Perlindungan Ancaman IoT:Tanggung Jawab Kolektif untuk Konektivitas yang Lebih Aman
Gambar 1. Protokol komunikasi yang tidak mutakhir menciptakan kerentanan yang mudah dieksploitasi. (Gambar:InfiniteFlow/Stok Adobe)
Sebagai hasil dari kemajuan Industrial Internet of Things (IIoT), perusahaan-perusahaan di seluruh dunia menyadari potensi manufaktur cerdas dan model bisnis yang terhubung. Faktanya, koneksi IoT diproyeksikan meningkat dua kali lipat pada tahun-tahun mendatang:dari 18 miliar dolar pada tahun 2024 menjadi 39,6 miliar dolar pada tahun 2033.
Meskipun kemajuan pesat aplikasi IIoT merupakan hal yang menarik, hal ini juga memiliki tantangan tersendiri, terutama dari sudut pandang keamanan. Sebuah studi baru-baru ini menemukan bahwa lebih dari setengah (57 persen) perangkat IoT rentan terhadap ancaman tingkat keparahan sedang atau tinggi dan bahwa dua dari lima kepala petugas keamanan informasi (CISO) kesulitan untuk mendapatkan visibilitas – dan memahami – penerapan IoT mereka. Survei lain menemukan bahwa manufaktur, yang sangat bergantung pada IoT dan teknologi operasional, kini menyumbang lebih dari setengah (54,5 persen) seluruh serangan.
Apa yang menyebabkan kerentanan ini dan bagaimana unit bisnis dapat bekerja sama untuk memitigasinya?
Bagaimana Perangkat IoT Meningkatkan Lanskap Serangan
Perangkat IoT mengumpulkan sejumlah besar data yang sensitif, bersifat kepemilikan, dan penting bagi bisnis. Misalnya, sensor pintar yang memantau suhu, tekanan, posisi, kecepatan, getaran, aliran, kualitas optik, dan kelembapan mengumpulkan data sensitif yang memberikan wawasan real-time tentang operasi industri.
Secara umum, aplikasi IoT adalah bagian dari jaringan perangkat terhubung yang lebih besar, dan ketika berencana menyusup ke suatu sistem, penyerang mencari titik terlemah dalam rantai tersebut. Mengetahui bahwa sebagian besar perangkat IoT dirancang dengan mempertimbangkan fungsionalitas dan efisiensi biaya, dibandingkan dengan fitur keamanan yang kuat, tidak mengherankan jika penyerang mungkin memulai upaya penetrasi armor mereka di sana. Perangkat mungkin ditempatkan di lokasi umum atau tidak aman, sehingga mudah diakses dan karenanya rentan. Peretas dapat menargetkan perangkat ini tidak hanya untuk mencuri informasi sensitif untuk disalahgunakan, tetapi juga untuk memanipulasi fungsinya untuk tujuan jahat. Selain itu, penggunaan identifikasi dan kontrol akses yang lemah untuk perangkat, serta menjalankan firmware yang sudah ketinggalan zaman, seperti protokol komunikasi yang tidak mutakhir, juga menciptakan kerentanan yang mudah dieksploitasi.
Yang paling penting untuk dipahami adalah ada beberapa macam jaringan. Dari Internet yang terbesar dan paling menonjol, hingga jaringan pribadi yang mungkin tidak terhubung ke hal lain sama sekali. Tingkat keamanan aplikasi IoT harus sesuai dengan jaringan operasinya. Ketika jaringan yang berbeda terhubung, sangat penting untuk tidak mengizinkan akses ke area dengan keamanan tinggi dengan melakukan penetrasi melalui perangkat IoT dengan keamanan rendah.
Selain melakukan eksfiltrasi data – transfer data yang tidak sah – untuk mendapatkan uang tebusan atau penghinaan di depan umum, penyerang juga dapat melakukan permainan yang panjang dan mengintai di dalam jaringan, melacak aliran data dari waktu ke waktu. Di lingkungan industri, sensor yang disusupi dapat mengirimkan data yang dimanipulasi atau salah, sehingga menyebabkan tindakan pemeliharaan yang salah, kegagalan mekanis yang tidak terdeteksi, atau bahkan kerusakan parah. Di sektor seperti minyak dan gas, di mana integritas sistem berdampak langsung pada keselamatan dan produksi, sensor yang tahan terhadap kerusakan sangatlah penting.
Dalam industri medis, seiring dengan semakin canggihnya peralatan, pemantauan pasien, perawatan dan lingkungannya tidak hanya dimungkinkan, namun juga menganalisis dan mengirim data ke server untuk diproses lebih lanjut. Kerusakan yang dapat terjadi dengan membaca komunikasi antara perangkat medis dan server bisa menjadi bencana besar. Misalnya, jika data yang dimanipulasi dikirim ke dokter untuk membuat keputusan pengobatan bagi pasien berdasarkan hasil perawatan di rumah, pasien tersebut mungkin berada dalam bahaya.
Strategi Keseluruhan untuk Melindungi Aset dan Mengurangi Ancaman Keamanan
Melindungi perangkat IIoT dan bisnis yang terhubung dari musuh adalah tanggung jawab bersama yang dimulai dari pembuatan sensor dan meluas hingga desain aplikasi hingga manajemen perangkat dan jaringan. Perusahaan harus bekerja sama dengan produsen sensor dan perangkat serta integrator sistem untuk memastikan penerapan, pengelolaan, pemantauan, dan pembaruan perangkat yang aman yang memungkinkan aplikasi IIoT.
Meskipun perangkat IIoT tidak menyimpan data pribadi, perangkat tersebut tetap menyimpan informasi berharga tentang kinerja peralatan, efisiensi proses, dan jadwal produksi. Penyerang yang terlibat dalam spionase industri dapat mencegat dan menganalisis data sensor yang tidak dilindungi untuk mendapatkan wawasan tentang operasi kepemilikan. Potensi kerentanan juga dapat muncul seiring berjalannya waktu jika produsen gagal menerapkan enkripsi yang kuat dan pembaruan keamanan, sehingga perangkat IoT rentan dan data mudah disadap.
Gambar 2. Penyerang yang terlibat dalam spionase industri dapat mencegat dan menganalisis data sensor yang tidak dilindungi untuk mendapatkan wawasan tentang operasi kepemilikan. (Gambar:Manatphon/Saham Adobe)
Dalam hal spionase industri, penyerang tidak selalu ingin pesaingnya gulung tikar. Pengetahuan tentang proses yang telah terbukti jauh lebih berharga, terutama jika hal tersebut tidak memerlukan biaya. Oleh karena itu, pemerintah dan badan pengatur meningkatkan persyaratan keamanan untuk perangkat IoT, khususnya di sektor infrastruktur penting.
Sebagai praktik terbaik, semua peserta ekosistem IIoT harus memantau perkembangan peraturan dan memastikan perangkat IIoT mematuhi pembaruan terkini. Perangkat ini harus mematuhi ISO/IEC 27000:Manajemen Keamanan Informasi, dan IEC/ISA 62443:Standar Keamanan Sistem Otomasi dan Kontrol. Mulai 11 Desember 2027, produsen sensor dan perangkat juga harus memenuhi persyaratan wajib Undang-Undang Ketahanan Siber (Cyber Resilience Act/CRA) Uni Eropa yang mengatur perencanaan, desain, pengembangan, dan pemeliharaan produk. Di pasar UE, produk IIoT harus lulus penilaian pihak ketiga sebelum dapat dijual.
Selain itu, produsen sensor dan perangkat harus secara rutin berkolaborasi dengan pelanggan dan integrator sistem untuk mengevaluasi persyaratan aplikasi, mengidentifikasi risiko, dan mengembangkan penerapan IoT yang aman sesuai desain. Terlebih lagi, perangkat IoT harus menggunakan autentikasi multifaktor, sertifikat, dan token perangkat keras untuk melindungi komunikasi antar perangkat dan antara perangkat dan jaringan. Mereka juga harus mengenkripsi data saat transit, menggunakan algoritme seperti AES-256 untuk mencegah paparan yang tidak disengaja atau berbahaya.
Saat menyiapkan peralatan baru, pengguna harus segera mengatur ulang kredensial default dengan kata sandi yang kuat dan unik untuk semua perangkat IoT dan mengubahnya secara berkala. Mereka juga harus menggunakan sistem terpusat untuk mengelola perangkat, sehingga memudahkan administrator untuk memantau, memperbarui, dan mengamankan perangkat. Selain itu, perangkat harus dikonfigurasi untuk menerapkan patch keamanan dan firmware secara otomatis. Perusahaan juga harus memelihara jejak audit atas semua pembaruan untuk memastikan bahwa perangkat selalu diperbarui dan pembaruan telah berhasil diinstal.
Bagi tim rantai pasokan, gangguan pada komponen selama produksi atau distribusi menjadi hal yang biasa. Oleh karena itu, penting untuk mempertimbangkan keamanan siber tidak hanya ketika menyiapkan jaringan TI perusahaan tetapi juga mengembangkan infrastruktur produksi untuk menghindari gangguan pada data utama sensor selama proses produksi.
Keamanan Perangkat Keras adalah Suatu Keharusan dalam Manufaktur
Untuk melindungi kunci enkripsi dan data sensitif lainnya di tingkat perangkat keras, perangkat IoT harus memiliki modul keamanan perangkat keras dengan chip keamanan khusus. Komponen juga harus mencakup mekanisme deteksi gangguan yang membantu mencegah penyerang memanipulasi perangkat. Misalnya, sensor dapat menggunakan laminasi multi-lapisan yang dirancang khusus untuk melindungi area utama dan memenuhi Persyaratan Keamanan FIPS 140-2 untuk Modul Kriptografi. Segala upaya untuk membuka atau menembus enklosur secara fisik akan memicu penghapusan informasi keamanan penting, seperti kunci enkripsi, atau membuat sistem secara keseluruhan tidak dapat dioperasikan, sehingga memenuhi standar keamanan fisik FIPS 140-2 Level 4.
Selain itu, semua perangkat harus memiliki ID unik yang dapat dilacak dan diautentikasi, untuk mencegah spoofing. Produsen harus melakukan pengujian penetrasi pada perangkat untuk memastikan keamanannya sebelum dikirim dan secara rutin melakukan penilaian risiko untuk memastikan proses keamanan perangkat selaras dengan praktik terbaik industri.
Gambar 3. Sensor nirkabel dari TE Connectivity, yang digunakan untuk pemantauan kondisi jarak jauh, dilengkapi dengan serangkaian kunci otentikasi unik dan transmisi data terenkripsi untuk komunikasi jaringan yang aman. (Gambar:Konektivitas TE)
Perangkat IoT juga disarankan untuk menggunakan proses booting yang aman untuk menjamin bahwa firmware tidak dimanipulasi, dan perangkat tersebut harus memanfaatkan penandatanganan kode dan fungsi hash untuk menjamin keaslian perangkat lunak yang berjalan pada perangkat. Semua kunci, termasuk kunci aplikasi dan sesi, harus diamankan untuk mencegah penyalahgunaan.
Integrasi Sistem yang Aman dan AI Memainkan Peran Penting dalam Perlindungan Data
Saat memasang suatu sistem, perangkat IoT harus ditempatkan pada jaringan terpisah yang terisolasi dari sistem bisnis. Jika terjadi serangan, segregasi mencegah penyerang bergerak kesamping dan menyebabkan lebih banyak kerusakan. Selain itu, integrator harus menggunakan VLAN atau firewall untuk membatasi komunikasi perangkat IoT dengan perangkat lain dan sumber daya jaringan hanya pada kebutuhan yang benar-benar diperlukan.
Integrator sistem juga harus menerapkan kontrol akses yang ketat sehingga hanya pengguna atau sistem yang berwenang yang dapat mengakses data dan operasi IIoT dan melakukan tindakan yang telah disetujui sebelumnya. Aplikasi IIoT juga harus menggunakan model zero-trust, yang mengharuskan setiap perangkat atau pengguna diautentikasi dan diotorisasi sebelum mengakses sumber daya jaringan. Selangkah lebih maju, sebaiknya semua API dan pertukaran data antar perangkat, jaringan, dan aplikasi dienkripsi. Penyerang menargetkan API karena API sering kali merupakan tautan keamanan terlemah dan memberikan akses ke kumpulan data yang kaya.
Seiring dengan kemajuan AI yang menggemparkan dunia, integrator sistem dapat memanfaatkan hal ini untuk keuntungan mereka. Alat yang didukung AI, seperti solusi keamanan IoT, dapat menciptakan visibilitas ke semua perangkat yang terhubung ke jaringan dan mendapatkan skor risiko untuk mengidentifikasi kerentanan dan kesalahan konfigurasi yang tinggi dan kritis yang harus diprioritaskan untuk remediasi cepat. Tim keamanan dapat memanfaatkan sistem deteksi intrusi berkemampuan AI untuk menandai perilaku anomali untuk diselidiki. Sistem ini menetapkan skor risiko sehingga tim dapat fokus pada risiko dengan prioritas tertinggi terlebih dahulu. Perencanaan respons insiden yang efektif, termasuk pengujian, juga penting untuk dapat merespons pelanggaran keamanan IoT dengan tepat secepat mungkin.
Keamanan Harus Diutamakan dalam Setiap Penerapan IIoT
Secara keseluruhan, IIoT dapat merevolusi proses manufaktur cerdas dan industri berat — namun hanya jika aplikasi dan aliran data diamankan secara end-to-end. Dengan menggunakan strategi ini, unit bisnis dan pemangku kepentingan eksternal dapat bekerja sama untuk meningkatkan postur keamanan seluruh penerapan IIoT guna melindungi mereka dari ancaman terbaru. Dengan melakukan hal ini, para pemimpin keamanan dapat membantu menjaga kepercayaan pemangku kepentingan terhadap sistem IIoT dan peningkatan kinerja, mendapatkan dukungan untuk mengambil keputusan berdasarkan data yang mereka berikan, dan memperluas penerapan IIoT di seluruh proses operasional dan lokasi.
Artikel ini ditulis oleh Corneliu Tobescu, VP &CTO, TE Sensors di TE Connectivity. Untuk informasi lebih lanjut, buka di sini .
