5 Pertanyaan Esensial yang Harus Diajukan pada Profesional Keamanan Siber Anda
Saya pikir dalam kehidupan pribadi, sebagian besar dari kita mencoba lebih hati-hati. Apa (saya harap) sudah tidak lagi hari-hari mengatur setiap kata sandi pribadi kita menjadi 123456. Namun, kita tidak tampak membawa tingkat kepedoman yang sama ke kantor. Karena profesional TI kita pasti telah menguasai keamanan siber, saya tidak perlu khawatir... kan?
Fakta adalah, kita sebagai karyawan memainkan peran vital dalam melindungi perusahaan tempat kita bekerja, dan cukup satu klik salah untuk membahayakan bisnis. Studi terbaru dari Willis Towers Watson menemukan bahwa 90 persen klaim insiden siber berasal dari beberapa jenis kesalahan atau perilaku manusia. Berikut adalah lima pertanyaan dan jawaban untuk membantu memandu Anda dalam perjalanan untuk membuat perusahaan Anda lebih aman.
1. Apa risiko siber teratas yang dihadapi perusahaan saya?
Risiko perusahaan bervariasi secara signifikan berdasarkan lingkungan operasional uniknya jadi ada banyak hal yang perlu dievaluasi dan dipertimbangkan.
Apakah Anda memiliki banyak karyawan yang menggunakan email? Spear phishing mungkin menjadi risiko teratas bagi Anda. Apakah setiap perangkat dengan alamat IP di lantai produksi Anda diamankan? Jika tidak, kode berbahaya, akses dan penggunaan yang tidak berwenang atau ekfiltrasi data bisa menjadi risiko teratas.
Melakukan penilaian risiko keamanan siber harus menjadi bagian utama dari program manajemen keamanan informasi organisasi Anda. Semua orang tahu ada beberapa tingkat risiko yang terlibat ketika berkaitan dengan data kritis dan aman perusahaan, aset informasi dan fasilitas. Namun bagaimana Anda mengukur dan mempersiapkan risiko keamanan siber ini? Tujuan penilaian risiko keamanan TI adalah untuk menentukan risiko keamanan apa yang dihadapi aset kritis perusahaan Anda dan untuk mengetahui seberapa banyak pendanaan dan upaya yang harus digunakan untuk melindunginya.
Kerangka Manajemen Risiko (RMF) NIST adalah sumber daya yang bagus untuk memulai. RMF memberikan pendekatan yang terstruktur, namun fleksibel untuk mengelola bagian risiko yang dihasilkan dari sistem yang dapat dikendalikan oleh perusahaan Anda dan proses bisnis organisasi Anda.
2. Apakah boleh menggunakan password manager?
Sementara menggunakan password manager untuk akun online pribadi Anda adalah cara yang hebat untuk tetap aman, ingat untuk memeriksa kebijakan perusahaan Anda sebelum menggunakan perangkat lunak apa pun di tempat kerja.
Password manager dapat membantu Anda menyimpan kata sandi Anda serta membantu Anda menghasilkan kata sandi yang unik untuk setiap situs. Namun, menyimpan semua kata sandi Anda di satu tempat berisiko. Penting untuk memahami bagaimana kata sandi Anda dilindungi dan apakah dienkripsi. Ada berbagai produk komersial yang tersedia yang bekerja dengan banyak perangkat dan browser, jadi lakukan riset untuk menemukan yang paling sesuai dengan kebutuhan Anda.
3. Apakah perusahaan saya mematuhi kerangka kerja atau standar keamanan informasi terkemuka dan apakah perlu?
Melindungi kekayaan intelektual dan informasi sensitif pelanggan dan karyawan dapat memberi Anda dan pelanggan Anda ketenangan pikir. Ini juga adalah praktik bisnis yang baik ketika Anda melihat dampak keuangan, penurunan produktivitas dan kehilangan kepercayaan yang dapat ditimbulkan serangan siber.
Untuk perusahaan dalam rantai pasokan Departemen Pertahanan (DoD), perlindungan semacam ini adalah keharusan mutlak. Perusahaan ini diwajibkan untuk memenuhi standar keamanan minimum Defense Federal Acquisition Regulation Supplement (DFARS) atau risiko kehilangan kontrak DoD mereka.
Berikut adalah beberapa contoh kerangka kerja atau standar keamanan yang dapat membantu Anda memahami dan mengurangi risiko: NIST Cybersecurity Framework, NIST SP 800-53 - Security and Privacy Controls for Information Systems and Organizations, NIST MEP Cybersecurity Self-Assessment Handbook, dan Payment Card Industry Data Security Standard (PCI DSS). Mudah untuk bingung tentang dokumen mana yang harus Anda rujuk, jadi berikut adalah informasi lebih lanjut tentang masing-masing:
- Kerangka lebih tingkat tinggi (dan lebih ringkas) dibandingkan NIST SP 800-53, yang adalah katalog kontrol keamanan dan privasi. Kerangka lebih dapat dikelola untuk eksekutif dan pengambil keputusan yang mungkin tidak memiliki latar belakang teknis. Ini juga berfokus pada cara menilai dan memprioritaskan fungsi keamanan dan merujuk pada dokumen yang ada seperti NIST SP 800-53, yang paling baik digunakan oleh staf teknis yang akan menerapkan keamanan dan dapat memahami informasi yang lebih rinci tentang kontrol mana yang harus dipilih dan diterapkan.
- NIST MEP Cybersecurity Self-Assessment Handbook akan membantu perusahaan Anda patuh terhadap NIST SP 800-171 Security Requirements in Response to DFARS Cybersecurity Requirements. Buku pedoman ini memberikan panduan langkah demi langkah untuk menilai sistem informasi produsen kecil terhadap persyaratan keamanan dalam NIST SP 800-171 rev 1, "Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations."
- Payment Card Industry Data Security Standard (PCI DSS) adalah serangkaian kebijakan dan prosedur yang luas diterima yang dimaksudkan untuk mengoptimalkan keamanan transaksi kartu kredit, debet dan tunai. PCI DSS diciptakan pada 2004 oleh Visa, MasterCard, Discover, dan American Express. Mempertahankan keamanan pembayaran diwajibkan untuk semua perusahaan yang menyimpan, memproses atau mentransmisikan data pemegang kartu. Pelanggaran atau pencurian data pemegang kartu mempengaruhi seluruh ekosistem pembayaran kartu. Beberapa contoh dampak pada perusahaan Anda adalah kehilangan kepercayaan pelanggan, penurunan penjualan, kerugian penipuan, biaya hukum, denda, dan penutupan kemampuan untuk menerima pembayaran kartu. Mempertahankan kepatuhan PCI DSS sangat penting untuk keberhasilan jangka panjang perusahaan yang memproses pembayaran kartu dan menjaga pertahanan siber siap terhadap serangan yang bertujuan untuk mencuri data pemegang kartu. Sebagian besar perusahaan kecil dapat menggunakan alat validasi mandiri untuk menilai tingkat keamanan data pemegang kartu.
4. Apa itu otentikasi dua faktor dan bagaimana saya mengaktifkannya? Mengapa kata sandi tidak cukup?
Otentikasi dua faktor (2FA) adalah lapisan keamanan tambahan yang digunakan untuk memastikan bahwa Anda adalah siapa yang Anda katakan. Masalahnya adalah nama pengguna dan kata sandi saja mudah ditebak, dan orang menggunakan kata sandi yang sama untuk banyak situs. Insiden yang diungkapkan secara publik mengungkapkan bahwa 5.518 rekaman bocor setiap menit.
2FA mencegah orang lain dengan mudah mendapatkan akses ke akun Anda. Ketika 2FA diaktifkan, Anda memasukkan nama pengguna dan kata sandi Anda ke halaman login. Kemudian, daripada segera mendapatkan akses, Anda akan diminta untuk memberikan informasi lain. Faktor kedua ini dapat salah satu dari berikut ini:
- Sesuatu yang Anda ketahui – nomor identitas pribadi (PIN), passphrase atau jawaban atas pertanyaan rahasia.
- Sesuatu yang Anda miliki – kartu kredit, kartu kunci, smartphone, token perangkat keras atau perangkat lunak atau notifikasi dari situs.
- Sesuatu yang Anda miliki – pola biometrik sidik jari, pemindaian iris atau cetak suara.
Jika Anda tidak yakin apakah situs atau aplikasi Anda memiliki 2FA, kunjungi TwoFactorAuth.org untuk mengetahuinya.
Aktifkan 2FA untuk semua akun. Lihat instruksi langkah demi langkah Telesign untuk mengaktifkan 2FA: https://www.turnon2FA.com.
5. Apakah ada proses persetujuan untuk membeli aplikasi yang saya temukan yang berguna untuk pekerjaan saya?
Sebagian besar perusahaan memiliki kebijakan tentang cara membeli perangkat lunak (baik kotak/online atau dihosting eksternal di cloud). Penting untuk mengetahui aplikasi mana yang dapat Anda gunakan segera, dan mana yang mungkin memerlukan investigasi lebih lanjut untuk memastikan aman enough untuk penggunaan Anda dan data yang akan diproses dan/atau disimpan di dalamnya. Ketahui apa yang diperlukan dan bekerja sama dengan profesional keamanan siber Anda untuk melalui proses yang diperlukan untuk memastikan informasi akan diamankan dengan benar.
Jika Anda ingin lebih memahami risiko keamanan siber Anda, Anda dapat menggunakan Alat Penilaian Mandiri Keamanan Siber MEP National Network™. Jika Anda memiliki pertanyaan atau ingin berbicara dengan profesional keamanan siber, hubungi Pusat Jaringan MEP Nasional lokal Anda.
