Membangun Strategi Keamanan Siber yang Kuat untuk Infrastruktur Kritis
Membangun Strategi Keamanan Siber yang Kuat untuk Infrastruktur Kritis
Kesimpulan utama:
- Melindungi infrastruktur kritis tetap menjadi prioritas utama, namun banyak organisasi masih tertinggal dalam kesiapan pertahanan siber.
- COVID-19 telah memperluas definisi "kritis" untuk mencakup sektor seperti pembuatan PPE, logistik, dan pengolahan pangan, memicu penilaian ulang sistem penting.
- Organisasi harus beralih dari tindakan reaktif menjadi postur keamanan siber proaktif, terutama di tengah ancaman siber yang meningkat dan operasi jarak jauh yang meningkat.
Kecemasan publik terhadap serangan siber pada jaringan listrik, bendungan, sistem pemilihan, dan infrastruktur lain yang ditetapkan federal semakin tumbuh. Namun, seperti yang dicatat Sean Peasley dari Deloitte, sebagian besar perusahaan teknologi operasional (OT) masih hanya memiliki program keamanan siber yang masih dalam tahap awal.
Secara historis, "infrastruktur kritis" merujuk pada pekerjaan publik seperti transportasi dan utilitas. Selama beberapa dekade terakhir, lingkupnya telah diperluas untuk mencakup perawatan kesehatan, energi, manufaktur, dan lebih banyak lagi. Kieran Norton dari Deloitte menyoroti bahwa pandemi telah mengungkapkan lebar yang lebih besar, dengan pembuat PPE, perusahaan logistik, pulp & kertas, dan pengemas daging kini diakui sebagai esensial.
Sementara banyak organisasi OT memiliki pengalaman bertahun-tahun dalam manajemen risiko tradisional, keamanan siber adalah fokus yang relatif baru. Andrew Howard, CEO Kudelski Security, mengamati bahwa keamanan OT biasanya tertinggal 10–15 tahun dibandingkan IT.
Menurut IBM’s X-Force Threat Intelligence Index 2020, serangan pada sistem kontrol industri melonjak pada 2019, melebihi volume gabungan tiga tahun sebelumnya. Insiden berprofil tinggi termasuk ransomware pada Honda, utilitas energi Taiwan, fasilitas gas alami AS, pasokan air Israel, dan pelanggaran jaringan internal NTT.
Penilaian Risiko: Keharusan Berkelanjutan
Tanpa risiko yang dapat diukur, perbaikan terhenti. Banyak entitas infrastruktur kritis kesulitan memelihara inventaris aset yang akurat karena lingkungan yang beragam dan kompleks serta kurangnya spesialis keamanan siber OT.
Penilaian risiko awal harus mengkuantifikasi ancaman, kerentanan, dan konsekuensi potensial, dengan fokus pada kata sandi bersama, sistem yang tidak di patch, perangkat lunak/perangkat keras pihak ketiga, dan firewall yang permisif. Penilaian semacam itu dapat mengungkapkan daftar remediasi yang luas, yang memerlukan prioritas berdasarkan keparahan dan kemudahan perbaikan.
Pemindaian jaringan aktif dapat menstabilkan sistem kontrol, jadi pendekatan hati-hati dan kolaboratif dengan operasi sangat penting. Pemantauan pasif kurang invasif tetapi mungkin melewatkan wawasan kritis. Debat ini mencerminkan bentrokan antara preferensi IT untuk pemindaian aktif dan sikap aversi risiko OT.
Prioritasi remediasi harus menimbang baik keparahan risiko maupun upaya remediasi. Seperti yang dicatat Miklovic, antarmuka batas—protokol atau fisik—sering mewakili titik terlemah, dengan USB sebagai titik pelanggaran umum. Sementara perbaikan cepat (misalnya, menutup port USB) penting, pendekatan berbasis risiko yang seimbang lebih efektif.
Joe Saunders dari RunSafe merekomendasikan matriks 2x2 untuk mengevaluasi kemungkinan kerentanan versus keparahan dampak, memungkinkan profil risiko yang lebih halus untuk setiap sistem.
Risiko Baru di Era Baru
Pandemi telah mempercepat kerja jarak jauh, memperkomplekskan keamanan untuk sistem produksi. Karyawan kini menggunakan VPN untuk memodifikasi kontrol produksi dari rumah, praktik yang sebelumnya tidak umum. Vendor pihak ketiga mungkin juga menerima akses jarak jauh, menambah paparan.
Tantangan bandwidth, skala, dan penerapan sering menyertai konektivitas jarak jauh yang meningkat. Secara bersamaan, rencana kontingensi tradisional yang bergantung pada kehadiran fisik dan proses manual kini kurang andal.
Untuk menyesuaikan diri, organisasi infrastruktur kritis harus mempertimbangkan redesen holistik arsitektur teknologi, menyematkan kontrol keamanan lebih dekat dengan aset.
Bergerak Menuju Keamanan Siber Proaktif
Tujuannya adalah menggantikan proses manual bertahap dengan postur proaktif yang mengantisipasi ancaman dan menyesuaikan diri secara berkelanjutan.
Komponen kunci dari kebijakan keamanan yang kuat meliputi:
- Peralatan & Perangkat – mengamankan kontrol industri legacy, sensor IoT, gateway, dan laptop korporat. Memahami konteks perangkat sangat penting.
- Jaringan & Pengguna – menegakan kontrol akses yang ketat, menerapkan mesin kebijakan dinamis, dan berinvestasi dalam deteksi pelanggaran.
- Data – mengklasifikasi dan menemukan data untuk menentukan tingkat perlindungan yang sesuai.
- Alur Kerja & Rantai Pasok – mengamankan proses, menegakan kepatuhan kontraktor, dan melindungi dari serangan rantai pasok.
- Pengembangan Perangkat Lunak – menyematkan keamanan di seluruh SDLC untuk memastikan penerapan yang tangguh.
Meseimbangkan pencegahan, deteksi, dan respons sangat penting. Matt Selheimer dari PAS Global merekomendasikan alokasi 50% upaya untuk pencegahan dan 50% untuk deteksi dan pemulihan. Norton menekankan bahwa kemampuan respons sama pentingnya dengan kontrol pencegahan.
Kerangka Kerja dan Model Kematangan
Organisasi dapat menyelaraskan diri dengan kerangka kerja yang established seperti ISO 27002, ISA/IEC 62443, dan Cybersecurity Maturity Model Certification (CMMC) Departemen Pertahanan. CMMC menyediakan model kematangan lima tingkatan, dari higiene dasar (Tingkat 1) hingga optimisasi lanjutan (Tingkat 5). Persyaratan model untuk audit pihak ketiga mempromosikan objektivitas dan akuntabilitas.
| Tingkat CMMC | Fokus | Praktik Utama |
|---|
| Tingkat 1 | Higiene siber dasar (dilakukan) | Praktik terpilih didokumentasikan di tempat yang diperlukan |
| Tingkat 2 | Higiene siber menengah (didokumentasikan) | Semua praktik didokumentasikan; kebijakan ada untuk semua aktivitas |
| Tingkat 3 | Higiene siber baik (dikelola) | Rencana siber operasional di seluruh aktivitas |
| Tingkat 4 | Proaktif (ditinjau) | Semua aktivitas siber ditinjau, diukur, dan dibagikan dengan manajemen |
| Tingkat 5 | Progresif lanjutan (mengoptimalkan) | Dokumentasi yang standarisasi di seluruh organisasi |
Otomatisasi dan Keamanan Tertanam
Pemantauan yang dipengaruhi pembelajaran mesin dapat mengotomatiskan tugas rutin seperti deteksi pelanggaran. Keamanan tertanam pada perangkat dengan sumber daya terbatas menawarkan perlindungan intrinsik dan visibilitas aset.
Namun, otomatisasi yang terlalu dini tanpa kebijakan yang padat dapat menghasilkan false positive. Seperti yang dicatat Selheimer, penyetelan ulang aturan firewall dan korelasi SIEM sangat penting untuk mengurangi kebisingan.
Karena lanskap unik infrastruktur kritis, otomatisasi off-the-shelf mungkin memerlukan kustomisasi. Norton menyarankan mengisolasi sistem sensitif dan menerapkan orkestrasi untuk menyelimuti kesenjakan otomatisasi.
Akhirnya, ancaman akan berevolusi dengan cepat. Tetap proaktif berarti menyesuaikan postur siber secara berkelanjutan untuk mencerminkan risiko yang muncul dan tren industri.
Untuk wawasan industri lebih lanjut, daftar untuk acara virtual IoT World pada 11–13 Agustus, yang menampilkan solusi IoT, AI, 5G, dan edge di seluruh vertikal. Daftar hari ini.
