Menilai Faktor Risiko dalam Keamanan Siber OT:Panduan untuk Insinyur Otomasi
Sering dikatakan, “Internet adalah lingkungan yang buruk”. Dan meskipun hal tersebut tampaknya benar, ada banyak risiko dan ancaman lain yang perlu diwaspadai oleh teknisi otomasi yang dapat memengaruhi sistem komputer yang digunakan dalam otomasi dan kontrol.
Teknologi operasional, atau OT, mengacu pada perangkat keras dan perangkat lunak fisik yang digunakan untuk memantau dan mengendalikan peralatan, proses, dan infrastruktur industri. Ini adalah item yang kami gunakan sebagai teknisi otomatisasi setiap hari.
Artikel ini akan membahas dengan cermat faktor risiko keamanan siber OT dan cara mengurangi risiko tersebut.
Infrastruktur penting, seperti pembangkit listrik, bendungan, dan pembangkit listrik tenaga angin, serta pabrik manufaktur penting, perlu menyadari banyaknya ancaman yang dihadapi sistem mereka. Misalnya, ancaman bisa datang dari karyawan yang tidak puas dan dengan sengaja menginfeksi jaringan dengan virus.
Ancaman bisa datang dari sumber eksternal, misalnya internet. Masing-masing jenis ancaman ini dapat menimbulkan kerugian yang signifikan terhadap infrastruktur operasional pabrik.
Risiko apa yang perlu diwaspadai oleh sistem Anda? Hanya melakukan apa yang dilakukan orang lain atau menggunakan perangkat keras dan perangkat lunak keamanan siber secara sembarangan tidaklah cukup untuk menjamin keselamatan.
Pendekatan sistematis terhadap keamanan siber merupakan langkah penting yang diperlukan dalam menghilangkan risiko dan menjadikan sistem Anda lebih ramah lingkungan.
Dasar-dasar penilaian risiko keamanan siber OT
Penilaian risiko OT didefinisikan sebagai proses sistematis untuk mengidentifikasi, mengevaluasi, dan memprioritaskan ancaman dan kerentanan. Ada beberapa karakteristik unik pada lingkungan OT yang berbeda dengan lingkungan TI.
Di antaranya adalah prevalensi sistem lama, persyaratan ketersediaan 24/7, dan integrasi fisik ke mesin, aktuator, dan sensor yang membentuk proses manufaktur.
Penilaian risiko harus melibatkan semua pemangku kepentingan yang terkena dampak, termasuk personel operasi, teknik, TI, dan manajemen. Seperti yang saya sebutkan sebelumnya, penilaian risiko ini harus mengikuti pendekatan sistematis agar berhasil.
Jadi, mari kita lihat lima langkah dalam penilaian ini.
Asset identification and inventory
Ketika sebuah perusahaan asuransi diminta untuk mengasuransikan rumah Anda, mereka ingin mengetahui apa saja yang ada di dalam rumah tersebut sehingga mereka mengetahui apa saja yang mungkin hilang, atau dengan kata lain, apa saja yang beresiko hilang atau rusak. Hal yang sama juga berlaku dalam penilaian risiko dalam keamanan siber.
Inventarisasi dan pemetaan semua aset PL Anda adalah langkah penting pertama. Semuanya harus dicantumkan dalam inventaris, termasuk perangkat keras seperti PLC, sistem SCADA, dan stasiun HMI. Inventaris ini harus mencakup semua perangkat lunak dan firmware yang diinstal pada sistem OT Anda.
Aset ini mungkin tidak tampak bersifat fisik, namun berisiko dan merupakan aset yang paling mudah diinfeksi oleh peretas.
Kita juga harus menyertakan peralatan jaringan seperti sakelar dan kabel. Dan jangan lupakan koneksi eksternal seperti port data yang disediakan untuk akses vendor atau koneksi untuk pemeliharaan jarak jauh.
Inventarisasi yang lengkap sangat penting agar tim penilai risiko dapat memahami sepenuhnya apa yang disebut “lanskap ancaman”.
Item yang terlewat, seperti port data yang disediakan untuk akses vendor, dapat menjadi jalur mudah infeksi sistem, meskipun tidak dilakukan dengan niat jahat.
Identifikasi ancaman dan kerentanan
Setelah semua aset kami terdaftar, kami mengetahui semua item yang mungkin diserang. Berikutnya, kami perlu mengidentifikasi jenis ancaman yang mungkin ditimbulkan oleh sistem kami.
Ancaman ini dapat berupa ancaman internal dari orang dalam, seperti penggelapan dana dari akun atau kesalahan konfigurasi switch jaringan yang tidak disengaja sehingga dapat mengabaikan persyaratan autentikasi pengguna.
Ancaman juga dapat berasal dari luar dari sumber internet, malware, peretas, atau aktor negara setelah aset berharga, seperti formulasi dan resep.
Yang sering terlupakan adalah kerentanan umum yang dapat terjadi pada perangkat keras dan perangkat lunak OT lama, seperti kurangnya patching, autentikasi yang lemah, dan protokol yang tidak aman.
Analisis dampak
Sekarang setelah kita mengetahui lanskap ancaman, kita harus menilai konsekuensi jika sistem disusupi karena serangan.
Konsekuensi ini dapat terjadi dalam berbagai bentuk, seperti risiko keselamatan terhadap personel atau lingkungan, gangguan terhadap produksi, gangguan operasional, kerugian finansial, kerusakan reputasi, serta pelanggaran peraturan dan kepatuhan.
Konsekuensi yang mungkin dihadapi fasilitas Anda bergantung pada situasi unik Anda dan mungkin mencakup banyak risiko lainnya.
Penilaian kemungkinan
Langkah selanjutnya adalah langkah tersulit — menentukan kemungkinan terjadinya konsekuensi tersebut.
Menentukan kemungkinan eksploitasi kerentanan sistem Anda melibatkan prediksi paparan Anda terhadap ancaman internet, mengidentifikasi eksploitasi yang diketahui dan kemampuan musuh, dan, yang terpenting, riwayat insiden yang memengaruhi sistem seperti milik Anda.
Misalnya, Stuxnet adalah virus yang menyebar dan melemahkan yang menyerang perangkat keras dari pemasok tertentu. Serangan Colonial Pipeline adalah serangan siber ransomware yang menyebabkan terhentinya operasi dan kekurangan bahan bakar yang signifikan di seluruh Pantai Timur. Apa yang dapat terjadi pada operasi Anda, dan seberapa besar kemungkinan hal tersebut terjadi?
Matriks Risiko
Langkah terakhir adalah membuat Matriks Risiko untuk setiap faktor risiko. Matriks Risiko biasanya mencantumkan dampak pelanggaran keamanan siber terhadap kemungkinan terjadinya pelanggaran. Here is an example matrix using thresholds for impact and likelihood as low, medium, and high.
Tim penilai risiko bertanggung jawab untuk menentukan alokasi risiko terbaik pada setiap kotak pada matriks. Tim Anda mungkin menentukan bahwa kemungkinan kejadian yang tinggi dengan dampak sedang juga termasuk dalam risiko tinggi. Pemeringkatan hanya bergantung pada situasi unik Anda.
Mengapa menghasilkan matriks ini? Hal ini memungkinkan Anda dengan mudah mengidentifikasi risiko yang memerlukan mitigasi segera, seperti semua item berisiko tinggi, serta risiko yang dapat ditunda, seperti item dengan risiko rendah.
Perusahaan memiliki anggaran terbatas untuk keamanan siber, sehingga masalah dengan risiko tertinggi harus diatasi terlebih dahulu.
Tantangan dan pertimbangan dalam penilaian risiko PL
Proses ini biasanya tidak mudah. Hal-hal seperti memahami semua kendala dalam menambal sistem lama bisa jadi sulit. Mungkin terdapat keterbatasan visibilitas mengenai sifat dari beberapa ancaman.
Mungkin ada hambatan organisasi dalam memperoleh semua data yang diperlukan untuk menilai luasnya ancaman tertentu. Mungkin ada risiko rantai pasokan dan pihak ketiga yang tidak diketahui.
Praktik terbaik untuk penilaian risiko OT yang efektif
Terdapat praktik terbaik untuk mengatasi beberapa kendala ini dan mengembangkan profil risiko yang efektif. Yang paling penting adalah seluruh pemangku kepentingan terlibat dan berkolaborasi dalam penilaian.
Untuk membantu proses ini, terdapat banyak standar dan kerangka kerja yang tersedia yang memandu tim dalam proses penilaian risiko seperti NIST CSF dan IEC 62443.
Kunci dari program penilaian risiko keamanan siber yang efektif adalah memperbarui penilaian secara berkala menggunakan data terkini.
Kesimpulan
Penilaian risiko keamanan siber OT adalah landasan untuk menciptakan pertahanan yang efektif terhadap ancaman internal dan eksternal. Dengan melibatkan seluruh pemangku kepentingan dalam proses tersebut, gambaran paling lengkap mengenai ancaman dan kemungkinan terjadinya dapat ditentukan dan diplot dalam matriks risiko.
Dari matriks risiko, keputusan yang tepat dapat diambil untuk menerapkan pertahanan keamanan siber. Seiring dengan berkembangnya risiko TI, penting bagi fasilitas untuk bersikap proaktif dan melakukan penilaian risiko berkelanjutan sebagai landasan program keamanan siber TI mereka.
