Mengembangkan Strategi Keamanan Siber Infrastruktur Penting

Hasil yang dapat diambil antara lain:

• Perlindungan infrastruktur penting adalah prioritas lama, tetapi banyak organisasi tertinggal dalam menanggapi ancaman siber.
• COVID-19 telah memperluas definisi infrastruktur penting sekaligus memberikan pengingat bagi perusahaan perusahaan untuk mempertanyakan sistem mana yang penting untuk operasi. Artikel ini didasarkan pada saran di bab satu dari seri ini di “Mengatasi Tantangan Keamanan IoT Dari Cloud ke Edge.”
• Organisasi yang mengelola infrastruktur penting harus mengembangkan postur keamanan siber yang proaktif, tetapi gangguan yang disebabkan oleh virus corona meningkatkan tantangannya.

Saat ini, kebutuhan akan keamanan siber yang komprehensif untuk infrastruktur penting sudah jelas. Akun publik tersebar luas mengenai risiko pelaku jahat yang menargetkan jaringan listrik, bendungan, sistem pemungutan suara, dan infrastruktur penting lainnya yang ditunjuk federal. Tetapi sebagian besar organisasi yang menyediakan layanan penting hanya mengambil langkah-langkah tambahan dalam menangani risiko dunia maya. “Banyak organisasi [teknologi operasional] memiliki program keamanan siber yang baru lahir,” kata Sean Peasley, mitra di Deloitte.

Istilah “infrastruktur kritis” awalnya mengacu pada pekerjaan umum seperti infrastruktur transportasi dan utilitas publik, tetapi, sejak tahun 1990-an, definisi tersebut terus berkembang. Sektor di bawah rubrik sekarang termasuk, antara lain, perawatan kesehatan, energi dan utilitas, dan berbagai produsen. “Dan secara praktis, kami menemukan di era COVID, bahwa infrastruktur penting bahkan lebih luas dari yang kami kira,” kata Kieran Norton, seorang kepala sekolah di Deloitte. Pembuat alat pelindung diri, misalnya, berperan dalam mitigasi krisis. “Kami juga mengetahui bahwa gangguan rantai pasokan selama pandemi, misalnya, berpotensi menjadi bencana besar,” kata Norton. Tidak mengherankan, perusahaan logistik telah memperkuat peran mereka sebagai hal yang esensial. Pemerintah AS telah menyatakan bahwa industri pulp dan kertas dan pengepakan daging juga penting. Jadi tumpang tindih antara infrastruktur kritis dan keamanan teknologi operasional (OT) terus kabur. Tidak peduli apa namanya, beberapa industri di domain ini telah mencapai tingkat efektivitas cyber yang tinggi, menurut penelitian tentang keamanan industri dari Ponemon Institute yang ditanggung oleh TÜV Rheinland.

[IoT World, acara IoT terbesar di Amerika Utara, akan digelar secara virtual pada 11-13 Agustus dengan pengalaman virtual tiga hari yang menerapkan IoT, AI, 5G, dan edge ke dalam tindakan di seluruh vertikal industri. Daftar hari ini]

Entitas infrastruktur kritis tradisional mungkin memiliki pengalaman puluhan tahun dengan manajemen risiko dan inisiatif keselamatan tradisional, tetapi bagi banyak orang, keamanan siber adalah prioritas yang relatif baru. Dan secara umum, organisasi yang mengelola infrastruktur kritis cenderung bergerak lambat. “Pengalaman umum saya adalah bahwa keamanan OT sekitar 10 hingga 15 tahun di belakang ruang keamanan TI,” kata Andrew Howard, CEO Kudelski Security.

Sementara itu, lanskap ancaman bagi organisasi infrastruktur penting terus tumbuh semakin genting. Jumlah penyerang yang menargetkan infrastruktur semacam itu melonjak, seperti halnya jumlah perangkat yang terhubung di banyak lingkungan infrastruktur kritis. Menurut X-Force Threat Intelligence Index 2020 dari IBM, volume serangan terhadap sistem kontrol industri pada 2019 lebih tinggi dari gabungan tiga tahun sebelumnya.

Serangan semacam itu menjadi berita utama pada tahun 2020. Penyerang Ransomware berhasil menargetkan utilitas energi Honda dan Taiwan serta fasilitas gas alam AS. Pasokan air Israel dilaporkan diserang. Perusahaan telekomunikasi Jepang NTT telah dibobol jaringan internalnya.

B Pertanyaan Menilai Secara Terus-menerus

Jika Anda tidak dapat mengukur sesuatu, Anda tidak dapat memperbaikinya. Tetapi saran itu berlaku ganda untuk keamanan siber infrastruktur penting, di mana risiko dan pengurangan risiko dapat menjadi tantangan untuk diukur. Banyak organisasi berjuang untuk menyimpan inventaris aset yang akurat, mengingat keragaman dan kompleksitas lingkungan mereka. Sementara itu, para ahli yang berspesialisasi dalam keamanan siber OT kekurangan pasokan. Yang memperparah risiko ini adalah sifat rumit dari manajemen risiko pihak ketiga, termasuk menilai potensi kerentanan yang diperkenalkan melalui perangkat keras, perangkat lunak, atau kontraktor yang dibeli.

Sementara penilaian risiko harus menjadi proses yang berkelanjutan, organisasi infrastruktur penting harus memulai dengan penilaian risiko mendalam secara berkala yang dirancang untuk mengukur ancaman, kerentanan, dan konsekuensi potensial dari serangan siber dan penyebab gangguan operasional lainnya. Potensi kerentanan termasuk kata sandi bersama, sistem yang tidak ditambal, perangkat lunak dan perangkat keras yang tidak diketahui asalnya, dan firewall yang terlalu permisif.

Tetapi penilaian keamanan seperti itu bisa sulit dilakukan. Ada berbagai jenis perangkat untuk dilacak, mulai dari pompa dan katup, pengontrol lama, dan berbagai perangkat komputasi. Selain itu, memahami konsekuensi dari pelanggaran sistem industri memerlukan pengetahuan operasional yang mendalam. Dalam lingkungan dengan sejumlah sistem yang berbeda, masalahnya menjadi lebih rumit.

Teknik pemindaian jaringan tradisional membutuhkan perawatan. Jaringan aktif dan teknik pemindaian kerentanan sistem kontrol industri dapat merusak sistem kontrol. Menggunakan pemindaian aktif dengan aman di lingkungan infrastruktur kritis umumnya dapat dilakukan dengan aman, menurut Dale Peterson, konsultan yang berspesialisasi dalam keamanan sistem kontrol industri. Tapi itu membutuhkan kerja sama yang erat dengan operasi untuk mengatasi risiko. Sementara teknik pasif untuk pemantauan jaringan kurang mengganggu, mereka juga kurang akurat. “Debat ini sering kali di mana pandangan keamanan TI berbenturan dengan pandangan PL. Petugas keamanan TI cenderung melakukan pemindaian aktif, tetapi orang yang bertanggung jawab untuk memantau sistem infrastruktur kritis sering kali lebih memilih pendekatan pasif karena mereka tidak ingin mengambil risiko.”

Terutama dengan penilaian mendalam, organisasi cenderung mengungkap daftar panjang masalah dan mempertanyakan remediasi yang akan diprioritaskan. Yang juga memperumit masalah, banyak profesional keamanan siber umumnya tidak memiliki pengalaman langsung dengan semua peralatan yang menjalani audit, dan karenanya harus mengandalkan wawancara dengan pemilik aset dan operator berpengalaman untuk mengukur risiko siber mereka.

Organisasi harus mempertimbangkan tingkat keparahan dan kemudahan perbaikan. Kontrol akses sering menjadi tema di sini, kata Miklovic. “Antarmuka batas selalu menjadi bagian terlemah dari masalah keamanan siber, apakah itu batas protokol atau batas fisik,” katanya. “Bahkan di dunia industri keamanan siber, salah satu titik pelanggaran terbesar adalah drive USB.”

Meskipun cepat dan murah bagi anggota staf untuk menggunakan lem super atau solder untuk menyambungkan drive USB yang tidak digunakan, beberapa organisasi terlalu fokus pada menangani "hal-hal mudah" dalam perbaikan mereka, kata Howard. “Ya, ada mitigasi ambang batas yang harus segera Anda hilangkan. Tapi setelah itu, Anda harus memprioritaskan berdasarkan risiko.”

Mengukur risiko itu dimungkinkan menggunakan matriks dua kali dua yang mempertimbangkan kemungkinan dampak kerentanan dan potensi keparahan, menurut Joe Saunders, CEO RunSafe.

Membangun profil risiko untuk setiap sistem jarang dilakukan secara langsung. Wawancara dengan pemilik aset dan operator adalah kunci untuk memahami dampak jika sistem tertentu mogok. “Anda dapat memiliki mesin yang tampaknya rentan dan berisiko tinggi,” kata Miklovic. Tetapi jika turun, itu mungkin hanya menyebabkan masalah yang terisolasi daripada membuat segalanya "berhenti."

Faktor lain yang dapat memperumit penilaian risiko adalah kecenderungan organisasi untuk memprioritaskan prioritas siber hanya berdasarkan waktu atau uang yang diinvestasikan. “Apa yang dianggap berharga oleh sebuah organisasi mungkin sangat berbeda dari apa yang dianggap berharga oleh penjahat dunia maya,” kata Bill Malik, wakil presiden, strategi infrastruktur di Trend Micro.

Dalam hal peralatan lawas, kemampuan organisasi untuk mengurangi risiko dapat dibatasi. Perangkat yang menjalankan sistem operasi berusia puluhan tahun kemungkinan tidak dapat diperbarui. “Strategi yang biasanya diambil pada sistem ini adalah mengisolasi dan memantau,” kata Howard. “Pengalaman saya adalah bahwa isolasi biasanya cukup keropos.”

Risiko Baru di New Normal

Manajemen risiko dalam infrastruktur kritis menjadi semakin menantang dengan meningkatnya kekhawatiran keamanan siber. Kebutuhan organisasi-organisasi tersebut untuk mengembangkan rencana respons COVID-19 sambil memperluas kerja jarak jauh untuk beberapa pekerja menambah kompleksitas lebih lanjut. “Saya pikir jenis perubahan utama yang kita lihat di lingkungan infrastruktur kritis adalah skenario bekerja dari rumah,” kata Jamil Jaffer, wakil presiden senior untuk strategi, kemitraan, dan Pengembangan perusahaan di IronNet Cybersecurity.

Paradigma kerja dari rumah telah memperumit perlindungan sistem yang rentan, kata Howard. “Sekarang, Anda memiliki karyawan yang menggunakan VPN untuk terhubung ke sistem produksi dari rumah untuk melakukan perubahan,” katanya. “Mereka mungkin tidak akan melakukan itu sebelumnya.”

Demikian pula, beberapa organisasi dapat tergoda untuk memberikan pihak ketiga seperti vendor dan teknisi akses jarak jauh ke sistem sensitif. “Mungkin ada kurang fokus pada keamanan siber ketika banyak orang fokus untuk menyelesaikan pekerjaan mereka dan mempertahankan pekerjaan mereka,” kata Norton.

Ketersediaan jaringan adalah pertimbangan lain bagi organisasi yang ingin meningkatkan kemampuan kerja jarak jauh dalam konteks infrastruktur kritis. “Dulu, Anda memiliki organisasi dengan 10%–20% pekerjanya menggunakan infrastruktur akses jarak jauh tradisional,” kata Norton. Karena organisasi telah meningkatkan kemampuan kerja jarak jauh, “banyak yang mengalami masalah dengan bandwidth, skala, dan penerapan aset,” kata Norton.

Sementara memperluas konektivitas untuk aset industri berpotensi menciptakan lebih banyak kerentanan, COVID-19 juga menggarisbawahi risiko rencana darurat kuno yang mengandalkan kehadiran fisik pekerja, proses manual, dan dokumen.

Meskipun secara tradisional lambat untuk berubah, organisasi infrastruktur penting tidak boleh menghindar dari membuat perubahan besar pada arsitektur teknologi mereka saat mereka memikirkan kembali proses inti dan alur kerja. “Jika ini adalah normal baru, Anda mungkin perlu mendesain ulang infrastruktur Anda,” kata Norton.

Menuju Keamanan Siber Proaktif 

Pada akhirnya, organisasi infrastruktur kritis berusaha untuk bertransisi dari proses manual yang mengakar yang menawarkan pengurangan risiko bertahap menuju postur keamanan siber yang lebih proaktif. “Lingkungan industri cenderung kompleks dan terus berkembang,” kata Natali Tshuva, CEO Sternum. “Kontrol keamanan diperlukan tidak hanya untuk menilai status saat ini tetapi juga untuk menawarkan perlindungan berkelanjutan dan ketenangan pikiran untuk tahun-tahun mendatang.”

Secara tradisional, keamanan infrastruktur industri dan kritis berarti keamanan fisik, meliputi keselamatan dan kontrol akses dalam batas fisik. Banyak protokol industri tradisional pada dasarnya tidak aman karena perancangnya berasumsi hanya personel yang berwenang yang memiliki akses ke protokol tersebut. Tetapi munculnya kerja jarak jauh, komputasi awan, dan IIoT telah melemahkan model keamanan kastil-dan-parit. Pengaruh model lama itu, bagaimanapun, adalah salah satu alasan banyak organisasi infrastruktur penting — serta perusahaan perusahaan — memiliki pendekatan keamanan reaktif.

Penekanan desain ulang semacam itu harus menciptakan alur kerja yang kuat dan efisien berdasarkan kebijakan keamanan universal. "Pindahkan kontrol keamanan sedekat mungkin ke aset," saran Norton.

Prosesnya mencakup pembuatan kebijakan keamanan yang komprehensif dan berkembang untuk aset berikut:

• Peralatan dan perangkat :Perangkat keras tersebut dapat berkisar dari peralatan industri lama hingga perangkat IoT hingga laptop yang dikeluarkan perusahaan. “Memahami perangkat tersebut dalam konteks relatif terhadap pengguna sangat penting,” kata Norton. Organisasi harus mengamankan pengontrol industri, saran Joe Saunders, CEO RunSafe Security. Mengamankan sensor dan gateway, sebaliknya, relatif mudah. “Tetapi pengontrol peka terhadap kinerja dan jauh di dalam infrastruktur.”
• Jaringan dan pengguna :Untuk pengguna, staf keamanan harus membatasi akses sebanyak mungkin berdasarkan kontrol yang digariskan dalam kebijakan keamanan organisasi. “Anda dapat memiliki mesin kebijakan yang berbicara dengan kontrol keamanan yang memungkinkan Anda untuk menerapkan secara dinamis, melalui konteks pengguna dan aplikasi, logika,” kata Norton. Organisasi juga harus berinvestasi dalam kemampuan deteksi pelanggaran jaringan.
• Data . Klasifikasi dan penemuan data adalah alat yang berharga untuk mengevaluasi tingkat kontrol yang diperlukan untuk melindungi tipe data tertentu.
• Alur kerja, beban kerja, dan proses. Tingkat perlindungan yang diperlukan memperhitungkan nilai intrinsik proses ini bagi organisasi Anda dan kemungkinan musuh mengganggu mereka. Tugas ini juga mencakup memperkuat rantai pasokan dan memastikan bahwa kontraktor dan pemasok mematuhi tingkat kontrol keamanan yang ditentukan.
• Proses pengembangan perangkat lunak. Organisasi infrastruktur penting “harus membangun keamanan ke dalam pengembangan perangkat lunak, sehingga perangkat lunak yang Anda gunakan tangguh,” kata Saunders.  

Meskipun kebersihan siber sangat penting, jebakan umum dalam keamanan adalah kurang memprioritaskan deteksi, respons, dan pemulihan ancaman. “Aturan praktis yang cepat adalah menghabiskan 50% dari upaya Anda untuk pencegahan, dan deteksi, dan menghabiskan 50% dari upaya Anda untuk pemulihan respons,” kata Matt Selheimer, seorang eksekutif di PAS Global. “Secara tradisional, pendekatan yang dilakukan banyak organisasi adalah menempatkan kontrol preventif terlebih dahulu,” kata Norton. Namun mengingat kompleksitas pemeriksaan risiko di lingkungan infrastruktur kritis, respons dan pemulihan terkadang tidak diperhatikan. “Jika ada yang tidak beres, Anda ingin dapat mengidentifikasinya dengan cepat dan mematikannya,” kata Norton. "Itu sama pentingnya dengan mencegah sesuatu karena Anda tahu bahwa sesuatu pada akhirnya akan salah."

Organisasi yang ingin bertransisi ke postur keamanan siber proaktif dapat mengambil inspirasi dari berbagai kerangka kerja, mulai dari ISO 27002 yang komprehensif dan standar khusus untuk sistem kontrol industri seperti ISA/IEC 62443. Pendatang baru yang relatif adalah Sertifikasi Model Kematangan Cybersecurity (CMMC) dari Departemen Pertahanan — dirancang untuk menentukan tingkat keamanan yang diperlukan organisasi untuk mengajukan penawaran pada berbagai program pemerintah. Dipecah menjadi lima tingkatan, tiga yang pertama menentukan kebersihan dunia maya dasar, menengah, dan baik. Dua tingkat atas membutuhkan manajemen keamanan siber yang lebih canggih. Yang keempat menetapkan bahwa "semua aktivitas dunia maya ditinjau dan diukur efektivitasnya" dengan hasil tinjauan dibagikan kepada manajemen. Tingkat atas menambahkan dokumentasi standar dan komprehensif yang terkait dengan semua unit yang relevan.

CMMC Level 1	Kebersihan dunia maya dasar (dilakukan)	Praktik tertentu didokumentasikan jika diperlukan
CMMC Tingkat 2	Kebersihan dunia maya tingkat menengah (didokumentasikan)	Setiap praktik didokumentasikan dan ada kebijakan untuk semua aktivitas
CMMC Tingkat 3	Kebersihan dunia maya yang baik (terkelola)	Selain praktik di atas, ada rencana siber dan dioperasionalkan untuk mencakup semua aktivitas.
CMMC Tingkat 4	Proaktif (ditinjau)	Semua aktivitas siber ditinjau dan diukur efektivitasnya. Hasil dibagikan dengan manajemen.
CMMC Tingkat 5	Progresif lanjutan (pengoptimalan)	Selain praktik di atas, tahap ini menambahkan dokumentasi standar di seluruh organisasi.

“Ini adalah kerangka kerja pertama yang kami lihat dengan model kematangan yang dipetakan khusus untuk integrator dan subkontraktor mereka yang menawar program pemerintah yang sensitif,” kata Tony Cole, kepala petugas teknologi di Attivo Networks. Kerangka kerja tersebut dapat mendorong organisasi infrastruktur penting untuk mengembangkan pemahaman yang lebih canggih tentang risiko siber internal serta uji tuntas yang diperlukan dari pihak ketiga. Ada tingkat objektivitas pada kerangka kerja yang dapat membantu, kata Cole. “Menurut modelnya, auditor pihak ketiga harus masuk dan mengkonfirmasi tingkat keamanan siber dari seorang kontraktor. Tidak ada survei yang dilaporkan sendiri, ”katanya. "Seseorang harus mengauditnya."

Otomatisasi juga merupakan elemen yang perlu dipertimbangkan saat merancang strategi keamanan proaktif. Teknik seperti pembelajaran mesin dapat membantu organisasi mengotomatiskan tugas pemantauan keamanan rutin seperti deteksi pelanggaran jaringan dan menerapkan kontrol untuk menghentikan penyebaran serangan.

Perlindungan keamanan tertanam, yang semakin banyak tersedia di beragam perangkat dengan sumber daya terbatas, memberikan perlindungan ancaman intrinsik. Perlindungan pada perangkat juga harus “mencakup kemampuan manajemen aset yang komprehensif” kata Tshuva. Kontrol tersebut mendukung visibilitas jaringan dan dapat memberikan peringatan otomatis untuk serangan.

Organisasi yang terburu-buru mencari cara untuk mengotomatisasi pemantauan keamanan tanpa kebijakan keamanan yang kuat dan kontekstual sering menghadapi ledakan alarm palsu, Selheimer memperingatkan. Namun pada akhirnya, semua organisasi harus merencanakan untuk menginvestasikan waktu dalam menyetel kontrol keamanan. “Tidak ada bedanya di OT dengan di IT. Orang-orang di [pusat operasi keamanan] menghabiskan banyak waktu untuk menyetel aturan firewall dan informasi keamanan, aturan korelasi manajemen acara untuk mengurangi kebisingan,” kata Selheimer.

Masalah yang lebih rumit adalah lanskap infrastruktur kritis yang unik dan beragam, yang dapat memperumit penerapan otomatisasi keamanan dan alat AI yang siap pakai. “Pasti ada beberapa batasan. Tapi ada juga cara untuk mengatasinya,” kata Norton. Organisasi dapat, misalnya, mengisolasi sistem operasional yang sensitif dan menggunakan alat otomatisasi dan orkestrasi untuk melindungi enklave yang dihasilkan. “Melalui otomatisasi dan orkestrasi, otomatisasi sebanyak yang Anda bisa dan kemudian atur di mana Anda tidak dapat mengotomatisasi untuk memastikan bahwa Anda memiliki kemampuan yang efektif dan merespons serta menyesuaikan diri dengan ancaman,” kata Norton.

Pada akhirnya, ancaman keamanan infrastruktur kritis kemungkinan akan bergeser dengan cepat. “Menjadi proaktif berarti Anda terus-menerus menyesuaikan postur dunia maya Anda untuk mengatasi apa yang terjadi baik dalam hal dampak langsung terhadap organisasi maupun apa yang Anda lihat terjadi dari perspektif industri,” kata Norton.