Mengamankan IoT Industri: Strategi Praktis untuk Sistem Cyber-Fisik
Saat organisasi meluncurkan inisiatif Industrial Internet of Things (IIoT), istilah itu dapat terasa abstraksi bagi tim keamanan. “Praktisi keamanan perlu bergerak melampaui konsep dan fokus pada kenyataan konkret sistem cyber-fisik,” kata Katell Thielemann, VP Analis di Gartner.
Thielemann memperingatkan bahwa kecepatan seringkali lebih diutamakan daripada keamanan. “Penerapan awal tidak boleh melebihi strategi holistik yang mencakup seluruh siklus hidup sistem,” katanya. Terlalu banyak perusahaan masih menerapkan pandangan yang berpusat pada TI ke dalam lingkungan industri, yang dapat meninggalkan aset kritis rentan.
Santha Subramoni, Kepala Global Layanan Keberanian Siber di Tata Consultancy Services, menyoroti perhatian eksekutif dan regulator yang semakin meningkat terhadap keamanan teknologi operasional (OT). Dia menjelaskan bahwa membawa OT ke dalam visibilitas siber yang penuh adalah kompleks: permukaan ancaman sangat luas, mencakup sensor, perangkat edge, konektivitas, data, aplikasi, dan ekosistem hosting. Teknologi legacy dan jaringan terisolasi lebih mengbati visibilitas titik akhir, sehingga pencegahan menjadi sulit.
Subramoni menekankan kebutuhan akan pelacakan kerentanan yang berkelanjutan di berbagai tingkat. “Organisasi harus menjaga katalog kerentanan yang diperbarui dan teknologi untuk mengatasi mereka,” katanya.
Studi Kasus: HIL Ltd. Mengamankan Penerapan IIoT-nya
Produsen bahan bangunan HIL Ltd. memulai transformasi digitalnya dengan teknologi lantai produksi digital di empat pabrik di India, menurut Chief Information Officer Murali Raj. Sistem ini menghubungkan semua mesin dalam satu jaringan, meningkatkan efisiensi dan kualitas.
“Kami sekarang bergerak menuju predictive maintenance dan kualitas,” jelas Raj. “Keamanan harus berevolusi bersama dengan kemampuan baru ini.” Data real-time dari sensor, PLC, dan sistem SCADA ditransmisikan ke cloud melalui jaringan TI HIL, di mana dianalisis segera dan peringatan dihasilkan untuk operator.
Sebelumnya, sistem SCADA beroperasi di “pulau” terisolasi. Pergeseran ke konektivitas internet memerlukan firewall di sisi TI dan standar keamanan perangkat yang ketat. Patching firmware dan perangkat lunak secara teratur menjadi wajib.
Di luar teknologi, HIL juga mengatasi aspek manusia dan proses. “Teknisi pemeliharaan dan listrik kami sebelumnya tidak berinteraksi dengan tim TI atau keamanan,” kata Raj. “Sekarang mereka bekerjasama, berbagi pembaruan, dan mengadopsi praktik keamanan TI seperti izin peran dan manajemen kata sandi.” Mitra eksternal EY dan Deloitte menyediakan kerangka kerja objektif untuk menyelaraskan keamanan TI dan OT.
Melindungi Perangkat dan Aset Kritis
Meskipun serangan IIoT lebih jarang daripada pelanggaran TI tradisional, dampaknya dapat meluas—daripada kehilangan produksi hingga kerusakan peralatan, pencurian data, spionase industri, dan bahkan cedera fisik. Asaf Karas, CTO di Vdoo, mendorong organisasi untuk melindungi aset kritis sejak saat mereka memasuki produksi.
Karas merekomendasikan:
- Terapkan manajemen risiko dan ancaman yang disesuaikan dengan lingkungan industri.
- Amankan perangkat baru dengan desain, menghilangkan kelemahan yang dapat dieksploitasi dari pihak pertama atau ketiga.
- Gunakan alat manajemen aset untuk menemukan dan mengidentifikasi aset industri setelah penerapan.
- Terapkan agen runtime titik akhir yang dibuat khusus untuk perangkat IIoT untuk memungkinkan pemantauan berkelanjutan.
Mengelola Hiper-Konektivitas
Banyak perangkat IIoT tidak dibangun dengan pemikiran keamanan, kata Kyle Miller, Principal/Director di Booz Allen Hamilton. Sistem operasi real-time legacy tidak memiliki perlindungan platform TI modern, yang secara dramatis memperluas permukaan serang organisasi.
Miller menasihati untuk mendirikan lingkungan zero-trust yang mengontrol perangkat mana yang dapat berkomunikasi dan membatasi radius ledakan dalam kasus kompromi. “Sebelum menerapkan IIoT, pahami risiko,” katanya. “Menilai postur keamanan vendor, enkripsi, dan kontrol akses.”
Segmentasi esensial: “Perangkat IIoT harus diisolasi dari jaringan TI dan OT lainnya untuk mencegah satu pelanggaran menyebar,” tambah Miller.
Higiene Siber Organisasi
David Forbes, Principal/Director di Booz Allen Hamilton, menekankan bahwa banyak pelanggaran berasal dari higiene organisasi yang lemah. “Disiplin, protokol, dan tata kelola seringkali kurang,” katanya. Lingkungan industri semakin menarik bagi penyerang, terutama setelah lonjakan kerentanan dan ancaman pada 2020.
Thielemann menekankan pendekatan siklus hidup: “Pertimbangan keamanan harus disematkan dari persyaratan dan desain melalui pembelian, penerapan, pemeliharaan, dan pensiunan.” Sistem industri menuntut batasan unik—lokasi fisik, ketahanan operasional, keselamatan—yang harus diintegrasikan ke dalam strategi. Model yang berpusat pada TI harus berevolusi untuk menyesuaikan patching, pemantauan, dan autentikasi dalam konteks ini.
Subramoni menambahkan bahwa meskipun teknik dan produksi biasanya memiliki IIoT, “pengawasan transformasi dan modernisasi teknologi harus dikoordinir di seluruh organisasi.” Mitra terpercaya dapat membantu menskalakan perlindungan sambil mengelola biaya dalam lanskap yang berkembang cepat ini.
