10 Langkah Esensial untuk Mengamankan Rantai Pasokan Anda: Buku Panduan Keamanan Siber yang Terbukti

Seiring rantai pasokan global yang semakin digital, perusahaan terkena risiko dari sumber tak terduga yang tak terhitung. Sistem hanya setara dengan titik lemahnya, dan peretas akan mencari dengan cermat untuk menemukan komponen yang rentan.

Eksploitasi ini datang dengan harga yang tinggi. Menurut IBM's Security Cost of Data Breach Report, 5,52 juta dolar adalah total biaya rata-rata pelanggaran untuk perusahaan dengan lebih dari 25.000 karyawan dan 2,64 juta dolar untuk organisasi di bawah 500 karyawan. Sebagian besar perusahaan membayar tebusan yang diminta oleh peretas. Panas ini, Colonial Pipeline Co. dan JBS SA membayar peretas 4,4 juta dolar dan 11 juta dolar masing-masing untuk memulihkan data yang terenkripsi setelah serangan siber besar.

Dampak lain meliputi gangguan layanan pelanggan, kepercayaan yang terpancar, dan hilangnya keunggulan kompetitif.

Kriminal siber menghalangi hambatan dan mengidentifikasi kelemahan untuk mengeksploitasi rantai pasokan secara lebih efektif dari sebelumnya. Dalam kasus Colonial Pipeline, peretas menyalahgunakan profil virtual private network (VPN) lama yang hanya memerlukan autentikasi satu faktor.

Serangan tidak hanya melumpukan perusahaan tetapi juga menyakiti pelanggan. Delapan puluh persen pelanggaran melibatkan informasi identitas pribadi (PII). Peretas menggunakan PII dan kata sandi untuk mengakses berbagai akun individu di seluruh web. Selain itu, setiap kesenjangan dalam rantai pasokan, baik itu bisnis Anda atau pemasok pihak ketiga atau keempat, mempengaruhi produksi barang dan layanan sambil juga mendorong harga naik.

Dalam CrowdStrike Security Report, sebuah survei yang melibatkan lebih dari 1.000 partisipan, dua pertiga pengambil keputusan TI senior dan profesional keamanan siber mengungkapkan bahwa organisasi mereka telah mengalami serangan rantai pasokan perangkat lunak. Jumlah yang sama mengakui bahwa perusahaan mereka tidak cukup siap untuk bertahan dari pelanggaran di masa depan. Bisnis harus proaktif dan berfokus pada membangun ketahanan siber untuk mencegah eksploitasi.

National Institute of Standards and Technology (NIST), bagian dari Departemen Perdagangan Amerika Serikat, merekomendasikan langkah-langkah berikut untuk melindungi aset TI dengan baik.

Identifikasi

Temukan vektor ancaman potensi, rute yang mungkin diambil oleh serangan berbahaya untuk melewati pertahanan Anda dan menginfeksi jaringan Anda, dengan melakukan penilaian risiko dan kerentanan internal. Pertimbangkan untuk menyewa perusahaan untuk melakukan penilaian canggih.

Perlindungan

Lakukan tindakan yang diperlukan untuk melindungi organisasi Anda dan mencegah peristiwa ancaman:

• Pengurangan eksposur. Selain perlindungan dasar yang diberikan oleh firewall dan perangkat lunak antivirus, penting untuk mendirikan prosedur akses terkemuka. Ikuti prinsip hak istimewa paling sedikit, hanya karyawan yang membutuhkan akses ke data sensitif yang diizinkan untuk mengaksesnya.

Alat seperti analitik perilaku, deteksi dan respons titik akhir (EDR), kecerdasan buatan (AI), dan intelijen ancaman dapat memperkuat pertahanan. Perusahaan harus mengadopsi praktik pengkodean aman dan merujuk pada Open Web Application Security Project (OWASP) Top Ten Web Application Security Risks.

• Komitmen dan pelatihan karyawan. Karyawan adalah garis pertahanan terakhir dalam keamanan siber dan salah satu vektor ancaman yang paling umum. Penting untuk melibatkan setiap karyawan; suite eksekutif tidak terkecuali. Bentapkan budaya kecurigaan yang sehat di antara karyawan. Pendekatan ini mungkin terlihat terlalu parnoid, namun taruhan dapat tinggi.

Lakukan pelatihan kesadaran dan kampanye phishing internal untuk mengekspos karyawan pada teknik spam dan sosial engineering terbaru. Setiap karyawan yang tertipu oleh kampanye phishing harus segera diwajibkan untuk melalui pelatihan. Tanamkan budaya kata sandi yang kuat di mana karyawan memiliki kata sandi yang bervariasi dan aman. Pastikan mereka memahami bahwa jika kata sandi dilanggar di satu tempat, kemungkinan besar dan relatif mudah bagi peretas untuk menggunakannya pada akun lain yang terkait dengan email yang sama.

Ada banyak sumber daya keamanan siber yang bergana (dan gratis) yang tersedia untuk menambah pembelajaran karyawan dan memperbarui karyawan tentang tren terbaru di industri seperti modul pelatihan virtual yang disediakan oleh Departemen Keamanan Rumah Tangga AS.

• Asuransi. Pastikan Anda memiliki asuransi yang memadai dalam hal serangan. Beberapa penyedia asuransi mencakup perlindungan ransomware. Bertanya tentang hal-hal yang tidak tercakup dalam serangan siber.
• Keamanan fisik. Lindungi personel, perangkat keras, perangkat lunak, jaringan, dan data dari pelanggaran fisik dan tindakan. Pertimbangkan solusi seperti kamera pengawasan, pengawal keamanan, sistem keamanan, penghalang, kunci, kartu kunci akses, alarm kebakaran, sprinkler, dan sistem lainnya yang dirancang untuk melindungi karyawan dan properti.

Waspadai piggybacking. Memegang pintu untuk seseorang yang memasuki kantor dengan tangan penuh mungkin sopan, tetapi ini mengancam keamanan. Pastikan semua orang yang memasuki area perusahaan adalah personel yang berwenang.

• Hubungan bisnis selektif. Serangan siber melalui jaringan pemasok menjadi semakin umum. Menurut Studi Organisasi Tahan Siber 2020 oleh Ponemon Institute, 56% organisasi melaporkan bahwa mereka telah mengalami pelanggaran keamanan siber yang disebabkan oleh pemasok pihak ketiga. Dalam menentukan tingkat risiko yang dapat diterima, hati-hati dalam memilih kontraktor atau mitra untuk bekerja dengan perusahaan Anda.
• Pelaporan insiden. Tanamkan budaya dan pendidikan yang baik untuk melaporkan insiden. Profesional TI lebih mampu mengurangi potensi kerusakan jika mereka mengetahuinya lebih cepat.

Deteksi

Dikatakan bahwa rumah tanpa detektor asap sama dengan jaringan tanpa pemantauan. Pemantauan berkelanjutan untuk peristiwa keamanan harus mencakup lingkungan fisik, jaringan, penyedia layanan, dan aktivitas pengguna. Pemindaian kerentanan adalah alat yang hebat dan harus dilakukan secara berkala pada sistem yang berisi informasi sensitif.

Respons dan Pemulihan

Ada korelasi yang jelas antara waktu respons dan biaya serangan. Industri yang memerlukan waktu paling lama untuk mendeteksi, bereaksi, merespons, dan memperbaiki akan mengalami biaya tertinggi. Respons yang cepat dapat membantu mengurangi dampaknya. Namun, tidak dapat menghilangkan kemungkinannya, jadi selalu ada penekanan pada pencegahan.

Rencana pemulihan bencana sangat penting untuk memulihkan akses data dan infrastruktur TI setelah bencana. Pemulihan bergantung pada skala kerusakan.

Gambarkan rencana respons dan peta jalan remediasi untuk semua skenario insiden potensi dalam bentuk rencana kelangsungan bisnis. Sertakan taktik yang akan menjaga operasional bisnis selama bencana. Tentukan kritisitas vendor dan tindakan yang akan diambil jika vendor utama diserang. Rekrut vendor cadangan dan cadangan untuk cadangan Anda jika Anda perlu beralih ke penyedia lain untuk mengakomodasi pelanggan.

Sebagai bagian dari rencana pemulihan bencana yang efektif, disarankan untuk mensimulasikan pelanggaran keamanan siber setidaknya sekali setahun. Melalui latihan ini, personel yang relevan memahami peran mereka dan prosedur yang harus diikuti.

Keamanan siber akan menjadi hambatan yang menonjol bagi bisnis dari semua ukuran seiring rantai pasokan menjadi lebih kompleks. Identifikasi titik lemah dalam rantai pasokan untuk memastikan kerentanan diminimalkan dan untuk mencegah peristiwa ancaman. Membangun ketahanan siber akan menyiapkan perusahaan Anda untuk skenario terburuk yang sebaliknya akan lebih mahal dan merusak.

Marc Lewis adalah kepala keamanan informasi di Visible Supply Chain Management.