Keamanan IoT:cara mendorong transformasi digital sambil meminimalkan risiko
Hanya dalam beberapa tahun, Internet of Things (IoT) telah secara radikal mengubah cara kita hidup dan bekerja. Dari gadget di pergelangan tangan kita dan di rumah kita hingga gedung yang terhubung dan pabrik pintar tempat kita menghabiskan masa kerja kita, ini membuat kita lebih aman, lebih bahagia, dan lebih produktif sambil menawarkan peluang pertumbuhan baru bagi organisasi. Teknologi ini berada di garda depan revolusi transformasi digital yang telah menembus sebagian besar bisnis, membantu menjadikannya lebih efisien, gesit, dan berpusat pada pelanggan.
Namun, ekspansi digital juga berarti risiko digital yang lebih besar:angka terbaru mengungkapkan peningkatan 100% dari tahun ke tahun dalam serangan IoT. Oleh karena itu, kunci bagi tim TI adalah mendukung pertumbuhan bisnis sambil meminimalkan risiko siber ini melalui praktik keamanan terbaik yang disesuaikan untuk era baru yang terhubung.
Menjadi digital
IoT telah berkembang pesat dalam waktu yang relatif singkat. Gartner memperkirakan bahwa akan ada 14,2 miliar hal terhubung yang digunakan pada tahun 2019, dengan total mencapai 25 miliar pada tahun 2021. Dengan melonjaknya volume perangkat ini, terjadi ledakan data. Cisco memperkirakan bahwa jumlah total data yang dibuat oleh semua perangkat akan mencapai 600Zettabyte per tahun pada tahun 2020, naik dari hanya 145Zettabyte per tahun pada tahun 2015. Ini adalah jumlah data yang sangat besar – satu Zettabyte setara dengan 1 miliar Terabyte.
Mengapa IoT mulai meresapi lingkungan bisnis sepenuhnya selama beberapa tahun terakhir? Jajak pendapat Forbes Insights dari 700 eksekutif dari 2018 membantu menjelaskan. Ditemukan bahwa 60% perusahaan sedang memperluas atau mengubah lini bisnis baru, jumlah yang sama (63%) memberikan layanan baru/yang diperbarui kepada pelanggan, dan lebih dari sepertiga (36%) sedang mempertimbangkan usaha bisnis baru. Dalam 12 bulan mendatang, hampir semua (94%) responden memperkirakan keuntungan akan tumbuh sebesar 5-15% berkat IoT.
Sensor IoT, data yang dikumpulkan, dan dikirim ke cloud untuk dianalisis menawarkan peluang baru yang besar untuk meningkatkan pengalaman pelanggan, merampingkan proses bisnis yang kompleks, dan menciptakan layanan baru berkat wawasan yang terungkap. Ini dapat mencakup perusahaan utilitas yang memantau tanda-tanda peringatan dini kebocoran air atau pemadaman listrik, perusahaan manufaktur yang meningkatkan efisiensi operasional di lantai pabrik, dan pembuat perangkat keras yang menyediakan layanan purna jual baru untuk pelanggan berdasarkan pemeliharaan prediktif.
Risiko ada di mana-mana
Tantangan yang dihadapi perusahaan mana pun yang meningkatkan penggunaan sistem IoT dan IoT industri (IIoT) adalah bahwa ia akan memperluas permukaan serangan perusahaan dalam prosesnya. Sekilas tentang Area Permukaan Serangan IoT OWASP dokumen mengilustrasikan betapa banyak kemungkinan titik kelemahan baru yang diperkenalkan. Mulai dari perangkat itu sendiri — termasuk firmware, memori, dan antarmuka fisik/web — hingga API backend, sistem cloud yang terhubung, lalu lintas jaringan, mekanisme pembaruan, dan aplikasi seluler.
Salah satu risiko terbesar untuk sistem tersebut adalah bahwa mereka diproduksi oleh produsen yang tidak memiliki pemahaman yang memadai tentang praktik terbaik keamanan TI. Hal ini dapat mengakibatkan kelemahan dan kerentanan sistemik yang serius yang dapat dieksploitasi oleh penyerang, mulai dari kelemahan perangkat lunak hingga pengiriman produk dengan login default pabrik. Ini juga dapat berarti bahwa produk sulit untuk diperbarui dan/atau tidak ada program untuk mengeluarkan patch keamanan.
Kelemahan tersebut dapat dimanfaatkan dalam berbagai skenario serangan. Mereka dapat digunakan untuk menembus jaringan perusahaan sebagai bagian dari serangan pencurian data, atau menyabotase proses operasional utama — baik untuk memeras uang dari organisasi korban atau hanya menyebabkan gangguan maksimum. Dalam skenario yang lebih umum, peretas dapat memindai internet untuk menemukan perangkat publik yang masih dilindungi hanya oleh default pabrik atau kata sandi yang mudah ditebak/diretas, dan memasukkannya ke dalam botnet. Ini adalah model yang digunakan oleh penyerang Mirai yang terkenal dan kemudian diadaptasi dalam banyak serangan peniru lainnya. Botnet ini dapat digunakan untuk berbagai tugas termasuk penolakan layanan terdistribusi (DDoS), penipuan iklan, dan penyebaran trojan perbankan.
Dalam kegelapan
Kesulitan bagi tim keamanan TI sering kali mendapatkan visibilitas atas semua titik akhir IoT dalam organisasi, dan beberapa perangkat IoT yang terdeteksi seringkali dapat beroperasi tanpa sepengetahuan departemen TI. Faktor bayangan IT ini dalam banyak hal merupakan penerus tantangan BYOD perusahaan — kecuali alih-alih ponsel, pengguna membawa perangkat yang dapat dikenakan pintar, dan peralatan lain yang kemudian terhubung ke jaringan perusahaan, meningkatkan risiko dunia maya. Anggap saja TV pintar dibajak oleh penyerang untuk memata-matai rapat dewan, misalnya, atau ketel pintar di kafetaria staf yang digunakan sebagai tempat berpijak untuk meluncurkan serangan pencurian data terhadap jaringan perusahaan.
Lebih buruk lagi bagi bos keamanan TI adalah bahwa mereka harus mengelola risiko dunia maya yang berkembang ini dengan lebih sedikit profesional terampil yang dapat dihubungi. Faktanya, permintaan untuk peran IoT melonjak 49% di Q4 2018 dari tiga bulan sebelumnya, menurut satu grup rekrutmen.
Regulator mengejar
Dampak dari ancaman siber terkait IoT bisa parah. Kehilangan data, gangguan sistem TI, gangguan operasional, dan sejenisnya dapat menyebabkan kerusakan finansial dan reputasi. Biaya untuk menyelidiki dan memulihkan pelanggaran keamanan saja bisa menjadi penghalang. Pemadaman yang serius dapat memerlukan investasi dana yang besar untuk lembur staf TI. Denda peraturan adalah biaya lain yang semakin penting untuk diingat. GDPR tidak hanya perlu dipertimbangkan untuk masalah apa pun yang memengaruhi data pribadi pelanggan atau karyawan, NIS Directive UE juga mengamanatkan keamanan praktik terbaik untuk perusahaan yang beroperasi di industri kritis tertentu. Keduanya membawa denda maksimum yang sama.
Pengawasan peraturan ini melanggar batas di kedua sisi Atlantik. Sebuah undang-undang baru yang diusulkan di A.S. akan mengharuskan Institut Nasional Standar dan Teknologi (NIST) untuk menyusun pedoman keamanan minimum untuk produsen IoT dan menuntut agar agen federal hanya membeli dari pemasok yang memenuhi standar dasar ini.
Visibilitas dan kontrol
Jika disahkan, undang-undang A.S. ini dapat dikembangkan dengan baik di atas standar ETSI TS 103 645 Eropa, yang dengan sendirinya didasarkan pada kode praktik yang diusulkan pemerintah Inggris untuk industri tersebut. Ini tentu merupakan awal yang baik dan diharapkan akan mendorong industri untuk lebih sadar akan keamanan, sambil memberdayakan konsumen dan bisnis untuk mencari produk yang lebih aman di pasar. Namun pada kenyataannya, perlu beberapa saat agar langkah-langkah tersebut dapat menembus pasar, dan bahkan pada saat itu, organisasi mungkin sudah menjalankan ribuan endpoint IoT lama yang tidak aman.
Tim keamanan TI harus bertindak sekarang, dengan mendapatkan wawasan yang lebih baik tentang lingkungan IoT mereka. Alat manajemen aset TI harus dapat membantu di sini dengan menyediakan langkah pertama yang sangat penting:visibilitas. Selanjutnya, pastikan firmware perangkat mutakhir melalui alat manajemen tambalan otomatis dan bahwa proses ini dipantau untuk memastikannya berfungsi dengan benar – beberapa pembaruan keamanan terkubur jauh di dalam situs web vendor dan memerlukan campur tangan manusia untuk memastikan ini telah diaktifkan . Selain itu, tim TI harus memeriksa bahwa setiap nama pengguna/sandi segera diubah menjadi kredensial yang kuat dan unik. Lebih baik lagi, ganti dengan otentikasi multi-faktor. Praktik terbaik lainnya dapat mencakup enkripsi data dalam perjalanan, pemantauan jaringan berkelanjutan, manajemen identitas, segmentasi jaringan, dan banyak lagi. Terakhir, jangan lupakan aspek manusia dari keamanan siber:karyawan harus diajari untuk memahami risiko keamanan yang terkait dengan IoT, dan cara menggunakan sistem dan perangkat dengan aman.
Ini adalah cara untuk mendapatkan nilai paling banyak dari inisiatif IoT apa pun, tanpa membuat perusahaan menghadapi risiko ekstra yang tidak perlu. Hanya perlu satu pelanggaran keamanan yang serius untuk merusak pertumbuhan bertenaga inovasi yang sangat penting bagi keberhasilan bisnis digital modern.
