Dapatkah Rantai Pasokan A.S. Diselamatkan dari Serangan Siber?
Pada bulan Februari, Presiden Joe Biden menandatangani Perintah Eksekutif 14017, menyerukan tinjauan komprehensif rantai pasokan AS yang kritis. Tindakan itu sebagai tanggapan atas kelangkaan pasokan medis seperti alat pelindung diri (APD) untuk petugas kesehatan garda depan selama puncak pandemi COVID-19. Kebutuhan lain yang diidentifikasi oleh pesanan termasuk chip semikonduktor untuk industri otomotif dan aplikasi teknologi tinggi lainnya.
Masalah-masalah ini menghambat kemampuan orang Amerika untuk mendapatkan produk penting, dan menciptakan ketidakstabilan bagi pekerja di industri yang terkena dampak. Tujuan dari orde baru, menurut Gedung Putih, adalah untuk secara proaktif mengatasi masalah seperti itu sebelum terulang kembali.
“Meskipun kami tidak dapat memprediksi krisis apa yang akan menimpa kami, kami harus memiliki kapasitas untuk merespons dengan cepat dalam menghadapi tantangan,” kata Gedung Putih. “Amerika Serikat harus memastikan bahwa kekurangan produksi, gangguan perdagangan, bencana alam, dan tindakan potensial oleh pesaing dan musuh asing tidak akan membuat Amerika Serikat rentan lagi.”
Kampanye Presiden memperjelas bahwa pemerintahannya berkomitmen untuk menangani risiko rantai pasokan secara komprehensif. Tapi apakah inisiatif ini akan berhasil?
Dari sudut pandang keamanan, ada sejumlah masalah yang harus dipertimbangkan oleh Administrasi. Kegagalan untuk melakukannya akan mengakibatkan duplikasi waktu dan usaha, pemborosan sumber daya sementara gagal untuk mengurangi risiko dunia maya yang dapat mengakibatkan serangan rantai pasokan lain.
Langkah pertama untuk memastikan keamanan rantai pasokan A.S. adalah mengidentifikasi kerentanan dan risikonya. Perintah eksekutif Biden berfokus pada enam sektor:basis industri pertahanan, kesehatan masyarakat, teknologi informasi dan komunikasi, tenaga dan energi, transportasi, dan pertanian.
Ketergantungan rantai pasokan pada produk dan layanan digital telah menciptakan kerentanan serius, menjadikan keamanan siber sebagai bagian penting dari tinjauan tersebut. Ketakutan bahwa aktor negara-bangsa dapat memutuskan untuk menahan rantai pasokan melalui kejahatan dunia maya adalah nyata. Bagian 4.4 dari perintah eksekutif memperjelas bahwa manajemen risiko dunia maya adalah perhatian utama dan area fokus. Dalam setahun, laporan harus diserahkan yang mencakup keadaan ketergantungan rantai pasokan saat ini pada negara-negara pesaing. Bagaimana pemerintah melibatkan komunitas keamanan informasi untuk tujuan ini akan membuat atau menghancurkan inisiatif di semua sektor.
Memastikan Hasil dalam Satu Tahun
Usaha tersebut mencakup banyak wilayah untuk jangka waktu satu tahun. Sangat penting bahwa komunitas keamanan dan teknologi informasi, mengambil pelajaran dari tahun lalu, memberikan masukan kepada pihak-pihak yang mendorong inisiatif. Upaya kelompok industri seperti pusat berbagi informasi dan analisis (ISAC) dan Dewan Koordinasi Sektor TI (ITSCC) akan menjadi inti keberhasilan. Selain itu, ada segunung data dan analitik yang keluar dari empat perusahaan konsultan besar yang risikonya diprioritaskan saat berurusan dengan pihak ketiga.
Departemen Pertahanan AS harus memainkan peran kunci dalam membantu inisiatif untuk diluncurkan dengan mulus. Upaya serupa yang diawasi oleh DOD adalah Cybersecurity Maturity Model Certification (CMMC), yang mengharuskan pemasok bahan yang dikontrak pemerintah untuk memenuhi standar tertentu. Salah satu saran kunci, berdasarkan reaksi publik dan swasta terhadap CMMC sejauh ini, adalah untuk menghindari sebanyak mungkin pencampuran proses pemberian kontrak dan peninjauan. Pemimpin sektor industri dan lembaga pemerintah harus bekerja sama untuk memutuskan standar yang sederhana namun efektif untuk dunia maya di berbagai rantai pasokan secara sederhana.
Pentingnya Standardisasi
Menciptakan kemitraan yang tepat dan memperoleh masukan dari pakar keamanan informasi adalah satu hal, tetapi memastikan peningkatan kematangan keamanan siber di seluruh rantai pasokan AS adalah hal lain. Komunikasi adalah satu-satunya elemen yang dapat membuat atau menghancurkan persyaratan baru ketika diluncurkan ke ekosistem sebesar ini. Ini didorong oleh pengukuran, dengan hasil yang distandarisasi di seluruh kelompok terlepas dari tingkat kematangan keamanan siber mereka. Standar seperti subkategori Manajemen Risiko Rantai Pasokan NIST CSF atau CMMC yang disebutkan sebelumnya adalah alat yang hebat untuk memperjelas persyaratan, dan menerapkannya secara efektif di seluruh rantai pasokan. Metodologi penilaian dunia maya di bawah NIST CSF sangat berharga dalam menyediakan konteks bagi pemasok dengan sedikit pengetahuan tentang keamanan informasi.
Dalam hal pengukuran, mengesampingkan semua potensi risiko dalam rantai pasokan A.S. tidak mungkin, mengingat kompleksitas ekosistem rantai pasokan global. Namun demikian, sangat berharga untuk mengidentifikasi skenario yang memeriksa berbagai titik kegagalan potensial. Memanfaatkan metodologi kuantifikasi risiko yang ada dengan cara yang kreatif adalah kunci untuk mencapai ketahanan sejati. Sangat penting bagi perusahaan untuk memahami risiko rantai pasokan sebagai sarana untuk mencapai tata kelola yang baik, memanfaatkan masukan dari tim keamanan, berbagi data dan informasi, dan kemajuan dalam perangkat lunak manajemen risiko.
Kita hanya bisa berharap bahwa inisiatif rantai pasokan Biden akan memanfaatkan data yang ada dari peristiwa masa lalu, dan analisis prediktif tentang masa depan. Bisakah seluruh rantai pasokan dijadikan patokan, dan semua kerentanan diidentifikasi dalam satu tahun? Dan bisakah kita mengurangi risiko dunia maya yang parah dalam rantai pasokan A.S.? Itu masih harus dilihat.
Padraic O'Reilly adalah salah satu pendiri dan chief product officer CyberSaint.
