawarkan AI untuk setiap masalah, tetapi bisnis harus bertanya terlebih dahulu, “Apa yang dibutuhkan organisasi saya?” dan kemudian menentukan apakah AI adalah jawabannya.
Tingkat ancaman tetap tinggi. Studi Kaspersky pada 2018 menemukan bahwa 49 persen dari 321 responden industri melaporkan setidaknya satu serangan per tahun—sebuah pelaporan yang kurang mungkin mengurangi angka sebenarnya.
Mendefinisikan AI sendiri adalah tantangan filosofis. Penulis teknologi Jaron Lanier memperingatkan pada 2016 bahwa tanpa dasar yang dapat diukur, “Anda berada di tanah khayalan.” Dalam praktiknya, ini berarti banyak sistem yang diberi label “cerdas” tidak memiliki dasar empiris.
Satu kasus penggunaan konkret adalah deteksi malware atau anomali. Dengan dasar jaringan yang terpercaya dan algoritma machine learning yang kuat yang dilatih pada data yang cukup, AI dapat menandai ancaman dengan cepat dan mengurangi false positive. Ini sangat berharga mengingat kesenjangan talenta keamanan siber.
Namun, keberhasilan bergantung pada relevansi data. Jika sistem tidak menyadari proses bisnis tertentu, ia mungkin menghasilkan alarm palsu. Selain itu, pelatihan pada data yang cacat dapat menyebabkan malware diklasifikasikan sebagai benign. Adversen bahkan dapat meretro-engineer fitur model untuk menghindari deteksi.
Lingkungan industri mempresentasikan hambatan tambahan. Perangkat OT sering tidak menggunakan protokol IT standar, dan bus kontrol lama (misalnya, sistem berusia 25 tahun) sulit ditafsirkan oleh AI. Haward-Grau mengilustrasikan ini dengan contoh rafineri: sementara 500 perangkat IT dapat dipantau dengan pelacakan jaringan, 28.500 titik akhir OT dari berbagai vendor (ABB, Schneider Electric, Siemens, Yokogawa, Philips, GE, Honeywell) menyajikan lanskap data yang terpensi yang menyulitkan terjemahan AI dan menentukan perilaku “baik.”
Pergeseran dari “hanya masalah waktu sebelum kita disusupi” menjadi “kita sudah disusupi” mempertegas kompleksitas menentukan perilaku jaringan normal. Studi yang didukung IBM pada 2018 menunjukkan rata-rata membutuhkan waktu 197 hari bagi perusahaan untuk mendeteksi pelanggaran—waktu yang dapat merusak keandalan model machine learning yang dilatih pada topologi jaringan yang berkembang.
AI menjanjikan untuk keamanan siber industri, tetapi adopsi harus dimulai dengan kasus penggunaan yang telah ditetapkan dengan baik yang membatasi kompleksitas data. Seperti yang dikatakan E. F. Schumacher, “Butuh sentuhan genius—dan banyak keberanian—untuk bergerak ke arah yang berlawanan.” Bagi pemimpin industri, itu berarti memulai dengan proyek kecil yang dapat diatur sebelum menskalakan AI di seluruh lanskap OT mereka.
