Daftar Periksa Keamanan ICS: 8 Langkah Terjamin untuk Melindungi Sistem Kontrol Industri

Sistem kontrol industri (ICS) mengatur infrastruktur kritis—dari reaktor nuklir hingga rafineri minyak. Serangan siber dapat menghentikan operasi, berbeda dengan pelanggaran data tradisional yang terutama mempengaruhi penyimpanan data IT.

Karena perangkat dan jaringan OT (teknologi operasional) berbeda dari IT konvensional, mengamankannya memerlukan pendekatan khusus. Berikut adalah delapan prinsip berbasis bukti yang dapat diadopsi oleh profesional industri untuk mengurangi risiko dan membangun ketangguhan.

1. Inventaris dan Pahami Aset Anda

Banyak fasilitas tidak memiliki gambaran yang jelas tentang peralatan yang mereka miliki. Bill Malik, VP of Infrastructure Strategies di Trend Micro, mencatat bahwa "banyak organisasi tidak tahu teknologi apa yang telah mereka implementasi."

Aset OT termasuk PLC, SCADA, dan sistem DCS—sering tersembunyi di balik perangkat non-terjaring atau peralatan legacy dari tahun 1960 dan 1970. Menghitung server atau alamat IP saja melewatkan kompleksitas ini. Sean Peasley dari Deloitte menjelaskan bahwa inventaris OT dapat dilakukan secara pasif oleh vendor spesialis untuk menghindari gangguan proses.

2. Terapkan Kerangka yang Tepercaya

Standar seperti ISA/IEC 62443, ISO/IEC 27001, NIST Cybersecurity Framework, NERC CIP, MITRE ATT&CK for Industrial Control Systems, dan UL 2900 menyediakan bahasa dan kontrol umum yang menghubungkan IT dan OT.

Mulai dengan satu kerangka yang sesuai dengan lingkungan Anda; tumpang tindih di antara standar ini akan memberi Anda pola pikir keamanan siber yang holistik.

3. Buat Rencana Pemulihan Bencana Siber

Kerangka harus diterjemahkan menjadi panduan bahasa sederhana untuk deteksi, tanggap, dan pemulihan. Haward-Grau menekankan kebutuhan akan rencana yang dapat ditindaklanjuti: "Bagaimana saya mengidentifikasi dan melindungi hal-hal? Bagaimana saya akan mendeteksi, merespons, dan pulih?"

4. Investasikan dalam Asuransi Siber

Karena banyak aset legacy tidak dapat diperbarui, asuransi sering mengharuskan kontrol kompensasi. Alih-alih asuransi perangkat individu, cakup proses industri. Waspadai pengecualian bahkan dengan postur keamanan yang kuat.

5. Terapkan Prinsip Hak Istimewa Minimum

Batasi akses ke jaringan dan perangkat OT. Gunakan firewall untuk memblokir lalu lintas yang tidak perlu, white-list proses yang diizinkan, dan terapkan kredensial unik untuk pemeliharaan jarak jauh. Malik memperingatkan untuk tidak menggunakan PC generik tanpa mengamankannya.

6. Pertimbangkan Program Bug-Bounty

Program bug-bounty membantu mengidentifikasi kerentanan awal, terutama seiring dengan IIoT dan 5G. Namun, mereka dapat membebani organisasi dengan sistem legacy yang belum di-patch. Gunakan secara strategis.

7. Kelola Risiko Pihak Ketiga

Peasley mencatat bahwa perusahaan besar menghadapi ribuan pemasok dan sub-komponen. Program risiko pihak ketiga formal harus menilai perangkat lunak, perangkat keras, dan sistem embedded di seluruh rantai pasokan.

8. Manfaatkan Praktik Program Keselamatan

Protokol keselamatan tradisional—seperti analisis bahaya proses—dapat diperluas ke keamanan siber. American Institute of Chemical Engineers merekomendasikan untuk mengintegrasikan risiko siber ke dalam analisis ini. Sementara sistem keselamatan terinstrumen dapat rentan, mereka tetap menjadi lapis pertahanan penting; pengaplikasian ulang tidak disarankan tanpa meredesain untuk ketangguhan siber.

Dengan mengikuti delapan langkah ini, operator industri dapat memperkuat pertahanan mereka, selaras dengan praktik terbaik, dan melindungi operasi misi-kritis dari ancaman siber yang berkembang.