Mengamankan Rantai Pasokan Global: Memanfaatkan Data Tanpa Batas untuk Pertahanan Siber

Serangan siber rantai pasokan bukan hal baru, namun masih jauh dari terkontrol.

Studi terbaru dari Resilience 360 menemukan bahwa ada hampir 300 insiden keamanan siber yang mempengaruhi entitas rantai pasokan pada 2019. Dengan bisnis rata-rata berbagi data dengan lebih dari 500 pihak ketiga, tidak heran Ponemon Institute melaporkan bahwa sekitar 61% perusahaan AS telah mengalami kebocoran data dalam rantai pasokan mereka.

Sementara tekanan geopolitik mendorong sebagian besar serangan tersebut, tahun 2020 telah menghasilkan badai sempurna peluang, karena COVID-19 memaksa sebagian besar tenaga kerja global untuk beralih ke kerja jarak jauh. Organisasi dari pemerintah hingga bisnis harus bertanggung jawab untuk melindungi data yang mereka proses dan bagikan. Dengan kolaborasi yang begitu penting untuk mempertahankan inovasi dan produktivitas, ini harus dilakukan tanpa menghambat aliran ide dan informasi, atau membuat sistem dan proses tidak dapat digunakan.

Saat COVID-19 menghantam AS dengan kuat pada kuartal pertama tahun ini, organisasi merespons dengan memindahkan karyawan ke kerja jarak jauh hampir semalam. Per Juni 2020, angka luar biasa sebesar 42% pekerja AS sedang menjalankan bisnis secara jarak jauh dari rumah dan memindahkan kantor. Dengan tenaga kerja yang sangat mobile, dan ekosistem pemasok yang semakin kompleks dan tersebar di seluruh dunia, ancaman terhadap kekayaan intelektual dan informasi rahasia atau sensitif semakin intens.

Tim proyek menggunakan platform mobile dan cloud setiap hari untuk berbagi dan menyimpan data, yang berpotmenya mengeksposnya ke akses oleh pengguna yang tidak berwenang. Data juga dibawa secara fisik keluar organisasi pada smartphone, hard drive yang dapat dilepaskan, dan perangkat penyimpanan USB yang rentan terhadap pencurian dan kehilangan. Dalam konteks ini, data terus melintasi perbatasan perusahaan dan negara. Tidak ada lagi perisai yang jelas untuk dipertahankan.

Sementara perengkakan sengaja sekarang sudah biasa, salah satu ancaman terbesar terhadap keamanan tetap adalah pencurian, kehilangan, dan penyalahgunaan data yang sedang berjalan. Penelitian Apricorn pada 2018 mencatat bahwa 29% organisasi yang disurvei telah mengalami kebocoran data sebagai hasil langsung dari kerja mobile. Penelitian yang sama yang dilakukan pada 2020 menunjukkan bahwa lebih dari setengah responden masih percaya bahwa pekerja jarak jauh akan mengekspos organisasi mereka pada risiko kebocoran data.

Selanjutnya, penelitian terbaru dari Digital Guardian menunjukkan peningkatan 123% dalam volume data yang diunduh ke media USB oleh karyawan sejak COVID-19 melanda, yang menunjukkan tim menggunakan penyimpanan yang dapat dilepaskan untuk membawa volume data yang besar ke rumah. Kecuali perangkat ini dienkripsi, hanya masalah waktu sebelum kita melihat lonjakan kebocoran data yang terkait dengan kerentanan pekerja jarak jauh.

Pendekatan keamanan yang berpusat pada data dan berbasis kebijakan akan melindungi informasi itu sendiri, di dalam dan di luar sistem pusat organisasi, baik saat berjalan maupun saat diam, sambil memungkinkan komunikasi yang aman. Jawabannya terletak pada pendekatan berlapis yang menggabungkan orang, proses, dan teknologi.

Mulai dari dalam. Keamanan tidak hanya tentang solusi teknologi. Pelatihan kesadaran keamanan dan program keterlibatan perlu diperluas ke tim mitra dan kontraktor. Tujuan Anda di sini adalah untuk membuat semua karyawan sadar akan nilai dan risiko yang terkait dengan data, dan untuk menentukan serta memperkuat peran mereka dalam melindunginya.

Selanjutnya, terapkan praktik terbaik keamanan data, dan kelola penerapannya. Anda dapat memberikan keuntungan bagi organisasi Anda dengan menciptakan praktik dan kebijakan tentang cara berinteraksi dan mengamankan data. Dengan merinci dan menegakkan praktik terbaik untuk tim dan rantai pasokan Anda, Anda membantu membangun budaya akuntabilitas.

Pikirkan data dalam hal siklus hidup. Setelah menciptakan praktik terbaik untuk bekerja dengan dan mengamankan data, organisasi harus melakukan audit yang menyeluruh, mencakup:

• Jenis data apa yang dimiliki, dan untuk tujuan apa;
• Siapa yang memiliki akses ke data tersebut;
• Ke mana data mengalir, dan
• Bagaimana saat ini dikendalikan.

Ini akan memudahkan untuk menemukan area ketidakpatuhan, menentukan di mana data mungkin tidak terlindungi, dan mengidentifikasi teknologi, kebijakan, dan proses yang dapat meminimalkan paparan risiko.

Tegakkan keamanan. Tetapkan strategi yang mencakup dokumentasi dan penerapan kebijakan yang mengendalikan cara data sensitif ditangani dan digunakan, dan diperluas ke semua titik akhir, termasuk mitra dan kontraktor. Enkripsi harus menjadi elemen kunci strategi. Jika perangkat media yang dapat dilepaskan jatuh ke tangan yang salah, informasi yang dienkripsi akan menjadi tidak dapat dipahami oleh siapa saja yang mencoba mengaksesnya.

Terutama di "new normal" kerja jarak jauh, sangat penting bagi departemen IT untuk meneliti, mengidentifikasi, dan menetapkan standar korporat perangkat penyimpanan mobile yang dienkripsi, dan menegakkan penggunaannya melalui kebijakan whitelisting. Perangkat harus dapat dikonfigurasi sebelumnya untuk memenuhi persyaratan keamanan, seperti kekuatan kata sandi.

Dan, karena kita membicarakan rantai pasokan, persyaratan harus ditulis dalam kontrak pihak ketiga — yang menentukan, misalnya, alat dan teknologi yang harus digunakan, dan kapan harus diperbarui. Organisasi mungkin mengambil pendekatan yang lebih proaktif dan menetapkan persyaratan ini ke dalam proses permintaan proposal (RFP), sehingga harapan ditetapkan sebelum pihak ketiga dipilih.

Ukur, pantau, dan laporkan. Bagi tim IT dan keamanan, peribahasa "Anda tidak dapat mengelola apa yang tidak dapat Anda ukur" sangat sesuai. Audit berkelanjutan atas kepatuhan, baik dalam organisasi maupun di seluruh rantai pasokan, memberikan visibilitas cepat atas pelanggaran kebijakan, sehingga dapat ditangani melalui pelatihan atau prosedur disiplin. Pemantauan juga akan memberikan jejak audit terperinci yang memungkinkan organisasi untuk menunjukkan posisi kepatuhan mereka, serta catatan yang akurat tentang perilaku pengguna yang tidak patuh.

Kombinasi langkah teknis dan organisasi dapat membantu mengurangi paparan risiko di rantai pasokan, sambil memungkinkan pertukaran dan mobilitas informasi yang aman saat kita terus bekerja dari rumah. Bisnis yang mengendalikan data mereka dengan baik dapat melindungi kerahasiaan, keamanan nasional, dan reputasi mereka sendiri tanpa mengorbankan efisiensi, kelincahan, atau daya saing mereka.

Rantai pasokan yang terus berkembang, bersama dengan perubahan dramatis dalam cara dan tempat kita bekerja, berarti organisasi harus terus fokus pada keamanan pihak ketiga. Dengan menciptakan rencana keamanan data strategis yang melakukan audit dan pengukuran sepanjang jalan, dengan penekanan pada kesadaran dan pelatihan karyawan, kita dapat mengamankan rantai pasokan kami meski penghapusan perbatasan fisik.

Jon Fielding is managing director at Apricorn, a manufacturer of hardware-encrypted USB data storage devices.