3 Langkah Terbukti untuk Mengamankan Rantai Pasok Perangkat Lunak Anda

Kode komputer adalah fondasi setiap teknologi, dari smartphone hingga robot dan jaringan yang menghubungkannya. Di dunia digital saat ini, itu juga menjadikan kode sebagai bagian fondasi banyak — jika tidak sebagian besar — bisnis dan layanan.

Peretas menyadari hal ini dan memanfaatkannya. Contoh terkini yang menonjol adalah serangan pada FireEye yang menggunakan beberapa update trojan pada perangkat lunak SolarWinds. Dengan menargetkan penyedia perangkat lunak, peretas dapat memasang pintu belakang ke dalam perusahaan yang, pada gilirannya, memungkinkan mereka mencapai target yang diinginkan: instansi pemerintah yang menerima layanan dari perusahaan tersebut.

Metode serangan ini juga memanfaatkan kepercayaan. Bisnis, pemerintah, dan pelanggan lain mengasumsikan bahwa jika update perangkat lunak atau firmware datang dari vendor, aman untuk diinstal. Beberapa akan mempercaya tetapi memverifikasi; mereka memeriksa situs web vendor untuk nilai hash update dan kemudian membandingkannya dengan unduhan. Jika cocok, mereka mengasumsikan itu bebas dari kerentanan.

Kepercayaan ini menciptakan peluang untuk pelaku jahat yang dapat memanipulasi kode sumber selama proses pengembangan. Akibatnya, pengguna tanpa sadar mengunduh eksploit, yang sering kali diam selama minggu atau bulan sementara menyebar di seluruh organisasi untuk pada akhirnya menyerang daftar mitra, pemasok, atau pelanggan. Bagaimana organisasi dapat melindungi diri?

Jauhkan Pelaku Jahat

Program manajemen risiko rantai pasok (SCRM) sangat penting untuk mengurangi ancaman dan kerentanan yang inherent dalam adopsi dan integrasi produk dan layanan pihak ketiga. Ini mencakup orang, proses, dan teknologi, serta meliputi berbagai departemen termasuk keamanan, IT, sumber daya manusia (SDM), pengadaan, dan hukum. Penting untuk memperluas program SCRM perusahaan ke dalam siklus hidup pengembangan perangkat lunak (SDLC). Dalam prosesnya, program SCRM menciptakan budaya keamanan di mana semua orang adalah peserta dan selaras menuju tujuan yang sama.

Dalam SDLC, program SCRM berfokus pada orang yang perlu menyentuh kode dan sumber daya terkait seperti tool set. Secara memahami, karyawan ini harus memeriksa menyeluruh selama proses perekrutan, termasuk pemeriksaan latar belakang untuk mengidentifikasi potensi hubungan dengan aktivitas kriminal dan/atau negara bagian.

Perusahaan yang menggunakan perusahaan pengangrek perlu memastikan bahwa perusahaan tersebut memahami persyaratan unik dan spesifik mereka. Misalnya, perusahaan harus tahu siapa perusahaan pengangrek mereka dan apakah mereka memiliki kehadiran di negara yang memiliki sejarah kejahatan siber yang didukung negara. Ketika perusahaan menangani informasi milik dan rahasia, mereka tidak ingin kantor cabang perusahaan pengangrek mengirimkan resume dan calon karyawan yang merupakan potensi tanaman ancaman internal. Peretas negara bagian semakin berfokus pada memasukkan orang mereka ke dalam organisasi target. Mereka memiliki sumber daya keuangan untuk melatih orang yang menunjukkan keterampilan pengkodean yang diidamkan dan kredensial yang dicari lainnya yang mengangkat resume mereka ke atas tumpukan. Ini adalah sesuatu yang harus dipahami oleh tim SDM dan manajer perekrutan.

Mungkin beberapa pelaku jahat akan lolos meskipun proses penyaringan dan perekrutan yang paling hati-hati. Itulah mengapa penting untuk memantau aktivitas karyawan melalui program ancaman internal yang terdefinisi dengan baik untuk mengidentifikasi perilaku tidak biasa dan mencurigakan seperti eskalasi hak akses yang tidak sah dan akses ke sistem, program, dan aplikasi.

Program SCRM juga harus mengidentifikasi orang yang perlu menyentuh kode dan sumber daya terkait seperti tool set, kemudian menerapkan pengaman untuk menjaga semuanya itu jauh dari orang lain. Setelah kode dilisensikan, itu harus menjadi sumber tunggal untuk pengembang yang diizinkan, berarti mereka tidak dapat membawa kode tambahan dari sumber eksternal. Pada dasarnya, setelah kode sudah dievaluasi dan dikontrol, bisnis tidak ingin pengembang pergi mendapatkan kode dari sumber baru yang belum dievaluasi untuk risiko keamanan. Praktik terbaik ini mengurangi kerentanan seperti pintu belakang yang tertanam dalam kode yang tidak sah tanpa sengaja digunakan oleh pengembang yang diizinkan atau portal tidak terdekat yang disembunyikan oleh pengguna yang tidak sah.

Periksa dan Kontrol

Mengontrol teknologi dengan ketat menyediakan lapisan perlindungan lainnya. Misalnya, bahkan ketika karyawan pindah dalam organisasi, pertimbangkan untuk memberikan laptop baru yang memiliki citra yang dibuat khusus untuk peran dan departemen baru mereka. Selain itu, nonaktifkan akses yang sebelumnya diperoleh yang tidak lagi diperlukan. Ini membantu memastikan data dan akses tetap berhak istimewa.

Departemen IT juga harus mereimage komputer baru sebelum dikeluarkan kepada pengembang. Menggunakan citra standar yang disediakan vendor dapat menciptakan pintu belakang jika sistem operasi dan bloatware yang terinstal sebelumnya memiliki kode yang terkompromi. Sebaliknya, buat citra khusus yang diperketat untuk perangkat tersebut.

Semua jenis perangkat keras dan lunak baru harus awalnya di-sandboxing untuk beberapa waktu. Ini memberi departemen waktu untuk menyelidiki perilaku mereka, seperti melakukan panggilan tidak diminta ke internet untuk mencoba menarik data. Ini juga menciptakan dasar untuk membantu mendeteksi perubahan tiba-tiba dalam perilaku bulan atau tahun kemudian yang dapat menunjukkan bahwa mereka telah terkompromi.

Ciptakan Budaya Keamanan

Ini banyak yang dipertimbangkan, yang menyoroti mengapa SCRM harus menjadi upaya lintas organisasi. Misalnya, departemen hukum harus memastikan bahwa kontrak vendor dan mitra berisi bahasa mengenai audit untuk memastikan semua persyaratan diikuti. Sementara itu, SDM dapat membantu mengembangkan dan memberlakukan aturan untuk penyaringan calon karyawan.

Dukungan dan kepemimpinan tingkat C-level adalah kunci untuk mencapai jenis upaya tim ini dan memastikan sumber daya tersedia untuk menerapkan program SCRM. Ini menghasilkan budaya keamanan yang meliputi seluruh organisasi dan mengubah keamanan dari pikiran terakhir menjadi bagian dasar dari proses pengembangan.

Michael Iwanoff adalah chief information security officer di iconectiv.