NIST Rilis Alat Keamanan Siber Baru untuk Mengatasi Ancaman yang Didukung Negara
Special Publication 800-172 dirancang untuk melindungi informasi sensitif dalam berbagai sistem elektronik.
Bangsa di seluruh dunia menambahkan perangkat siber ke klengannya, menggunakan tim yang sangat terampil untuk meluncurkan serangan terhadap negara lain. Musuh ini juga disebut “ancaman presisten lanjutan,” atau APT, karena mereka memiliki alat dan sumber daya untuk mengejar tujuan mereka berulang kali selama periode yang lama, menyesuaikan dengan upaya pembela untuk menolak mereka.
Data rentan termasuk informasi sensitif namun tidak terklasifikasi yang dikelola oleh pemerintah, industri dan akademi untuk mendukung berbagai program federal. Sekarang, publikasi final dari National Institute of Standards and Technology (NIST) memberikan pedoman untuk melindungi “informasi tidak terklasifikasi yang dikontrol” (CUI) dari APT. Special Publication (SP) 800-172 NIST, Enhanced Security Requirements for Protecting Controlled Unclassified Information: A Supplement to NIST SP 800-171, menawarkan seperangkat alat yang dirancang untuk melawan upaya peretas yang didukung negara dan melengkapi publikasi NIST lainnya yang bertujuan untuk melindungi CUI.
“Serangan siber dilakukan dengan senjata diam, dan dalam beberapa situasi senjata tersebut tidak terdeteksi,” kata Ron Ross, ilmuwan komputer dan anggota NIST. “Karena Anda mungkin tidak ‘merasakan’ efek langsung dari serangan selanjutnya, Anda mungkin pikir itu akan terjadi di jalan masa depan; tetapi kenyataannya, itu sedang terjadi sekarang.”
Pemerintah federal sangat bergantung pada penyedia layanan nonfederal untuk membantu menjalankan berbagai misi menggunakan sistem informasi — istilah yang mencakup komputer, tetapi juga berbagai teknologi khusus lainnya seperti sistem kontrol industri dan Internet of Things. Perlindungan informasi federal sensitif yang tinggal di sistem nonfederal — seperti yang digunakan oleh pemerintah bagian dan lokal, perguruan tinggi dan universitas, dan organisasi penelitian independen — adalah dari pentingnya utama, karena dapat langsung mempengaruhi kemampuan pemerintah federal untuk menjalankan operasinya. Seretan pada tahun 2018 yang merusak informasi sensitif langsung menginspirasi kerja tim NIST pada SP 800-172.
Sebelumnya dikenal SP 800-171B selama tahap draftnya, SP 800-172 menawarkan rekomendasi tambahan untuk menangani CUI dalam situasi di mana informasi tersebut berisiko lebih tinggi dari biasanya untuk paparan. CUI mencakup berbagai jenis informasi, dari nama atau nomor Seguran Sosial individu hingga informasi pertahanan kritis.
“Kami mengembangkan SP 800-171 sebagai tanggapan terhadap serangan siber besar pada infrastruktur kritis AS, dan dokumen pendampingnya SP 800-172 dirancang untuk mengurangi serangan dari ancaman siber lanjutan seperti APT,” kata Ross. “Mengimplementasikan perlindungan siber di SP 800-172 akan membantu pemilik sistem melindungi apa yang dianggap peretas tingkat bagian sebagai target nilai tinggi khususnya: informasi sensitif tentang orang, teknologi, inovasi dan kekayaan intelektual, yang jika diungkapkan dapat merusak ekonomi dan keamanan nasional kita.”
Persyaratan keamanan yang ditingkatkan harus diimplementasikan tambahan pada yang ada di SP 800-171, karena publikasi itu tidak dirancang untuk menangani APT. Persyaratan di SP 800-172 berlaku untuk komponen sistem nonfederal yang memproses, menyimpan atau mengirim CUI atau yang memberikan perlindungan untuk komponen tersebut. Untuk menyempit lebih lanjut cakupan, persyaratan hanya diterapkan ketika CUI yang ditetapkan terkait dengan program kritis atau aset nilai tinggi — prioritas tertinggi untuk perlindungan.
Dikembangkan terutama untuk administrator seperti manajer program, CIO dan auditor sistem, publikasi ini mengatasi perlindungan CUI untuk komponen sistem dengan mempromosikan arsitektur tahan penetrasi, operasi yang membatasi kerusakan, dan desain untuk mencapai ketahanan dan kelangsungan siber. Alat-alatnya, dibagi menjadi 14 keluarga, tidak dimaksudkan untuk diimplementasikan secara massal, tetapi dipilih sesuai dengan kebutuhan organisasi.
“Kemungkinan besar organisasi yang menerapkan pedoman ini tidak akan ingin menggunakan semua persyaratan keamanan yang ditingkatkan yang kami tawarkan di sini,” kata Ross. “Keputusan untuk memilih seperangkat persyaratan keamanan yang ditingkatkan akan didasarkan pada misi dan kebutuhan bisnis Anda — dan kemudian dipandu dan diinformasikan oleh penilaian risiko yang berlangsung.”
Sebagai tanggapan terhadap umpan balik yang diterima selama periode komentar publik, draft final mencakup pedoman cakupan dan keaklian yang diperbarui dan pendekatan pemilihan persyaratan yang lebih fleksibel untuk memungkinkan organisasi menyesuaikan solusi keamanan mereka.
Ross mengatakan bahwa alat dalam publikasi baru ini harus memberikan harapan bagi siapa pun yang mencoba bertahan dari serangan, bahkan oleh ancaman yang mengerikan seperti APT.
“Musuh membawa ‘A-game’ mereka dalam serangan siber ini 24 jam sehari, 7 hari seminggu,” katanya. “Anda dapat mulai memastikan kerusakan diminimalkan jika Anda menggunakan perlindungan siber SP 800-172.”
Sumber Asli: https://www.nist.gov/news-events/news/2021/02/nist-offers-tools-help-defend-against-state-sponsored-hackers
