Melindungi Rantai Pasokan Amerika: Strategi Mengurangi Ancaman Siber
Pada Februari, Presiden Joe Biden menandatangani Perintah Eksekutif 14017, yang meminta tinjauan komprehensif atas rantai pasokan kritis AS. Tindakan ini sebagai respons atas kekurangan persediaan medis seperti peralatan pelindung diri (PPE) bagi tenaga kesehatan garis depan pada puncak pandemi COVID-19. Kebutuhan lain yang diidentifikasi oleh perintah termasuk chip semiconductor untuk industri otomotif dan aplikasi teknologi tinggi lainnya.
Masalah ini menghambat kemampuan Amerika untuk mendapatkan produk penting, dan menciptakan ketidakstabilan bagi pekerja di industri yang terpengaruh. Tujuan dari perintah baru ini, menurut Rumah Putih, adalah untuk secara proaktif mengatasi masalah tersebut sebelum terjadi kembali.
"Sementara kita tidak dapat memprediksi krisis apa yang akan menimpa kita, kita harus memiliki kapasitas untuk berepons dengan cepat di hadapan tantangan," kata Rumah Putih. "Amerika Serikat harus memastikan bahwa kekurangan produksi, gangguan perdagangan, bencana alam, dan tindakan potensial dari kompetitor asing dan lawan tidak pernah membuat Amerika Serikat rentan lagi."
Kampanye Presiden menjelaskan bahwa Administrasinya berkomitmen untuk mengatasi risiko rantai pasokan secara komprehensif. Namun apakah inisiatif ini akan berhasil?
Dari sudut pandang keamanan, ada sejumlah isu yang harus dipertimbangkan oleh Administrasi. Gagal melakukannya akan menghasilkan waktu dan usaha yang berulang, membuang sumber daya sambil gagal mengurangi risiko siber yang dapat mengakibatkan serangan rantai pasokan lain.
Langkah pertama untuk memastikan keamanan rantai pasokan AS adalah mengidentifikasi kerentanan dan risikonya. Perintah eksekutif Biden berfokus pada enam sektor: basis industri pertahanan, kesehatan publik, teknologi informasi dan komunikasi, daya dan energi, transportasi, dan pertanian.
Ketergantungan rantai pasokan pada produk dan layanan digital telah menciptakan kerentanan serius, membuat keamanan siber menjadi bagian penting dari tinjauan. Kekhawatiran bahwa aktor negara bisa memutuskan untuk menahan rantai pasokan melalui kriminal siber adalah nyata. Bagian 4.4 dari perintah eksekutif menjelaskan bahwa manajemen risiko siber adalah perhatian utama dan area fokus. Dalam waktu satu tahun, laporan harus diserahkan yang mencakup keadaan saat ini ketergantungan rantai pasokan pada negara kompetitor. Bagaimana pemerintah melibatkan komunitas keamanan informasi untuk tujuan ini akan menentukan keberhasilan atau kegagalan inisiatif di semua sektor.
Memastikan Hasil dalam Satu Tahun
Upaya ini mencakup banyak wilayah untuk satu waktu tahun. Sangat penting bahwa komunitas keamanan informasi dan teknologi, dengan mengambil pelajaran dari tahun lalu, memberikan masukan kepada pihak yang menggerakkan inisiatif. Upaya dari kelompok industri seperti pusat berbagi dan analisis informasi (ISACs) dan IT Sector Coordinating Council (ITSCC) akan inti untuk keberhasilan. Selain itu, ada gunungan data dan analitik yang keluar dari empat perusahaan konsultasi besar tentang risiko apa yang harus diprioritaskan saat berurusan dengan pihak ketiga.
Departemen Pertahanan AS harus memainkan peran kunci dalam membantu inisiatif diluncurkan dengan lancar. Upaya yang serupa yang diawasi oleh DOD adalah Cybersecurity Maturity Model Certification (CMMC), yang mengharuskan pemasok bahan yang dirakit pemerintah untuk memenuhi standar tertentu. Saran kunci, berdasarkan reaksi publik dan swasta terhadap CMMC sejauh ini, adalah untuk menghindari sebanyak mungkin mencampur proses pemberian kontrak dan peninjauan. Pemimpin industri sektor dan agensi pemerintah harus bekerja sama untuk memutuskan standar yang sederhana namun efektif untuk siber di seluruh rantai pasokan yang berbeda secara sederhana.
Pentingnya Standarisasi
Membuat kemitraan yang tepat dan mendapatkan masukan dari ahli keamanan informasi adalah satu hal, tetapi memastikan maturitas keamanan siber yang meningkat di seluruh rantai pasokan AS adalah hal yang lain. Komunikasi adalah satu elemen yang dapat membuat atau merusak persyaratan baru saat diluncurkan ke ekosistem sebesar ini. Ini didorong oleh pengukuran, dengan hasil yang distandarkan di seluruh grup terlepas dari tingkat maturitas keamanan siber mereka. Standar seperti NIST CSF Supply Chain Risk Management subcategory atau CMMC yang disebutkan sebelumnya adalah alat yang bagus untuk membuat persyaratan jelas, dan menerapkannya secara efektif di seluruh rantai pasokan. Metodologi penilaayan siber di bawah NIST CSF sangat berharga dalam memberikan konteks bagi pemasok dengan sedikit pengetahuan tentang keamanan informasi.
Ketika berkaitan dengan pengukuran, memikirkan semua risiko potensial di rantai pasokan AS adalah mustahil, mengingat kompleksitas ekosistem rantai pasokan global. Namun tetaplah berharga untuk mengidentifikasi skenario yang memeriksa berbagai titik kegagalan potensial. Memanfaatkan metodologi kuantifikasi risiko yang ada dengan cara kreatif adalah kunci untuk mencapai ketahanan yang sejati. Penting bagi perusahaan untuk memahami risiko rantai pasokan sebagai cara untuk mencapai tata kelola yang baik, dengan mengambil masukan dari tim keamanan, berbagi data dan informasi, dan kemajuan dalam perangkat lunak manajemen risiko.
Kita hanya dapat berharap bahwa inisiatif rantai pasokan Biden akan mengambil keuntungan dari data yang ada dari peristiwa di masa lalu, dan analisis prediktif tentang masa depan. Dapatkah seluruh rantai pasokan diskalkulasi, dan semua kerentanan diidentifikasi dalam satu tahun? Dan dapatkah kita mengurangi risiko siber yang parah di rantai pasokan AS? Itu belum dapat dipastikan.
Padraic O'Reilly adalah pendiri dan chief product officer di CyberSaint.
