Mengapa Keamanan Otomasi Industri Harus Menjadi Fokus yang Diperbarui

Saat organisasi industri bergulat dengan dampak COVID-19, otomatisasi telah menjadi topik yang lebih hangat. Namun, para ahli khawatir bahwa percepatan otomatisasi dapat mendorong konsekuensi yang tidak terduga bagi organisasi yang tidak fokus pada keamanan.

“Ketika berbicara tentang otomatisasi dan sistem kontrol industri (ICS), tidak ada keraguan bahwa tergesa-gesa menghasilkan lebih dari pemborosan,” kata Dan Miklovic, seorang analis di Syndicate Analis. "Ini mengarah pada hasil yang berpotensi bencana atau mematikan."

Sistem mission-critical di fasilitas industri secara tradisional mengandalkan pengawasan ketat dari pekerja manusia karena indra "biasanya cara paling efektif untuk memastikan waktu kerja yang optimal," Chris Catterton, direktur rekayasa solusi di ONE Tech. Itu berubah. Sistem otomatis seringkali melebihi kapasitas manusia untuk menemukan masalah mesin. Sistem otomatis dapat mendeteksi ketika nilai torsi pada baut, misalnya, beberapa kilogram ringan, atau mendengar jeritan bantalan frekuensi tinggi yang tidak terdeteksi oleh telinga manusia, kata Catterton.

Tetapi menjadi lemah dalam hal keamanan otomasi industri bisa berbahaya. Elektronik hobi, misalnya, dapat membuat otomatisasi mesin industri menjadi sederhana, tetapi produk semacam itu juga dapat memberikan penyerang siber dengan target yang sudah dikenal, kata Miklovic. “Solusi otomatisasi plug-and-play yang tidak dibangun dengan keamanan di garis depan juga dapat membuka pintu untuk sejumlah besar kerentanan,” kata Catterton.

Berhati-hatilah Dengan Penerapan AI Juga 

Ada juga risiko bahwa organisasi akan tergesa-gesa menyebarkan kecerdasan buatan (AI) sebagai bagian dari inisiatif otomatisasi mereka. Dengan kekurangan pasokan pakar ilmu data dan banyak operator industri berpengalaman yang absen akibat karantina COVID-19, ada bahaya kesalahan yang semakin tinggi yang merayap ke dalam algoritme AI. Ada risiko bahwa “orang yang mencoba melatih sistem tidak memiliki informasi keselamatan penting”, kata Miklovic.

Bahkan dalam kondisi ideal, mengembangkan perangkat lunak atau algoritme AI pasti menimbulkan beberapa kesalahan. Satu aturan praktis menyatakan bahwa ada satu hingga 10 kesalahan per 1.000 baris perangkat lunak, seperti yang diamati oleh buku "The Fifth Domain". Bahkan perangkat lunak untuk sistem ruang angkasa yang sangat penting dapat memiliki satu hingga lima kesalahan per 1.000 baris kode.

Dengan perangkat lunak yang seringkali memiliki jutaan atau miliaran baris kode, kebutuhan untuk mencegah dan memperbaiki bug menjadi sangat penting. Sejarah memberikan contoh yang menggarisbawahi risiko mengambil jalan pintas dalam keamanan otomasi industri. Bencana roket Ariane 5 tahun 1996 adalah salah satu contohnya. Setelah pengembang perangkat lunak dari Badan Antariksa Eropa gagal memperbarui kode yang mereka pinjam dari roket pendahulunya, roket itu meledak. Karena kecepatan pesawat selama peluncuran melebihi batas yang ditentukan oleh perangkat lunaknya, roket itu hancur sendiri. “Biaya kesalahan perangkat lunak ini sekitar $300 juta,” kata Johannes Bauer, Ph.D., penasihat keamanan utama di UL.

Contoh lain dari pintasan perangkat lunak yang mahal adalah larangan terbang Boeing 737 Max pada 2019. Setelah mengalihkan tugas pengembangan perangkat lunak kepada insinyur $9 per jam, pesawat itu menewaskan 346 orang dalam dua kecelakaan. Sistem otomatis yang mengandalkan informasi dari sensor tunggal berperan dalam kecelakaan itu, menurut New York Times. Biaya mengandangkan 737 setelah dua kecelakaan adalah $18 miliar, menurut perkiraan Boeing.

D membedakan Saat Mengizinkan Akses Jarak Jauh 

Selain risiko mengambil jalan pintas dengan otomatisasi berbasis perangkat lunak atau beban kerja AI, perluasan akses jarak jauh di lingkungan industri adalah bahaya lain. “Pikirkan tentang menggunakan Zoom [aplikasi konferensi video] agar personel lantai toko berkomunikasi dengan sumber daya ahli bersama untuk mendiagnosis masalah,” kata Miklovic. Dalam kasus seperti itu, penjahat dunia maya dapat mencuri rahasia dagang atau informasi pembuatan produk, katanya. Terburu-buru untuk mengaktifkan operasi jarak jauh juga dapat mendorong organisasi untuk membuat sistem kontrol dapat diakses melalui internet publik tanpa kontrol keamanan yang sesuai. Ancaman melakukannya adalah “keprihatinan terhadap sistem instrumentasi keselamatan,” kata Mark Carrigan, chief operating officer PAS Global. “Sistem seperti itu adalah garis pertahanan terakhir untuk proses yang beroperasi di luar kondisi batas mereka, dan target serangan yang diketahui untuk pelaku jahat.”

Operasi jarak jauh juga meningkatkan risiko upaya phishing menggunakan rekayasa sosial. Serangan semacam itu dapat “mengidentifikasi karyawan yang kemungkinan besar memiliki akses istimewa sehingga kredensial mereka dapat dieksploitasi untuk mendapatkan akses ke lingkungan sistem kontrol melalui gateway jarak jauh yang semakin mudah diakses,” kata Carrigan.

Mengevaluasi Ancaman berdasarkan Sektor

Terburu-buru untuk menerapkan otomatisasi dan akses jarak jauh tidak akan seragam di seluruh sektor industri. “Sistem infrastruktur kritis yang paling kritis” cenderung telah menetapkan protokol, dan cenderung tidak mendefinisikan kembali proses inti, kata French Caldwell, salah satu pendiri Syndicate Analis. Infrastruktur penting seperti pembangkit listrik tenaga nuklir, kilang minyak, dan pabrik kimia cenderung tidak terpengaruh oleh pembatasan kerja jarak sosial yang diberikan pengecualian untuk institusi semacam itu.

Organisasi infrastruktur penting juga cenderung memiliki persyaratan peraturan untuk keamanan siber. Utilitas energi, misalnya, harus mengikuti standar keamanan siber yang digariskan oleh Federal Energy Regulatory Commission dan North American Electric Reliability Corporation.

Di ujung spektrum yang berlawanan adalah infrastruktur industri seperti pemanas, ventilasi dan pendingin udara (HVAC), pencahayaan dan sistem pabrik. Sistem seperti itu telah “dioperasikan dan dipantau dari jarak jauh selama beberapa dekade sekarang,” kata Caldwell.

Organisasi di tengah dua kutub ini lebih cenderung meningkatkan otomatisasi dan infrastruktur kerja jarak jauh, menurut Caldwell. “Ini berada dalam kelompok sistem menengah yang sangat besar di mana, tidak diragukan lagi, sudah ada peningkatan yang dipimpin oleh pandemi dalam akses ICS jarak jauh,” katanya.

Kata Terakhir

Pada akhirnya, setiap organisasi harus mengevaluasi risiko dan manfaat dari digitalisasi dan otomatisasi. Risiko bergerak terlalu lambat dapat menjadi ancaman bagi umur panjang perusahaan industri seperti halnya terburu-buru dalam penyebaran. “Ada banyak pandangan berbeda tentang apa yang harus diotomatisasi, berapa banyak yang harus diotomatisasi, dan kapan harus diotomatisasi,” kata Nitin Kumar, chief executive officer Appnomic. “Aset fisik semakin menjadi digital. Tidak adanya otomatisasi yang terjalin dengan proses digital yang memadai akan menciptakan model operasi digital yang sangat tidak efisien.”

Satu hal yang universal:Organisasi harus berkolaborasi untuk memecahkan masalah ini. Terutama selama pandemi, para insinyur dan pemimpin TI “perlu bekerja sama untuk memastikan bahwa keandalan dan keamanan selaras dengan kekritisan sistem dan risiko keamanan,” kata Caldwell. Setelah pandemi mereda, organisasi akan memiliki lebih banyak waktu untuk meninjau bagaimana mereka dapat memperluas otomatisasi dan akses jarak jauh dari sistem ICS untuk mengakomodasi “keadaan tak terduga dan untuk meningkatkan efektivitas dan efisiensi operasi sehari-hari,” kata Caldwell.

Dari sudut pandang bisnis, organisasi harus mempertimbangkan strategi untuk menerapkan otomatisasi guna meningkatkan ketahanan dalam menghadapi ketidakpastian. “Ada ketidakjelasan tentang durasi penutupan dan risiko yang ditimbulkan pada tenaga kerja bahkan jika ekonomi bermigrasi ke postur semi-terbuka,” kata Kumar. Tetapi yang lebih pasti adalah kemungkinan pemegang saham akan "terus menuntut saat pemulihan meningkat," tambahnya.

Teknologi seperti otomatisasi, AI, dan akses jarak jauh dapat memungkinkan organisasi industri untuk berbuat lebih banyak dengan lebih sedikit. Mereka yang ingin menyebarkannya harus melakukannya dengan hati-hati. Terlepas dari pepatah keamanan berdasarkan desain, banyak organisasi menemukannya dalam semacam mode perbaikan terus-menerus. “Keamanan harus menjadi persyaratan fungsional sejak awal,” kata Sean Peasley, mitra di Deloitte.