Esensi Keamanan Siber untuk Produsen: Wawasan dari Pat Toth
Jumlah serangan siber terus meningkat, dan pelaku kejahatan siber menjadi lebih tekun. Perusahaan ditinggalkan mencoba menavigasi panduan teknis yang membingungkan dalam lanskap digital yang berubah dengan cepat. Produsen kecil sering tidak berpikir perusahaan mereka berisiko. Bagaimanapun, mengapa seseorang ingin menargetkan produsen kecil di pedalaman ketika ada bisnis yang lebih besar untuk ditargetkan?
Untuk memahami apa yang terjadi dan untuk mengetahui apa yang benar-benar perlu diketahui produsen tentang keamanan siber, saya duduk bersama dengan Pat Toth. Pat adalah Ilmuwan Komputer di NIST Manufacturing Extension Partnership yang memiliki lebih dari 30 tahun pengalaman keamanan siber dan telah bekerja pada banyak dokumen pedoman keamanan siber NIST.
Pertanyaan: Apakah produsen benar-benar berisiko terhadap serangan siber dibandingkan dengan industri lain? Jika iya, mengapa?
Pat: Menurut U.S. Department of Homeland Security, industri manufaktur adalah industri kedua yang paling ditargetkan berdasarkan jumlah serangan siber yang dilaporkan.
Saya pikir produsen kecil sangat rentan karena mereka dianggap sebagai titik masuk mudah ke rantai pasokan yang lebih besar. Pikirkan dengan cara ini: Jika Anda adalah pelaku kejahatan dan berencana untuk membobok gedung dan merampoknya, apakah Anda akan mencoba membobok gedung dengan peralatan pengawasan, sistem alarm dan pengawal, atau Anda lebih mungkin menargetkan gedung yang tidak memiliki fitur keamanan apa pun? Biasanya yang terakhir, itulah mengapa pelaku kejahatan siber secara khusus menargetkan produsen. Sayangnya, banyak bisnis kecil tidak memiliki tindakan keamanan yang memadai karena perusahaan ini tidak berpikir mereka adalah target.
Pelaku kejahatan siber mungkin tertarik pada kekayaan intelektual (IP) Anda atau mereka mungkin ingin mengakses informasi tentang siapa yang Anda kerjakan atau siapa yang Anda pegawai. Pelanggaran data pelanggan Target pada 2013 adalah salah satu contoh yang paling terkenal dari hal ini. Penyedia sistem HVAC mereka sengaja ditargetkan oleh pelaku kejahatan siber karena peretas tahu mereka dapat mendapatkan akses ke sistem Target melalui penyedia HVAC ini. Pelanggaran data menghasilkan informasi kartu kredit jutaan orang dicuri.
Pertanyaan: Karena SMM sering kali target utama, namun juga sering memiliki sumber daya terbatas, apa yang dapat dilakukan SMM ini?
Pat: Ini mungkin tampak rumit dan mungkin sedikit membingungkan, tetapi ada hal-hal yang dapat dilakukan SMM yang rendah- hingga tanpa biaya dan mudah untuk diterapkan.
Pada dasarnya, ini tentang membuat kebijakan dan mendidik karyawan. Berbagai studi telah menemukan bahwa karyawan adalah salah satu titik rentan paling dalam keamanan setiap perusahaan. Sebagian besar karyawan cukup tidak menyadari apa yang perlu mereka waspadai dan bagaimana mengidentifikasi insiden siber potensial atau aktual sampai terlambat. Perusahaan perlu berkomunikasi secara teratur untuk membantu karyawan memahami taktik pelaku kejahatan siber dan peran kritis yang mereka mainkan dalam mencegah insiden siber.
Misalnya, perusahaan Anda harus memiliki kebijakan untuk penggunaan media sosial di tempat kerja. Beberapa karyawan akan mengharapkan untuk mengakses media sosial selama hari kerja. Ada keseimbangan yang dihadapi perusahaan – mengizinkan karyawan untuk mengakses media sosial dan melindungi sistem mereka. Jadi bagaimana Anda melakukannya? Anda membuat kebijakan. Kebijakan mungkin adalah Anda tidak mengizinkan penggunaan media sosial pada sistem perusahaan. Mungkin Anda menyediakan jaringan semi-publik terpisah untuk orang mengakses media sosial sepanjang hari yang tidak mengekspos perusahaan Anda pada risiko. Apa pun kebijakan Anda, pastikan karyawan Anda menyadarinya, memahami mengapa ada dan konsekuensi potensial jika kebijakan dilanggar.
Pertanyaan: Bagus untuk mendengar bahwa ada solusi tanpa biaya dan rendah biaya yang dapat diterapkan produsen. Jika perusahaan siap untuk meningkatkan keamanan siber, di mana mereka harus memulai?
Pat: Mulailah dengan melihat Kerangka Keamanan Siber NIST dan NISTIR 7621 Small Business Information Security: The Fundamentals. Kerangka Keamanan Siber terdiri dari standar, pedoman dan praktik terbaik untuk mengelola risiko terkait keamanan siber. Ini memberikan pendekatan yang diprioritaskan, fleksibel dan hemat biaya untuk melindungi sistem. Small Business Information Security: The Fundamentals didasarkan pada Kerangka Keamanan Siber dan memberikan gambaran yang lebih dapat dikelola untuk pengambil keputusan perusahaan yang mungkin tidak memiliki latar belakang teknis. Ini juga berfokus pada bagaimana menilai dan memprioritaskan fungsi keamanan.
Untuk memulai Anda, berikut adalah ringkasan singkat dari apa yang akan Anda temukan dalam Kerangka.
Langkah pertama adalah Identifikasi. Identifikasi informasi paling berharga bagi perusahaan Anda. Ini adalah informasi yang jika hilang atau dimodifikasi, akan menghentikan operasi Anda. Misalnya, katakanlah Anda adalah produsen makanan dan Anda membuat kue choco chip menggunakan resep nenek Anda. Resep ini vital bagi bisnis Anda dan harus dilindungi dari pencurian atau modifikasi sehingga bisnis Anda dapat melanjutkan.
Langkah kedua adalah Lindungi. Anda telah berbicara dengan manajer dan staf dan menggunakan umpan balik ini untuk mengidentifikasi informasi yang paling penting bagi perusahaan Anda. Sekarang saatnya untuk memutuskan apa yang perlu dilakukan untuk melindungi informasi tersebut dengan benar. Langkah ini sangat bergantung pada ancaman dan kerentanan yang spesifik untuk bisnis Anda. Perusahaan kecil yang hanya bekerja dengan pelanggan melalui interaksi tatap muka atau melalui telepon tidak akan memiliki sebanyak yang perlu dilindungi dibandingkan perusahaan yang melakukan bisnis melalui email dan portal web. Ini sangat tergantung pada lingkungan operasional Anda mengenai perlindungan apa yang perlu Anda terapkan.
Langkah ketiga adalah Deteksi. Anda perlu dapat mendeteksi ketika insiden siber telah terjadi. Anda harus memiliki sistem anti-spyware, anti-virus dan deteksi intrusi yang diperbarui. Anda juga harus mempertimbangkan ruang fisik Anda. Pertimbangkan hal-hal seperti apakah Anda perlu mendapat peringatan ketika orang mengakses area yang tidak seharusnya. Baik insiden digital atau fisik, penting untuk tahu kapan insiden terjadi dan apa yang diakses oleh orang-orang.
Langkah keempat adalah Tanggapi. Ketika insiden siber terjadi, perusahaan Anda akan perlu merespons dengan cepat untuk meredam potensi kerusakan. Anda perlu memiliki rencana sebelum sesuatu terjadi. Rencana harus mencakup siapa yang bertanggung jawab dan siapa yang harus dihubungi ketika sesuatu terjadi. Juga, karyawan harus tahu cara mengakses rencana selama dan setelah jam kerja.
Ingat kembali ke sekolah dasar ketika kita berlatih simulasi kebakaran beberapa kali setahun? Sama seperti simulasi kebakaran itu, perusahaan Anda harus secara teratur berlatih respons insiden sibernya sehingga karyawan tahu tepat apa yang harus dilakukan jika insiden siber terjadi.
Langkah kelima dan terakhir adalah Pulihkan. Anda harus melakukan cadangan secara teratur sehingga Anda dapat memulihkan sistem Anda. Cadangan ini harus disimpan di lokasi terpisah atau di Cloud. Anda perlu menguji cadangan Anda. Jika Anda tidak menguji informasi cadangan Anda, Anda tidak dapat yakin bahwa Anda akan dapat pulih sepenuhnya dari sebuah insiden. Seberapa sering Anda memutuskan untuk menguji cadangan Anda harus berdasarkan seberapa vital informasi tersebut bagi operasi perusahaan.
Ini bukan situasi “one size fits all”, dan Anda harus memutuskan apa yang bekerja untuk perusahaan dan budaya Anda. Untuk satu perusahaan, menguji sekali setahun mungkin cukup. Untuk perusahaan lain, mungkin perlu menguji sekali seminggu. Ini bukan jawaban yang mudah untuk didengar, tetapi ini benar-benar memerlukan melihat sistem Anda untuk melihat di mana Anda rentan, mengetahui ancaman yang Anda hadapi dan bagaimana Anda akan mengatasi mereka.
Pertanyaan: Katakanlah perusahaan saya telah menerapkan tindakan keamanan yang tepat dan kami telah membuat rencana respons: Apa yang selanjutnya?
Pat: Ini bukan aktivitas “one and done”. Anda tidak dapat menulis rencana respons dan meletakkannya di lemari. Ini harus menjadi dokumen yang hidup. Semua orang perlu mengetahui postur keamanan siber Anda dan bagaimana Anda dapat terus meningkatkannya.
Setiap kali Anda membeli peralatan baru atau merekrut karyawan baru, Anda perlu memikirkan bagaimana aktivitas ini mempengaruhi keamanan Anda. Untuk perusahaan yang lebih kecil, ini bisa sulit. Terlalu sering, saya melihat kasus di mana perusahaan tumbuh dengan cepat dan lupa bahwa tidak semua orang membutuhkan akses ke setiap informasi. Ini bisa memakan waktu, tetapi manajemen perlu melalui daftar karyawan dan melihat apa yang seharusnya dan seharusnya tidak mereka akses. Seseorang di lantai produksi tidak membutuhkan akses ke informasi gaji. Menentukan peran dan menerapkan pemisahan peran tersebut bisa sulit, tetapi diperlukan saat ingin melindungi perusahaan Anda dari ancaman siber.
Saya pikir keamanan siber dan kualitas memiliki banyak kesamaan dalam hal adopsi. Banyak perusahaan lambat mengadopsi sistem kualitas seperti ISO 9000. Komponen besar dari kualitas adalah pola pikir dalam perusahaan. Keamanan siber tidak hanya terkait pada orang IT atau orang yang bertanggung jawab atas siber — setiap karyawan di setiap tingkat perusahaan memiliki bentuk tanggung jawab. Keamanan siber perlu menjadi bagian dari budaya perusahaan – sama seperti kualitas – untuk efektif.
Pertanyaan: Di mana saya dapat menemukan informasi untuk mendidik karyawan tentang hal yang dapat mereka lakukan untuk mengurangi risiko siber perusahaan?
Pat: Kunjungi halaman Sumber Daya Keamanan Siber NIST MEP. Di halaman ini Anda akan menemukan sejumlah sumber daya termasuk alat penilaian mandiri sederhana yang dapat Anda gunakan (berdasarkan Kerangka Keamanan Siber NIST) untuk mengevaluasi tingkat risiko siber perusahaan Anda. Penilaian mandiri dapat membantu Anda menentukan di mana kelemahan perusahaan Anda dan di mana Anda harus fokus sumber daya untuk meningkatkannya. Kami tidak melacak informasi Anda atau menyimpan hasilnya. Setelah mengambil penilaian, Anda akan menerima skor sehingga Anda tahu di mana kelemahan Anda terkait upaya keamanan siber Anda. Anda juga dapat menghubungi salah satu dari 51 Pusat MEP, yang terletak di semua 50 negara bagian dan Puerto Rico, yang merupakan bagian dari MEP National Network™ untuk pertanyaan atau bantuan.
