Amankan Aset Manufaktur Anda: Strategi Perlindungan Cloud Terbukti

Dengan alat keamanan berbasis cloud yang tepat, produsen dapat mengunci dan mengisolir peralatan lantai pabrik dari peretas

Cerita horor keamanan siber melimpah, cukup untuk memberikan para pemimpin keamanan data manufaktur malam-malam yang menakutkan. Seolah-olah kisah Stuxnet dan kasus ransomware “Wanna Cry” belum cukup, laporan baru-baru ini muncul di beberapa publikasi, termasuk Wall Street Journal, tentang peretas di Australia yang mencuri data sensitif tentang aset peralatan pertahanan tinggi profil termasuk F-35 Joint Strike Fighter (JSF). Dalam sebagian besar kasus, kesalahan manusia, seperti tidak mengikuti protokol keamanan siber yang tepat dan menggunakan kata sandi yang mudah ditebak, tampak menjadi penyebab utama. Ini membuat data di perbankan, infrastruktur daya, penerbangan/pertahanan, dan manufaktur rentan terhadap ancaman siber yang semakin besar.

Salah satu cara terbaik untuk meningkatkan keamanan siber adalah penerapan patch perangkat lunak yang tekun. Dalam pelanggaran Equifax yang terkenal, perusahaan gagal menerapkan patch kritis pada perangkat lunak Apache Struts, program open-source yang digunakan dalam sistem keamanan sibernya. Ini memungkinkan peretas untuk menyusup ke database Equifax untuk mencuri informasi sebanyak 143 juta orang di AS, dan lebih banyak di Inggris dan Kanada.

Berita buruk seperti ini dapat memberikan reputasi buruk pada perangkat lunak cloud dan operasi bisnis berbasis cloud. Kenyataannya adalah praktik keamanan siber cloud tidak banyak berbeda dari yang digunakan untuk instalasi on-premises saja, tetapi berada di cloud yang terhubung ke Internet memberikan peretas lebih banyak kesempatan untuk menyusup melalui pintu yang tidak terkunci.

Mengamankan Pabrik

Jaringan listrik, lembaga keuangan, dan peritel semuanya telah menjadi subjek serangan siber. Operasi manufaktur belum melaporkan banyak insiden besar, tetapi menurut studi yang dirilis pada September, setengah dari bisnis kecil hingga menengah (SMB) akan membayar tebusan pada perangkat Internet of Things (IoT) untuk merebut data mereka.

Studi oleh Arctic Wolf Networks Inc. (Sunnyvale, CA), penyedia security operations center (SOC)-as-a-service, mencatat bahwa 13% SMB telah mengalami serangan berbasis IoT, namun banyak yang masih tidak mengambil langkah keamanan yang tepat. Dilakukan dalam kolaborasi dengan Survey Sampling International, studi menemukan bahwa sebagian besar SMB tidak memiliki kemampuan deteksi dan respons lanjutan untuk ransomware, ancaman persisten lanjutan (APT), dan serangan zero-day, seperti Stuxnet.

Profesional keamanan dan ahli manufaktur setuju bahwa langkah-langkah untuk mengamankan data cloud mencerminkan langkah-langkah untuk pengguna data on-premises non-cloud.

“Orang salah mengasumsikan bahwa data di cloud aman, ketika itu hanya seman yang Anda buat,” kata Brian NeSmith, pendiri dan CEO Arctic Wolf Networks. “Ini berarti menerapkan firewall, memantau aktivitas mencurigakan, dan mengontrol akses ke data sensitif.”

“Tanggung jawab bukan pada penyedia layanan cloud, tetapi pada tim IT perusahaan untuk mengamankan data berbasis cloud apa pun,” lanjut NeSmith. “Perusahaan di industri yang diatur cenderung berpikir kepatuhan adalah keamanan. Kepatuhan adalah cara untuk menilai kontrol tetapi itu pasti bukan keamanan.”

Manfaat sistem on-premises adalah bahwa pengguna memiliki kontrol yang lebih besar atas jaringan tempat data dapat diakses, katanya. “Untuk data berbasis cloud, siapa pun dengan koneksi Internet dapat mencoba mendapatkan akses ke data. Kontrol dan proses keamanan yang tekun adalah kunci, baik data di cloud atau on-premises. Misalnya, jika Anda tidak sengaja memberikan akses ke jaringan internal Anda, siapa pun yang menemukan celah itu potensial dapat mengakses data Anda, baik data di cloud atau on-premises.”

Ideally, produsen harus memiliki security operations center (SOC) yang mengumpulkan, menganalisis, dan menyelidiki ancaman keamanan siber potensial 24/7, kata NeSmith. “SOC harus diinisiasi oleh ahli keamanan full-time. Meminta TI untuk melakukannya sebagai pekerjaan paruh waktu tidak cukup.”

“Pengalaman telah menunjukkan bahwa hampir semua peretasan besar dapat dicegah,” lanjut NeSmith. “Equifax memiliki patch keamanan yang gagal dipasang. Target memiliki alarm tetapi itu tersembunyi dalam kebisingan sistem mereka. Keamanan siber tidak mudah, dan banyak perusahaan membuat kesalahan dengan berpikir keamanan siber yang efektif berarti membeli produk yang tepat. Keamanan bukan tentang produk tetapi seberapa efektif operasi keamanan Anda.”

Cloud + Keamanan Kuat

Produsen yang menggunakan solusi Siemens dapat memanfaatkan kombinasi protokol dan perangkat keras keamanan jaringan yang keras seperti garis Siemens Scalance dan Ruggedcom, serta penawaran cloud baru. Siemens juga mengoperasikan Cyber Security Operations Centers-nya, yang menawarkan pemantauan keamanan data 24/7 dan bantuan remediasi dalam hal serangan siber (lihat “Heading Off the Inevitable Hack Attack,” Manufacturing Engineering, Oktober 2017).

Dengan Siemens Plant Security Services, ancaman dan malware dapat dideteksi sejak awal, kerentanan dianalisis, dan langkah keamanan yang tepat diinisiasi, menurut Henning Rudoff, kepala Plant Security Services, Siemens PLM Software (Plano, TX). Dia menambahkan bahwa pemantauan berkelanjutan memberikan transparansi keamanan bagi operator pabrik.

Perangkat lunak keamanan siber berbasis cloud dapat menawarkan penerapan yang lebih mudah dan opsi operasi yang lebih baik dibandingkan penerapan on-site tradisional bagi pelanggan yang tidak terikat pada solusi lokal oleh hukum atau pembatasan internal, menurut Rudoff. “Siemens menawarkan perangkat lunak keamanan siber berdasarkan sistem operasi IoT-nya, MindSphere, untuk membantu pelanggan menerapkan digitalisasi dan keamanan secara paralel,” katanya.

Operator operasi industri biasanya harus memulai dengan penilaian untuk mendapatkan garis dasar kebutuhan keamanan dan status saat ini mereka, misalnya, berdasarkan IEC 62443, nasihat Rudoff. “Langkah keamanan yang dibutuhkan bisa bersifat organisasi, seperti melatih tenaga kerja untuk meningkatkan kesadaran, atau teknis, seperti penerapan segmentasi jaringan atau hardening perangkat otomatisasi.”

“Selain konsep perlindungan, pelanggan dengan kebutuhan lanjutan juga harus menerapkan konsep deteksi dan remediasi,” lanjutnya. “Deteksi dapat dicapai, misalnya, dengan sistem Security Information and Event Management [SIEM] yang membantu pelanggan memantau perilaku sistem mereka [misalnya, perangkat baru di jaringan atau peristiwa login gagal]. Dalam hal insiden keamanan, analisis forensik direkomendasikan; itu menjawab dua pertanyaan—bagaimana sistem dapat dikembalikan ke perilaku normal, dan bagaimana insiden di masa depan dapat dicegah?”

Untuk mencegah intrusi, Siemens sangat merekomendasikan produsen untuk menerapkan pembaruan produk segera tersedia dan selalu menggunakan versi produk terbaru. Untuk informasi tentang pembaruan produk, pelanggan dapat berlangganan Siemens Industrial Security RSS Feed di https://www.siemens.com/industrialsecurity.

Keuntungan Keamanan Cloud

Sistem yang kuat dan penerapan due diligence adalah keharusan bagi penyedia cloud, kata Srivats Ramaswami, CTO dan vice president, IT, untuk pengembang perangkat lunak manufacturing execution systems (MES) 42Q (San Jose, CA).

“Produsen berurusan dengan data sensitif setiap hari: data pelacakan, informasi garansi, riwayat perangkat, dan khususnya spesifikasi engineering untuk produk semuanya sangat rahasia. Menyandarkan data itu ke sistem berbasis cloud memerlukan due diligence untuk memastikan penyedia telah mengambil langkah yang tepat untuk mengamankan data,” kata Ramaswami. Dia menasihati pengguna untuk mencari fitur keamanan siber kunci seperti:

• Pendekatan keamanan multi-tingkat yang mencakup kode aplikasi, pertahanan fisik di pusat data, dan hambatan logis di firewall, serta pemantauan aktivitas berkelanjutan dan pemindaian malware.
• Kontrak dengan pihak ketiga yang melakukan pengujian keamanan, dengan laporan yang tersedia untuk pelanggan.
• Sertifikasi seperti SOC 2 dari AICPA (American Institute of Certified Public Accountants), yang mewajibkan perusahaan untuk mendirikan dan mengikuti kebijakan dan prosedur keamanan informasi yang ketat.

Seberapa aman data berbasis cloud dari operasi manufaktur? “Saat data manufaktur disimpan di cloud, keamanan biasanya ditingkatkan daripada dikurangi,” kata Ramaswami. “Itu karena penyedia cloud menganggar sumber daya besar untuk memastikan sistem mereka seman mungkin, dan selalu diperbarui untuk bereaksi terhadap ancaman potensial. Meskipun upaya peretasan terjadi berkali-kali setiap hari pada sistem berbasis cloud, hingga saat ini tidak ada pelanggaran keamanan besar di sistem yang digunakan oleh produsen.”

Ada persepsi umum yang salah bahwa data berbasis cloud tidak seaman server on-premise, menurut Ramaswami. “Kenyataannya sebagian besar sistem on-premise jauh di bawah keamanan yang telah diterapkan oleh penyedia cloud terbaik. Faktanya, saya secara pribadi telah melihat kata sandi untuk sistem yang dikatakan ‘aman’ diposting pada kertas pelengkap di samping rak server di mana aplikasi berjalan. Arsitektur keamanan penyedia cloud canggih hampir tidak mungkin diduplikasi dalam solusi on-premise,” tambah Ramaswami. “Misalnya, sistem penyimpanan cloud yang digunakan oleh 42Q dirancang untuk daya tahan 99,999999999% dan ketersediaan objek hingga 99,99% selama tahun tertentu; karena biaya tinggi sistem ini, itu tidak terjangkau bagi hampir setiap organisasi TI. Untuk menerapkan alat seperti ini dalam lingkungan on-premise akan membutuhkan tidak hanya investasi besar dalam infrastruktur, tetapi tim besar untuk mengelolanya juga.”

Ramaswami mencatat bahwa Equifax tidak menggunakan penyedia cloud eksternal, melainkan membangun dan mengelola infrastruktur dan aplikasi sendiri. “Menurut informasi yang telah dipublikir sejauh ini, tampaknya Equifax dapat melakukan lebih banyak untuk melindungi keamanan data—peretasan terjadi pada Mei,” katanya, “sedangkan patch untuk kerentanan yang dieksploitasi telah tersedia lebih dari dua bulan sebelumnya! Ini adalah contoh mengapa perusahaan harus melihat penyedia layanan cloud berkualitas tinggi yang memantau data dan keamanan jaringan secara real-time.”

“Tidak ada obat ajaib untuk keamanan di cloud; dibutuhkan perusahaan dengan keamanan dalam DNA-nya, dan perhatian yang tekun terhadap detail setiap hari,” lanjut Ramaswami. Dia mencatat bahwa keamanan 42Q meliputi pertahanan fisik di pusat data dan hambatan logis di firewall, standar untuk pemrograman dan kekuatan kata sandi, pemantauan aktivitas berkelanjutan dan pemindaian malware, dan pengujian pihak ketiga.

Data Pemesinan dari Cloud

Sebagian besar, data berada di tangan yang baik di cloud—jika langkah atau langkah keamanan siber umum diambil dan diikuti sesuai aturan, menurut proponen cloud.

“Praktik keamanan yang baik adalah praktik yang baik, terlepas dari lokasi fisik komputasi dan penyimpanan, on-premise atau berbasis cloud,” kata Chuck Mathews, cloud evangelist, MachiningCloud Inc. (Camarillo, CA, dan Stans, Swiss). “10 teratas kami meliputi:

• Jaga perangkat lunak, BIOS, dan firmware tetap terbaru,
• Jaga antivirus dan deteksi malware tetap terbaru,
• Cadangkan informasi penting,
• Gunakan kata sandi yang kuat, bukan kata sandi default atau nama akun,
• Nyalakan otentikasi dua faktor ketika tersedia,
• Jangan berbagi akun atau kata sandi,
• Pikir sebelum berbagi informasi,
• Gunakan enkripsi pada jaringan nirkabel,
• Jaga kesadaran tentang prinsip keamanan komputer, dan,
• Batasi akses dan peran berdasarkan kebutuhan untuk mengetahui.

“Secara umum, data berbasis cloud lebih aman daripada data on-premise,” sepakati Mathews. “Perusahaan cloud mempekerjakan ahli keamanan dan memiliki tanggung jawab fiduciary untuk menyediakan tingkat keamanan yang tinggi; itulah pekerjaan mereka. Bengkel rata-rata biasanya tidak memiliki keahlian tersebut di staf.”

MachiningCloud adalah penyedia independen data produk alat pemotong CNC dan workholding yang menawarkan pengambilan data berbasis cloud untuk data pemesinan bagi mesin dan produsen.

“Mayoritas kita di Amerika Serikat menggunakan layanan berbasis cloud setiap hari minggu,” tambah Mathews. “Melintasi web, mengirim e-mail, memesan pesawat atau hotel, perbankan, membayar tagihan kami—semua adalah layanan berbasis cloud. Namun, penggunaan sistem berbasis cloud dalam CAD/CAM sangat terbatas; sebagian besar perangkat lunak CAD/CAM berbasis desktop dan mungkin hanya mengakses layanan cloud untuk lisensi, pembaruan perangkat lunak, atau data/referensi perpustakaan.”

Banyak peristiwa peretasan yang sangat diumumkan adalah outlier, hal-hal yang bisa dicegah dengan mudah dengan langkah keamanan siber yang tepat, menurut Mathews. “Namun, beberapa layanan berbasis cloud, seperti single sign-on [versus double-authentication sign-ons], memang memiliki risiko keamanan bawaan dan harus dihindari dalam situasi keamanan tinggi,” katanya.

Teknologi Cloud Tidak untuk Semua Orang

Beberapa kasus, data berbasis cloud mungkin tidak cocok untuk beberapa aplikasi, termasuk CAD/CAM atau aplikasi responsif tinggi, dan dalam beberapa teknologi operasional (OT) yang ditemukan di otomatisasi hampir real-time di lantai pabrik.

“Kesepakatan umum adalah bahwa langkah keamanan siber cloud-only tidak akan pernah cukup kuat untuk sepenuhnya menghapus ancaman siber terhadap infrastruktur kritis,” kata JC Ramirez, direktur engineering, product manager, ADL Embedded Solutions (San Diego), pengembang PC sistem tertanam dan perangkat keras otomatisasi. “Oleh karena itu, tren adalah membawa solusi perangkat keras/perangkat lunak keamanan ancaman siber lebih dekat ke aset kritis ini. Ini sejajar dengan tren serupa dalam industri IoT/IIoT dengan paradigma baru seperti Fog dan Mist computing yang membawa komputasi cloud lebih dekat ke tepi kain dari berbagai alasan yang terkait dengan kontrol sistem industri yang kuat, tetapi juga keamanan ancaman siber yang ditingkatkan untuk aset industri bernilai tinggi.”

Keamanan siber untuk aset industri dan infrastruktur menggunakan banyak langkah keamanan jaringan yang sama yang umum selama bertahun-tahun dalam sistem TI, kata Ramirez. “Perbedaan kritis adalah bahwa ancaman terhadap infrastruktur dan peralatan kritis dapat memiliki dampak nyata yang signifikan pada personel, keselamatan umum, atau aset bernilai tinggi. Untuk alasan itu, langkah keamanan siber terbaik harus bergantung pada pendekatan berbasis tim yang mencakup tidak hanya personel TI, tetapi juga insinyur kontrol, operator, perwakilan manajemen on-site, dan personel keamanan fisik on-site setidaknya,” katanya. Dia menambahkan publikasi 800-82 National Institute of Standards and Technology (NIST), “Guide to Industrial Control Systems (ICS) Security,” adalah referensi yang baik.

Beberapa pemasok otomatisasi tampaknya menaruh taruhan mereka pada sistem cloud, mungkin dengan alasan yang baik. Pada September, Rockwell Automation Inc. (Milwaukee) meluncurkan layanan deteksi ancaman on-premise baru yang bertujuan untuk membantu perusahaan mendeteksi dan pulih dari intrusi. Ini menampilkan teknologi dari pengembang aplikasi OT Claroty (New York) yang bertujuan untuk menawarkan “clarity” pada ruang OT.

Layanan deteksi ancaman adalah solusi keamanan pasif, non-intrusif, dan mengambil pendekatan agnostik produk untuk membuat inventaris aset di seluruh sistem TI dan OT dalam operasi industri, menurut Umair Masud, portofolio manager layanan konsultasi Rockwell. Sistem ini masuk ke dalam protokol jaringan industri dan menggunakan perangkat lunak deteksi ancaman untuk memetakan aset jaringan pengguna akhir dan bagaimana mereka berkomunikasi satu sama lain.

“Masih ada, mungkin dengan alasan yang benar, ketakutan untuk menghubungkan lingkungan OT secara langsung ke cloud,” kata Masud. “Ini adalah pendekatan on-prem yang disiplin dan bertanggung jawab.”

Sistem Claroty, dalam percobaan selama sekitar tiga tahun, sekarang sedang diluncurkan, kata Masud. Selain Rockwell, sistem ini juga digunakan oleh Schneider Electric dan pemasok otomatisasi lainnya.

“Kami ingin membantu pelanggan membela diri,” kata Masud. “Dalam rentang serangan, ada apa yang Anda lakukan sebelum, selama, dan setelah serangan. Anda harus sadar akan apa yang Anda miliki dan mencari tindakan kontra untuk melindunginya, menggunakan hal-hal seperti zone firewall dan otentikasi dua faktor atau dua langkah. Dan setelah serangan, Anda harus memastikan sumber daya dan orang yang terlibat dapat pulih dengan memiliki alat cadangan dan pemulihan yang tepat.”