5 Pertanyaan Keamanan Siber Teratas yang Sering Diajukan Produsen tentang Kepatuhan Pemerintah
Tulisan ini sebelumnya muncul di Industry Today. Tulisan tamu oleh Jennifer Kurtz, Direktur Program Siber di Manufacturer's Edge, Pusat NIST MEP di Colorado dan perwakilan MEP National Network™.
Menurut U.S. Department of Homeland Security, manufaktur adalah industri kedua yang paling ditargetkan berdasarkan jumlah serangan siber yang dilaporkan. Lebih lanjut, pelaku kejahatan siber melihat produsen kecil dan menengah (SMM) sebagai target utama karena banyak dari perusahaan ini tidak memiliki tindakan pencegahan yang memadai.
Untuk kontraktor dan subkontraktor Departemen Pertahanan (DoD), bisnis asa-asa saja tidak lagi berlaku. Pemerintah federal, yang semakin bergantung pada penyedia layanan eksternal untuk melakukan bisnis, telah meningkatkan taruhan ketika berkaitan dengan melindungi Controlled Unclassified Information (CUI) dalam sistem informasi dan organisasi nonfederal. Sejak 31 Desember 2017, semua kontraktor pemerintah federal diwajibkan untuk memenuhi persyaratan keamanan siber minimum Defense Acquisition Regulation Supplement (DFARS) atau risiko kehilangan kontrak mereka. Meskipun batas waktu ini telah lewat, banyak SMM kurang memiliki pengetahuan dan sumber daya untuk meningkatkan sistem mereka dan bingung bagaimana memenuhi 110 persyaratan keamanan baru ini. Yang patut dicatat, Federal Acquisition Regulation, yang berlaku untuk kontraktor pemerintah yang bekerja atas nama General Services Administration (GSA) dan National Aeronautics and Space Administration (NASA), segera akan mencakup persyaratan keamanan siber yang serupa.
MEP National Network, kemitraan publik-swasta yang menyediakan solusi terpadu dan teruji bagi produsen AS, telah secara aktif memberikan kesadaran dan bantuan untuk membantu produsen AS melindungi aset informasi mereka dari risiko serangan siber. Organisasi dan mitra mereka juga berfungsi sebagai sumber daya nasional bagi produsen AS yang mencoba menerapkan keamanan yang memadai untuk melindungi Controlled Unclassified Information yang disimpan, diproses dan ditransmisikan.
Berikut ini adalah lima pertanyaan yang paling sering saya dengar dari SMM tentang pedoman keamanan DFARS pemerintah federal.
P: Apa itu Controlled Unclassified information (CUI) dan bagaimana saya tahu apakah saya menangani jenis informasi ini sebagai bagian dari kontrak saya?
A: Controlled unclassified information (CUI) adalah data yang milik pemerintah. Ini adalah informasi yang pemerintah ingin dijaga agar aman, tetapi tidak vital bagi keamanan nasional. Klausul DFARS 252.204.7012 mungkin muncul dalam kontrak Anda, tetapi hanya berlaku jika Anda memproses, menyimpan atau mentransmisikan CUI. CUI dapat mencakup: data penelitian dan rekayasa, gambar rekayasa, spesifikasi, manual, laporan teknis, studi dan analisis, dan kode sumber serta kode executable perangkat lunak komputer. CUI akan memiliki tanda dan instruksi penanganan khusus seperti FOUO (For Official Use Only). Untuk informasi lebih lanjut tentang tanda CUI lihat CUI registry.
P: Apakah kepatuhan DFARS diwajibkan oleh hukum?
A: Setiap kontraktor atau subkontraktor yang memiliki klausul DFARS dalam kontrak mereka secara hukum diwajibkan untuk patuh. Jika Anda secara palsu mengklaim patuh, Anda berisiko kehilangan kontrak pemerintah dan semua pendapatan terkait dan kemungkinan besar tidak akan layak untuk kontrak pemerintah di masa depan.
P: Saya memiliki bisnis kecil dan kontrak pemerintah saya skala kecil. Apakah kepatuhan DFARS berlaku untuk saya?
A: Terlepas dari ukuran perusahaan atau kontrak Anda, jika Anda adalah kontraktor atau subkontraktor pemerintah federal yang memproses, menyimpan atau mentransmisikan CUI Anda harus patuh. Pelaku kejahatan siber menargetkan perusahaan yang lebih kecil karena biasanya mereka memiliki lebih sedikit tindakan keamanan. Perusahaan di level bawah rantai pasokan mungkin lebih mudah ditembus daripada mencoba membobok jaringan target utamanya. Serangan rantai pasokan mungkin menjadi jalur yang lebih mudah menuju informasi pemerintah yang tidak diklasifikasikan daripada mencoba mengakses jaringan pemerintah secara langsung.
P: Bagaimana saya tahu apakah perusahaan saya saat ini patuh DFARS?
A: Konsultasikan NIST Handbook 162. Buku pedoman ini memberikan panduan langkah demi langkah untuk menilai sistem informasi produsen terhadap persyaratan keamanan DFARS.
P: Organisasi saya tidak memenuhi pedoman minimum DFARS tetapi saya tidak tahu di mana memulai proses kepatuhan?
A: Menerapkan rencana keamanan siber yang disetujui pemerintah dapat menjadi tugas yang menakutkan. Anda dapat memulai dengan meninjau publikasi NIST SP 800-171 yang menguraikan persyaratan DFARS. Anda juga dapat menghubungi MEP National Network untuk menghubungkan Anda dengan Pusat MEP lokal Anda. Pusat MEP Lokal menawarkan berbagai layanan dan inisiatif gratis atau terjangkau untuk memandu produsen melalui proses kepatuhan. Layanan ini termasuk koneksi ke ahli keamanan siber yang dapat mengembangkan analisis kesenjangan terperinci dari protokol dan prosedur dan membuat rencana tindakan yang mengatasi kerentanan dan masalah kepatuhan lainnya.
P: Perusahaan saya bukan kontraktor pemerintah, tetapi saya ingin meningkatkan protokol keamanan siber kami. Bisakah saya menggunakan pedoman DFARS?
A: Tentu saja. Produsen yang beroperasi dalam rantai pasokan komersial harus serius mempertimbangkan untuk menerapkan persyaratan keamanan DFARS sebagai aspek integral dalam mengelola risiko organisasi mereka.
Seiring dengan sektor manufaktur semakin digital, kebutuhan untuk memahami, mengurangi dan merespons ancaman siber yang semakin kompleks telah menjadi biaya berbisnis.
