Mengevaluasi Keamanan Jaringan Lantai Pabrik Anda: Apakah Anda Siap?

Mungkin tidak selalu dalam pikiran, tetapi benghel kecil dan produsen menengah harus memikirkan keamanan siber IT/OT, terutama dalam pembuatan bagian militer dan pertahanan. Peraturan sudah ada. Apakah Anda siap?

Apakah cukup untuk membeli mesin dan teknologi alat terbaru seperti mesin 5-sumbu, merekrut dan membimbing pramuka serta pemesin baru, menghasilkan bagian, dan tetap mengawasi jadwal pemeliharaan? Dengan sensor cerdas dan infrastruktur berbasis internet yang semakin banyak digunakan oleh karyawan di lantai pabrik, ada begitu banyak teknologi di sekitar mesin dan ruang kontrol kebanyakan benghel.

Manajemen keamanan kini adalah isu nyata dan mencakup pengelolaan semua sistem dan perilaku karyawan. Untuk benghel yang membuat bagian untuk industri pertahanan, keamanan adalah isu kepatuhan utama dengan konsekuensi nyata terhadap bisnis.

“Kenyataannya saat ini adalah produsen kecil hingga menengah beroperasi pada kapasitas penuh, pesanan masuk, dan masalah terbesar adalah menemukan dan mempertahankan talenta—kendala terbesar dalam mengeluarkan produk dari pintu. Pertimbangkan semua keputusan yang harus dibuat produsen setiap hari, keamanan siber tidak berada di puncak prioritas mereka,” kata Elliot Forsyth, vice president operasi bisnis di Michigan Manufacturing Technology Center, dalam artikel untuk Advanced Manufacturing.

Kami berbicara dengan insider industri tentang kondisi keamanan dalam manufaktur saat ini—dan kemana arahnya.

Serangan Siber Industri: Pelanggaran Data, Spionase Siber dan Lainnya

Internet adalah alat yang luar biasa dan berkah untuk bisnis. Tapi itu juga tempat aktivitas kriminal di mana penipuan, tebusan, pencurian, dan manipulasi sistem terlalu sering terjadi.

Manufaktur tidak terlepas dari masalah keamanan. Sektor industri, termasuk minyak dan gas serta segmen infrastruktur kritis seperti listrik dan pembangkit listrik tenaga nuklir, juga harus memperkuat keamanan mereka. Pada 2018, perusahaan petrokimia diserang hacker di Arab Saudi dengan niat untuk merusak operasi dan menyebabkan ledakan.

Ini adalah kasus ekstensif, tentu saja, tetapi dapat terjadi. Mayoritas insiden keamanan menargetkan informasi keuangan dan kekayaan intelektual.

“Itu adalah ruang yang sangat tidak aman,” kata John Livingston, CEO Verve Industrial Protection. “Sebagian besar produsen secara umum tidak menyadari masalahnya atau mereka tidak memiliki sumber daya internal [untuk menanganinya]. … Di satu sisi, banyak bergantung pada layanan cloud dan di ujung spektrum lainnya, mereka bergantung pada sistem operasi lama di lingkungan mereka yang tidak diperbarui.”

Pada 2018, terdapat 352 insiden keamanan dalam manufaktur dan 87 dari mereka memiliki pengungkapan data yang terkonfirmasi, menurut “2019 Data Breach Investigations Report” Verizon, yang merupakan salah satu studi paling komprehensif yang diterbitkan setiap tahun.

“Untuk tahun kedua berturut-turut, serangan yang bera dari motivasi keuangan melampaui spionase siber sebagai alasan utama pelanggaran dalam manufaktur, dan kali ini dengan persentase yang lebih signifikan (perbedaan 40 persen),” penulis laporan Verizon menyimpulkan. “Jika ini terjadi di vertikal mana pun lainnya, ini tidak perlu disebutkan karena uang adalah alasan bagi sebagian besar serangan. Namun, manufaktur mengalami tingkat pelanggaran terkait spionase yang lebih tinggi dibandingkan vertikal lain dalam beberapa tahun terakhir.”

Jika tujuan adalah produksi puncak dan pembuatan bagian, tidak ada keraguan bahwa teknologi memerankan peran sentral dalam membantu perusahaan mencapai tujuan mereka. Pengumpulan dan pemantauan informasi mesin yang presisi semakin kritis untuk mencapai performa puncak.

Benghel sering terhubung ke internet, dan aplikasi yang digunakan karyawan, termasuk email, situs web, dan aplikasi seluler, semuanya bisa menjadi pintu masuk yang diperlukan pelaku untuk mencapai informasi karyawan dan perusahaan atau kekayaan intelektual. Informasi ini dapat mencakup perpustakaan spesifikasi bagian yang produsen peralatan asli akan ingin jauhkan dari tangan pesaing dan pemerintah tidak akan ingin dimiliki oleh negara lain.

“Produsen harus melakukan evaluasi risiko terhadap operasi mereka,” kata Koushik Subramanian, penasihat strategis di National Center for Cybersecurity in Manufacturing, dalam artikel untuk Advanced Manufacturing. “Risiko bisa teknis—ditemukan di mesin, kontrol atau perangkat lunak, dan juga ditemukan dalam personel, praktik dan proses. Risiko berbanyak bentuk, tetapi yang paling umum adalah dari serangan siber di mana individu atau kelompok berbahaya mencoba masuk ke sistem dengan mengambil keuntungan dari titik terlemah: orang. Itulah sebabnya phishing dan ransomware begitu populer dan mengapa serangan cenderung meningkat.”

Untuk benghel kecil, mengelola komputer seringkali berarti menyewa perusahaan teknologi informasi luar, aka “IT” perusahaan, untuk membantu. Untuk produsen menengah dan besar, ini mungkin berarti bentuk hibrid dari staf IT internal dan bantuan tambahan dari perusahaan eksternal untuk masalah teknologi yang lebih kompleks.

“Sebagian besar industri sedang melalui fase kesadaran ini,” kata Livingston. “Mereka mulai memahami bahwa ada masalah. Tapi mereka bertanya pada diri sendiri: ‘Bagaimana saya bisa memahami dunia yang sebelumnya tidak pernah dikelola sebagai infrastruktur berbasis internet?’”

Apakah Anda perlu jawaban pertanyaan teknis? Tanya MSC Metalworking Tech Team di forum.

Agen Perubahan: Standar, Pendanaan Negara dan Layanan Pihak Ketiga

National Institute of Standards and Technology adalah badan yang mengatur infrastruktur kritis dan membuat aturan untuk industri penerbangan dan pertahanan. Pada 2016, NIST menerbitkan SP 800-171, yang berisi aturan untuk “Melindungi Informasi Tidak Terklasifikasi yang Dikontrol dalam Sistem dan Organisasi Non-Federal.”

Standar memiliki kontrol keamanan ketat yang dapat mempengaruhi OEM dan subkontraktor pertahanan dari semua ukuran. Jika perusahaan tidak mematuhi, kemungkinan besar mereka tidak akan bisa menawar pekerjaan.

“Untuk sebagian besar produsen yang bukan infrastruktur kritis, kehilangan satu hari produktivitas karena masalah keamanan bukan keadaan darurat nasional, tetapi ini melukai garis bawah mereka,” kata Scott Sawyer, chief technology officer di Paperless Parts. “Di sini ini benar-benar mulai berlaku adalah kekayaan intelektual. Departemen Pertahanan sangat peduli pada area ini.”

Ini mempengaruhi produsen dari semua ukuran.

“Bahkan perusahaan dengan 100 hingga 200 orang kesulitan dengan ini,” kata Sawyer. “Tiba-tiba, mereka harus mencari tahu bagaimana mereka akan menjadi patuh.”

Bagaimana perusahaan mengatasi ini? Beberapa yang mencoba mempertahankan kontrak atau menarik kontrak baru dengan industri pertahanan membawa konsultan—dan mereka menerapkan program keamanan. Ekonomi negara dan lokal dapat terpengaruh secara negatif oleh jenis regulasi ini. Ini bisa mahal. Jadi organisasi menawarkan pendanaan untuk membantu perusahaan menjadi patuh dengan standar keamanan melalui partnership perpanjangan manufaktur (MEP).

Untuk mempelajari lebih lanjut tentang upaya Departemen Pertahanan dan NIST, tonton video ini.

Ini berita baik bagi mereka yang tetap mengawasi isu keamanan, tetapi sebagian besar produsen masih dalam kegelapan. Terutama benghel kecil, menjelaskan Sawyer.

“Beberapa memiliki rasa aman yang palsu. Mereka pikir mereka tidak berisiko karena kecil dan di luar jalur utama dan lokasi fisik mereka di pedesaan, mereka tidak memiliki banyak karyawan dan mereka menjaga profil pemasaran yang rendah,” kata Sawyer. “Tapi, Anda tahu, itulah dalam beberapa hal yang bisa membuat mereka target. Mereka adalah target yang lebih mudah daripada Lockheed Martin, Raytheon atau Northrop Grumman karena mereka tidak memiliki keamanan.”

Perusahaan-perusahaan besar itu adalah target, tetapi mereka juga jauh lebih canggih dalam menangani spesifikasi rahasia dan keamanan fisik, menjelaskan Sawyer. Sawyer akan tahu—dia bekerja di industri pertahanan selama beberapa tahun sebelum pindah ke manufaktur.

Perusahaan pertahanan mengedukasi karyawan mereka untuk tidak membicarakan pekerjaan saat mereka keluar dari pabrik. Banyak diberitahu untuk menyimpan tanda identitas kerja mereka dari pandangan saat mereka keluar. Tapi bahkan upaya ini belum menghentikan pelaku yang termotivasi dari mencapai kekayaan intelektual penting.

“Jika Anda percaya pada manufaktur Amerika, dan Anda patriotik, sebagian dari itu harus mencakup peduli pada bagian keamanan informasi,” kata Sawyer.

Bagaimana benghel Anda menangani keamanan saat ini? Apakah Anda bersiap atau dalam mode “ketidaktahuan adalah kebahagiaan”? Bicarakan di forum. [pendaftaran diperlukan]