Amankan Masa Depan IoT Anda: Mendorong Transformasi Digital sambil Meminimalkan Risiko
Dalam waktu beberapa tahun singkat, Internet of Things (IoT) telah mengubah secara radikal cara kita hidup dan bekerja. Dari gadget di pergelangan tangan dan di rumah kita hingga gedung terhubung dan pabrik cerdas yang kita habiskan waktu kerja kita di dalamnya, itu membuat kita lebih aman, lebih bahagia, dan lebih produktif sambil menawarkan peluang pertumbuhan baru untuk organisasi. Teknologi berada di garis depan revolusi transformasi digital yang sudah meresap ke dalam sebagian besar bisnis, membantu untuk membuatnya lebih efisien, cepat, dan berpusat pada pelanggan.
Namun, ekspansi digital juga berarti risiko digital yang lebih besar: angka terbaru mengungkapkan peningkatan 100% tahun demi tahun dalam serangan IoT. Kunci bagi tim IT, oleh karena itu, adalah untuk mendukung pertumbuhan bisnis sambil meminimalkan risiko siber ini melalui praktik terbaik keamanan yang disesuaikan untuk era terhubung baru.
Melakukan digitalisasi
IoT telah berkembang jauh dalam waktu yang relatif singkat. Gartner memperkirakan akan ada 14,2 miliar hal yang terhubung yang digunakan pada 2019, dengan total mencapai 25 miliar pada 2021. Dengan volume perangkat yang meningkat ini telah datang ledakan data. Cisco memperkirakan jumlah total data yang dibuat oleh semua perangkat akan mencapai 600 Zettabyte per tahun pada 2020, naik dari hanya 145 Zettabyte tahunan pada 2015. Ini adalah jumlah data yang sangat besar – satu Zettabyte setara dengan 1 miliar Terabyte.
Mengapa IoT mulai meresap ke dalam lingkungan bisnis sepenuhnya selama beberapa tahun terakhir? Poll Forbes Insights dari 700 eksekutif dari 2018 membantu untuk menjelaskan. Ini menemukan bahwa 60% perusahaan sedang memperluas atau mengubah garis bisnis baru, jumlah yang serupa (63%) sedang menyampaikan layanan baru/diperbarui kepada pelanggan, dan lebih dari sepertiga (36%) mempertimbangkan usaha bisnis baru. Selama 12 bulan mendatang, hampir semua (94%) responden memprediksi keuntungan akan tumbuh 5-15% berkat IoT.
Sensor IoT, data yang dikumpulkan, dan dikirim ke cloud untuk analisis menawarkan peluang besar baru untuk meningkatkan pengalaman pelanggan, menyederhanakan proses bisnis yang kompleks, dan menciptakan layanan baru berkat wawasan yang terungkap. Ini dapat mencakup perusahaan utilitas yang memantau tanda peringatan dini dari kebocoran air atau pemadaman listrik, perusahaan manufaktur yang meningkatkan efisiensi operasional di lantai pabrik, dan pembuat perangkat keras yang menyediakan layanan pasca jual baru untuk pelanggan berdasarkan pemeliharaan prediktif.
Risiko di mana saja
Tantangan yang dihadapi perusahaan yang meningkatkan penggunaan IoT dan sistem IoT industri (IIoT) adalah bahwa itu telah memperluas permukaan serangan korporasi dalam proses. Cek cepat di dokumen IoT Attack Surface Areas OWASP mengilustrasikan betapa banyak titik kelemahan baru yang diperkenalkan. Ini berkisar dari perangkat itu sendiri — termasuk firmware, memori, dan antarmuka fisik/web — hingga backend API, sistem cloud terhubung, lalu lintas jaringan, mekanisme pembaruan, dan aplikasi seluler.
Salah satu risiko terbesar bagi sistem seperti ini adalah bahwa mereka diproduksi oleh pabrikan yang tidak memiliki pemahaman yang memadai tentang praktik terbaik keamanan IT. Ini dapat menghasilkan kelemahan dan kerentanan sistemik yang serius yang dapat dieksploitasi oleh penyerang, dari celah perangkat lunak hingga produk yang dikirim dengan login default pabrik. Ini juga dapat berarti produk sulit diperbarui dan/atau tidak ada program yang ada untuk mengeluarkan patch keamanan.
Celah seperti ini dapat dieksploitasi dalam berbagai skenario serangan. Mereka dapat digunakan untuk melanggar jaringan korporasi sebagai bagian dari serangan pencurian data, atau merusak proses operasional kunci — baik untuk menebus uang dari organisasi korban atau sederhana untuk menyebabkan gangguan maksimal. Dalam skenario yang lebih umum, peretas dapat memindai internet untuk perangkat yang menghadap publik yang masih dilindungi hanya oleh login default pabrik atau kata sandi yang mudah ditebak/dicrack, dan merekrut mereka ke dalam botnet. Ini adalah model yang digunakan oleh penyerang Mirai yang terkenal dan kemudian disesuaikan dalam banyak serangan tiruan lainnya. Botnet ini dapat digunakan untuk berbagai tugas termasuk distributed denial of service (DDoS), penikmatan iklan, dan menyebarkan trojan perbankan.
Di kegelapan
Kesulitan bagi tim keamanan IT seringkali adalah mendapatkan visibilitas atas semua endpoint IoT di organisasi, dan beberapa perangkat IoT yang terdeteksi seringkali dapat beroperasi tanpa pengetahuan departemen IT. Faktor IT bayangan ini adalah dalam banyak cara pewaris dari tantangan BYOD perusahaan — kecuali alih-alih ponsel, pengguna membawa wearable cerdas, dan peralatan lainnya yang kemudian terhubung ke jaringan korporasi, meningkatkan risiko siber. Coba pertimbangkan TV pintar yang diretas oleh penyerang untuk menyinap rapat direksi, misalnya, atau ketik pintar di kafetaria karyawan yang digunakan sebagai pantai untuk meluncurkan serangan pencurian data terhadap jaringan korporasi.
Yang lebih buruk bagi bos keamanan IT adalah bahwa mereka harus mengelola risiko siber yang berkembang ini dengan kurangnya profesional terampil yang dapat dipanggil. Faktanya, permintaan peran IoT meningkat 49% pada Q4 2018 dari tiga bulan sebelumnya, menurut satu grup rekrutmen.
Pengatur menangkap
Dampak dari ancaman siber terkait IoT yang besar dapat parah. Kehilangan data, gangguan sistem IT, gangguan operasional, dan sejenisnya dapat mengakibatkan kerugian finansial dan reputasi. Biaya untuk menyelidiki dan memperbaiki pelanggaran keamanan sendirian dapat menjadi prohibitif. Gangguan yang serius dapat memerlukan investasi dana besar untuk lembur staf IT. Denda pengatur adalah biaya lain yang semakin penting untuk diingat. Tidak hanya ada GDPR yang perlu dipertimbangkan untuk masalah apa pun yang mempengaruhi data pribadi pelanggan atau karyawan, NIS Directive Uni Eropa juga menuntut praktik terbaik keamanan untuk perusahaan yang beroperasi di industri kritis tertentu. Keduanya membawa denda maksimum yang sama.
Pengawasan pengatur ini menyerap di kedua sisi Atlantik. Sebuah perundang-undangan yang diusulkan baru di AS akan menuntut National Institute of Standards and Technology (NIST) untuk menarik garis panduan keamanan minimum untuk produsen IoT dan menuntut agen federal hanya membeli dari pemasok yang memenuhi standar dasar ini.
Visibilitas dan kontrol
Jika disetujui, undang-undangan AS ini dapat membangun pada standar ETSI TS 103 645 Eropa, yang sendiri didasarkan pada kode praktik yang diusulkan pemerintah Inggris untuk industri. Ini tentu adalah awal yang bagus dan semoga akan mendorong industri untuk lebih sadar akan keamanan, sambil memberdayakan konsumen dan bisnis untuk mencari produk yang lebih aman di pasar. Namun, dalam kenyataan, akan memakan waktu sebelum langkah-langkah seperti ini menyaring ke pasar, dan bahkan saat itu organisasi mungkin sudah menjalankan ribuan endpoint IoT legacy yang tidak aman.
Tim keamanan IT harus bertindak sekarang, dengan mendapatkan wawasan yang lebih baik ke dalam lingkungan IoT mereka. Alat manajemen aset IT seharusnya dapat membantu di sini dengan menyediakan langkah pertama yang penting: visibilitas. Selanjutnya, pastikan firmware perangkat diperbarui melalui alat manajemen patch otomatis dan bahwa proses ini dipantau untuk memastikan itu berfungsi dengan benar – beberapa pembaruan keamanan tersembunyi di dalam situs web vendor dan memerlukan intervensi manusia untuk memastikan ini telah diaktifkan. Selain itu, tim IT harus memeriksa bahwa username/sandi segera diubah menjadi kredensial yang kuat dan unik. Lebih baik lagi, gantikan dengan autentikasi multi-faktor. Praktik terbaik lainnya dapat mencakup enkripsi data dalam transit, pemantauan jaringan berkelanjutan, manajemen identitas, segmentasi jaringan, dan banyak lagi. Akhirnya, jangan lupa aspek manusia dari keamanan siber: karyawan harus diajari untuk memahami risiko keamanan yang terkait dengan IoT, dan cara menggunakan sistem dan perangkat dengan aman.
Ini adalah cara untuk mendapatkan nilai maksest dari setiap inisiatif IoT, tanpa mengekspos organisasi ke risiko tambahan yang tidak perlu. Cukup satu pelanggaran keamanan yang serius untuk merusak pertumbuhan yang dipacu inovasi yang begitu penting bagi keberhasilan bisnis digital modern.
