Mengapa Perangkat IoT Adalah Ancaman Siber: Lindungi Bisnis Anda Hari Ini
Internet of things menawarkan bisnis tingkat visibilitas dan kontrol yang tak tertandingi atas rantai pasok mereka. Tetapi itu juga membuka pintu untuk potensi serangan siber yang merusak.
Studi baru dari Ponemon Institute mengungkapkan peningkatan tajam dalam pelanggaran data yang disebabkan oleh perangkat IoT pihak ketiga yang tidak aman. Dan itu menunjukkan bahwa para ahli keamanan teratas tidak melakukan cukup untuk mencegahnya.
Studi tahun ketiga institusi ini tentang Risiko IoT Pihak Ketiga berjudul "Companies Don't Know What They Don't Know." Memang, ketidaktahuan tentang bahaya serangan siber tampaknya telah meningkatkan kerentanan banyak bisnis. Pelanggaran terkait IoT meningkat setidaknya 26 persen sejak 2017, temuan studi. (Angkanya mungkin lebih tinggi, penulis catat, karena sebagian besar perusahaan tidak sadar tentang setiap perangkat atau aplikasi yang tidak aman di tempat mereka yang berasal dari vendor pihak ketiga.)
Pada saat pelanggaran data semakin endemic, keamanan siber tidak tampak menjadi prioritas yang sangat tinggi bagi banyak perusahaan —setidaknya ketika datang untuk menginvestasikan sumber daya di area ini. Pengawasan oleh pimpinan atas sangat kurang. Menurut studi, kurang dari setengah anggota dewan perusahaan telah menyetujui program yang dimaksudkan untuk mengurangi risiko pihak ketiga terhadap serangan siber. Hanya 21 persen yang sepenuhnya memahami sifat risiko itu, dan "terlibat tinggi" dalam langkah keamanan yang diperlukan untuk mengatasinya.
Ketika datang untuk mengantisipasi risiko siber, sikap yang prevalen tampaknya adalah fatalisme. Studi menemukan 87 persen responden percaya organisasi mereka sendiri akan mengalami serangan siber yang disebabkan oleh perangkat atau aplikasi IoT yang tidak aman dalam 24 bulan ke depan. Dan 84 persen mengharapkan mengalami pelanggaran data dalam periode waktu yang sama.
Versi terbaru studi ini didasarkan pada 600 responden yang memenuhi syarat dan sekitar 450 perusahaan unik, menurut Larry Ponemon, pendiri Ponemon Institute. Dalam apa yang dinamainya "sampel yang eklektik namun menarik," peserta termasuk ahli di bidang TI, perlindungan data, teknologi pihak ketiga dan regulasi.
"Pihak ketiga" berarti rentang penuh vendor, kontraktor, mitra saluran dan afiliasi internal dari luar lingkungan TI sendiri perusahaan, catat Charlie Miller, senior adviser dari Shared Assessments Program, unit dari The Santa Fe Group yang spesialisasi dalam menilai risiko pihak ketiga.
Perangkat IoT luar biasanya berupa sensor, perangkat pintar, printer, kamera, termostat nest, asisten digital pribadi yang diaktifkan suara —singkatnya, apa pun yang mengandung elektronik yang dapat terhubung ke jaringan perusahaan.
Meskipun ini berbagai teknologi yang tidak aman, sebagian besar yang diperkenalkan ke jaringan melalui perangkat pribadi karyawan, manajemen tidak melihatnya sebagai risiko besar, kata Ponemon. Miller menambahkan bahwa masalah semakin memburuk oleh peningkatan besar dalam jumlah perangkat IoT yang telah memasuki pasar dalam beberapa tahun terakhir.
Setiap perangkat tersebut memiliki alamat IP unik dan mewakili titik kerentanan potensial di mana perambat atau pencuri siber dapat mengakses data milik perusahaan. Sebelum mengizinkan salah satunya diperkenalkan ke jaringan, perusahaan perlu memahami dengan tepat apa yang dimaksudkan perangkat untuk dilakukan, jenis data apa yang dimaksud untuk dikumpulkan, dan bagaimana informasi itu akan ditransmisikan.
"Semua hal ini adalah konsep dasar yang belum kristal dalam ruang IoT yang besar ini," kata Miller.
Di tengah ombak serangan ini, mengapa perusahaan tidak lebih proaktif dalam mencegahnya? Ponemon menyarankan masalahnya terletak pada kurangnya akuntabilitas di dalam organisasi. Selain itu, perangkat IoT nyaman untuk digunakan, dengan pemilik memberikan sedikit pikiran tentang bagaimana mereka mungkin membahayakan keamanan perusahaan.
Miller melihat beberapa tanda kebanggaan di antara tim keamanan dan organisasi. Beberapa industri seperti produsen peralatan medis lebih fokus pada isu ini daripada yang lain, sebagian besar karena mereka tunduk pada regulasi yang berat. (Misalnya, Food and Drug Administration memiliki "aturan yang ketat tentang perangkat yang akan ditanamkan pada manusia," kata Miller.) Legislasi baru seperti California Consumer Privacy Act menindas penggunaan data konsumen oleh pedagang untuk tujuan pemasaran. Selain itu, legislator menargetkan produsen dengan upaya yang akan mengharuskan tingkat keamanan bawaan yang lebih tinggi untuk perangkat berbasis IoT. (Misalnya, melarang penggunaan kata sandi default yang mudah dirusak, yang banyak pengguna abaikan untuk mengubahnya.)
Upaya lain untuk mengecilkan keamanan siber dipimpin oleh organisasi seperti National Institute of Standards and Technology, yang standarnya diterima secara global, dan Monetary Authority of Singapore, bank sentral negara tersebut. Empat dari lima rekomendasi yang latter untuk meningkatkan keamanan disertakan dalam studi Ponemon.
"Anda perlu memahami perangkat apa yang Anda miliki dalam organisasi Anda, dan yang Anda izinkan untuk digunakan oleh pihak ketiga Anda," kata Miller. "Dan Anda perlu memastikan bahwa cara perangkat terhubung tersegmentasi dari departemen produksi Anda. Jadi jika terjadi pelanggaran, ada isolasi ke segmen non-produksi dari jaringan Anda."
Pendidikan adalah yang terpenting, kata Ponemon, menekankan bahwa kesadaran akan risiko siber harus berjalan dari setiap karyawan individu sampai suite eksekutif, serta ke mitra rantai pasok eksternal dan pelanggan.
Miller mengatakan perusahaan harus melakukan use cases sebelum berkomitmen untuk menggunakan perangkat IoT apa pun, untuk menentukan potensi penyalahgunaan. Misalnya, sistem pemantauan yang ditemukan di mobil modern dapat memungkinkan perambat untuk mengambil kendali kendaraan dari jarak jauh. "Industri transportasi melihat hal ini sangat serius," katanya.
Pada akhirnya, ini kembali pada waspada dari pihak pengguna. "Higiene siber adalah tanggung jawab individu," kata Ponemon. "Itu sangat penting. Itu bukan hanya tentang IoT —itu tentang semua hal."
