Perhatian Perusahaan:Perangkat IoT Adalah Pintu Menuju Serangan Siber

Internet of things menawarkan bisnis tingkat visibilitas dan kontrol yang belum pernah terjadi sebelumnya atas rantai pasokan mereka. Tapi itu juga membuka pintu bagi serangan siber yang berpotensi melumpuhkan.

Sebuah studi baru dari Ponemon Institute mengungkapkan peningkatan tajam dalam pelanggaran data yang disebabkan oleh perangkat IoT pihak ketiga yang tidak aman. Dan ini menunjukkan bahwa pakar keamanan tingkat atas tidak berbuat cukup untuk menghentikan mereka.

Studi tahunan ketiga institut tentang Risiko IoT pihak ketiga diberi judul "Perusahaan Tidak Tahu Apa yang Tidak Mereka Ketahui." Memang, ketidaktahuan tentang bahaya serangan siber tampaknya telah meningkatkan kerentanan banyak bisnis. Pelanggaran terkait IoT naik setidaknya 26 persen sejak 2017, temuan studi tersebut. (Jumlahnya mungkin lebih tinggi, menurut catatan penulis, karena sebagian besar perusahaan tidak mengetahui setiap perangkat atau aplikasi tidak aman di tempat mereka yang berasal dari vendor pihak ketiga.)

Pada saat pelanggaran data menjadi endemik, keamanan siber tampaknya tidak menjadi prioritas utama bagi banyak perusahaan — setidaknya dalam hal menginvestasikan sumber daya di area itu. Pengawasan oleh manajemen puncak sangat kurang. Menurut penelitian tersebut, kurang dari setengah anggota dewan perusahaan telah menyetujui program yang dimaksudkan untuk mengurangi risiko serangan siber pihak ketiga. Hanya 21 persen yang sepenuhnya memahami sifat dari risiko tersebut, dan “sangat terlibat” dalam langkah-langkah keamanan yang diperlukan untuk mengatasinya.

Dalam mengantisipasi risiko dunia maya, sikap yang lazim tampaknya adalah fatalisme. Studi tersebut menemukan 87 persen responden percaya bahwa organisasi mereka sendiri akan mengalami serangan siber yang disebabkan oleh perangkat atau aplikasi IoT yang tidak aman dalam 24 bulan ke depan. Dan 84 persen memperkirakan akan mengalami pelanggaran data dalam jangka waktu yang sama.

Versi terbaru dari penelitian ini melibatkan 600 responden yang memenuhi syarat dan sekitar 450 perusahaan unik, menurut Larry Ponemon, salah satu pendiri Ponemon Institute. Dalam apa yang disebutnya sebagai “pengambilan sampel yang eklektik namun menarik”, peserta termasuk pakar di bidang IT, perlindungan data, teknologi pihak ketiga, dan regulasi.

“Pihak ketiga” berarti seluruh vendor, kontraktor, mitra penyalur, dan afiliasi internal dari luar perusahaan IT sendiri. lingkungan, catat Charlie Miller, penasihat senior Program Penilaian Bersama, unit The Santa Fe Group yang mengkhususkan diri dalam menilai risiko pihak ketiga.

Perangkat IoT luar biasanya berupa sensor, perangkat pintar, printer, kamera, termostat sarang, asisten digital pribadi yang diaktifkan dengan suara — singkatnya, apa pun yang berisi elektronik yang dapat terhubung ke jaringan perusahaan.

Tidak menyukai teknologi yang tidak aman ini, yang sebagian besar diperkenalkan ke jaringan melalui perangkat pribadi karyawan, manajemen tidak melihatnya sebagai risiko besar, kata Ponemon. Miller menambahkan bahwa masalahnya diperparah oleh peningkatan besar jumlah perangkat IoT yang memasuki pasar dalam beberapa tahun terakhir.

Masing-masing perangkat tersebut memiliki alamat IP yang unik dan mewakili titik kerentanan potensial di mana peretas atau pencuri dunia maya dapat mengakses data kepemilikan. Sebelum mengizinkan salah satu dari mereka untuk diperkenalkan ke jaringan, perusahaan perlu memahami dengan tepat apa yang ingin dilakukan perangkat, jenis data apa yang akan dikumpulkan, dan bagaimana informasi itu akan dikirimkan.

“Semua hal itu adalah konsep dasar yang belum mengkristal di ruang IoT yang besar ini,” kata Miller.

Dalam menghadapi serangan gencar ini, mengapa perusahaan tidak lebih proaktif dalam mencegahnya? Ponemon menunjukkan masalahnya terletak pada kurangnya akuntabilitas dalam organisasi. Selain itu, perangkat IoT sangat nyaman digunakan, dengan pemilik yang tidak terlalu memikirkan bagaimana perangkat tersebut dapat membahayakan keamanan perusahaan.

Miller melihat beberapa tanda pencerahan di antara tim dan organisasi keamanan. Industri tertentu seperti produsen perangkat medis lebih fokus pada masalah ini daripada yang lain, sebagian besar karena mereka tunduk pada peraturan yang berat. (Administrasi Makanan dan Obat-obatan, misalnya, memiliki “aturan ketat tentang perangkat yang akan ditanamkan pada manusia,” kata Miller.) Undang-undang baru seperti California Consumer Privacy Act membatasi penggunaan data konsumen oleh pedagang untuk tujuan pemasaran. Selain itu, anggota parlemen menargetkan produsen dengan langkah-langkah yang memerlukan tingkat keamanan bawaan yang lebih tinggi untuk perangkat berbasis IoT. (Melarang, misalnya, penggunaan kata sandi default yang mudah diretas, yang diabaikan oleh banyak pengguna.)

Upaya lain untuk memperketat keamanan siber sedang dipelopori oleh organisasi seperti Institut Nasional Standar dan Teknologi, yang standarnya diterima secara global, dan Otoritas Moneter Singapura, bank sentral negara itu. Empat dari lima rekomendasi terakhir untuk meningkatkan keamanan disertakan dalam studi Ponemon.

“Anda perlu memahami perangkat apa saja yang Anda miliki dalam organisasi Anda sendiri, dan yang diizinkan untuk digunakan oleh pihak ketiga Anda,” kata Miller. “Dan Anda perlu memastikan bahwa cara perangkat terpasang tersegmentasi dari departemen produksi Anda. Jadi, jika ada pelanggaran, ada isolasi ke segmen non-produksi dari jaringan Anda.”

Pendidikan adalah yang terpenting, kata Ponemon, menekankan bahwa kesadaran akan risiko dunia maya harus dijalankan dari setiap karyawan hingga jajaran eksekutif, serta mitra rantai pasokan eksternal dan pelanggan.

Miller mengatakan perusahaan harus melakukan kasus penggunaan sebelum melakukan penggunaan perangkat IoT apa pun, untuk menentukan potensi penyalahgunaan. Misalnya, sistem pemantauan yang ditemukan di mobil modern dapat memungkinkan peretas untuk mengendalikan kendaraan dari jarak jauh. “Industri transportasi melihat ini dengan sangat serius,” katanya.

Pada akhirnya, itu tergantung pada kewaspadaan di pihak pengguna. “Kebersihan dunia maya adalah tanggung jawab individu,” kata Ponemon. “Itu kritis. Ini bukan hanya tentang IoT — ini tentang segalanya.”