Meningkatkan Keamanan Siber dalam Sistem OT (Teknologi Operasional) Saat Terintegrasi dengan Jaringan TI

Karena sistem OT terus terintegrasi dengan jaringan IT, perusahaan manufaktur memerlukan tindakan keamanan siber yang lebih kuat untuk mengurangi risiko.

Meningkatnya Industrial Internet of Things (IIoT) tidak dapat disangkal telah memperluas konektivitas dari tingkat perangkat ke cloud, sehingga meningkatkan permukaan serangan fasilitas otomatis. Sementara koneksi langsung ke cloud menawarkan keuntungan bisnis yang menarik, seperti pemantauan pemeliharaan jarak jauh, pelacakan indikator kinerja utama (KPI), dan pengoptimalan proses, manfaat ini mengorbankan keamanan yang melemah. Steve Fales, Direktur Pemasaran di ODVA, menjelaskan, "Koneksi baru ini dapat memungkinkan pelaku kejahatan menyusup ke jaringan industri, yang mendorong peningkatan fokus pada konsep keamanan seperti Zero Trust, yang memerlukan validasi sebelum terhubung ke perangkat apa pun. Selain itu, pentingnya menerapkan beberapa pendekatan keamanan untuk mencakup semua bagian jaringan telah meningkat secara signifikan."

Konsep Zero Trust mengasumsikan bahwa jaringan sudah disusupi. Ini berarti setiap koneksi, terlepas dari asalnya, harus divalidasi, hanya menyediakan akses minimal yang dibutuhkan dalam waktu sesingkat mungkin. Selain itu, semua komunikasi harus aman. Untuk bergerak menuju Zero Trust, perusahaan harus mengenkripsi komunikasi, menyediakan akses berbasis peran, mengautentikasi titik akhir, dan memastikan bahwa komunikasi bebas dari gangguan.

Selain mengadopsi Zero Trust, Steve merekomendasikan penggunaan beberapa metode keamanan sebagai bagian dari strategi pertahanan berlapis untuk memastikan keamanan jaringan kontrol industri. Sebagai bagian dari pendekatan holistik yang berorientasi pada proses, keamanan fisik dan pelatihan karyawan merupakan titik awal yang sangat baik. Ini adalah dua metode sederhana namun efektif untuk mencegah pelaku kejahatan.

Menerapkan pemodelan ancaman merupakan cara penting lainnya untuk memahami kerentanan jaringan dan merumuskan rencana respons. Berdasarkan hal ini, firewall berbasis sakelar, inspeksi paket mendalam, daftar putih, dan perlindungan jaringan lainnya akan diterapkan secara tertib. Steve melanjutkan, "Jika jaringan saluran kedua dibuka karena konektivitas langsung, penting juga untuk melindungi lapisan perangkat. Contoh perlindungan lapisan perangkat adalah Keamanan CIP EtherNet/IP, yang menyediakan autentikasi perangkat, identitas, integritas data, kerahasiaan, autentikasi pengguna, dan penegakan kebijakan. Keamanan CIP juga menawarkan perlindungan fleksibel melalui profil yang dapat diterapkan sesuai permintaan berdasarkan penggunaan. Terakhir, karena perilaku dan metode serangan jaringan terus berkembang, penting untuk meninjau dan merevisi strategi keamanan, pelatihan, dan tindakan perlindungan secara berkala."

Dengan semakin banyaknya perangkat otomatis yang terhubung langsung ke cloud dan semakin meratanya jaringan, memiliki strategi keamanan yang terencana dan memiliki sumber daya yang memadai sangatlah penting. "Realitas baru adalah bahwa kerentanan cenderung terjadi, yang mengarah pada munculnya pendekatan keamanan Zero Trust, yang memerlukan validasi untuk setiap koneksi dan hanya mengizinkan akses yang diperlukan. Sama pentingnya untuk diingat bahwa keamanan fisik, pelatihan karyawan, dan pendekatan berbasis proses dapat menawarkan pengembalian investasi yang sangat tinggi." Steve percaya bahwa perlindungan harus diterapkan pada tingkat terendah. Keamanan merupakan pendorong utama untuk menghubungkan perangkat otomatis ke cloud, yang mengarah pada peningkatan produktivitas yang signifikan, menjadikannya investasi yang berharga untuk operasi industri di masa mendatang.

Merancang Keamanan dari Awal

Secara tradisional, perusahaan industri mengandalkan model Purdue untuk menciptakan lingkungan OT yang aman dengan mengelompokkan proses fisik, sensor, kontrol pemantauan, operasi, dan logistik. Namun, seperti yang telah kita dengar, platform yang lebih terbuka kini semakin memfokuskan keamanan jaringan OT.

Michael Lester, Direktur Strategi, Tata Kelola, dan Arsitektur Keamanan Siber di Emerson, mengatakan, "Organisasi kini perlu mempertimbangkan keamanan siber pada tahap rekayasa dan desain awal proyek sistem kontrol, yang membuat sistem aman sejak awal. Di masa lalu, pertahanan keamanan siber sering ditambahkan kemudian. Ini lebih mahal dan kurang efektif daripada menggabungkan keamanan siber ke dalam proyek sejak awal."

Oleh karena itu, perusahaan manufaktur kini perlu merancang aplikasi perangkat lunak OT dari awal, berdasarkan prinsip Zero Trust, untuk menciptakan pabrik yang aman secara inheren berdasarkan desain. Chief Technology Officer Emerson, Peter Zornio, percaya bahwa mencapai keamanan pabrik yang inheren berdasarkan desain tidak akan terjadi dalam semalam; itu akan membutuhkan usaha bertahun-tahun, yang baru sepenuhnya terwujud saat perangkat lunak sistem secara bertahap diperbarui untuk menggabungkan arsitektur keamanan. Setiap kali berkomunikasi dengan perangkat lunak lain, ia perlu mencari autentikasi dan memiliki hak akses data yang benar. Beberapa produk terbaru Emerson sudah menyertakan perangkat lunak dengan keamanan desain inheren, tetapi secara realistis, mungkin diperlukan waktu 5 hingga 10 tahun sebelum semua perangkat lunak di pabrik dapat mendukung Zero Trust. Namun, ketika ini menjadi kenyataan, itu akan menjadi solusi utama untuk masalah keamanan siber.

Lebih jauh, keamanan siber membutuhkan lebih dari sekadar teknologi. Michael percaya bahwa keamanan siber juga membutuhkan perubahan dalam perilaku dan budaya. Seluruh organisasi perlu memahami secara mendalam mengapa dan bagaimana mencapai keamanan siber, yang sangat penting untuk mendorong perubahan perilaku yang berarti. Oleh karena itu, membangun budaya keamanan siber yang mencakup orang, proses, dan teknologi adalah penting.

Langkah-Langkah yang Lebih Kuat untuk Perlindungan Sistem OT

Seiring sistem OT terus terintegrasi dengan jaringan IT, memperkenalkan protokol komunikasi berbasis internet seperti MQTT dan protokol transmisi data yang ada seperti HTTPS, CsCAN, dan Modbus, permukaan serangan meluas, sehingga menghadirkan vektor serangan baru. Hal ini memerlukan serangkaian langkah keamanan siber yang lebih kuat untuk mengurangi risiko. Sean Mackey, Insinyur Keamanan Siber di Horner Ireland, menyarankan langkah-langkah berikut untuk membantu teknisi kontrol melindungi lingkungan OT mereka dengan lebih baik:

1. Memahami Lingkungan: Memahami sepenuhnya infrastruktur OT, termasuk sistem kontrol industri, SCADA, PLC, dan perangkat lain yang saling terhubung. Mengidentifikasi potensi kerentanan dengan mendokumentasikan aset, arsitektur jaringan, protokol, dan jalur komunikasi.
2. Penilaian Risiko dan Inventarisasi Aset: Lakukan penilaian risiko menyeluruh untuk mengidentifikasi aset penting dan potensi kerentanan. Buat inventaris aset, kategorikan sistem berdasarkan tingkat kekritisannya, dan nilai risiko terkait. Prioritaskan langkah-langkah keamanan berdasarkan penilaian ini.
3. Segmentasi Jaringan: Terapkan segmentasi jaringan yang kuat, seperti celah udara, firewall untuk menyaring dan memantau lalu lintas, serta mengisolasi sistem penting untuk menjaga aset OT utama terpisah dari sistem yang tidak penting dan jaringan eksternal. Batasi dampak kerentanan atau serangan dengan membatasinya dalam segmen jaringan tertentu dan mengurangi permukaan serangan.
4. Kontrol Akses dan Autentikasi: Terapkan kontrol akses dan mekanisme autentikasi yang kuat untuk membatasi akses tidak sah ke sistem OT. Autentikasi multifaktor, kontrol akses berbasis peran, dan prinsip hak istimewa paling rendah harus ditegakkan untuk memastikan bahwa hanya personel yang berwenang yang dapat mengakses sistem penting.
5. Manajemen Patch: Mengembangkan dan menerapkan proses manajemen patch yang ketat untuk menjaga sistem OT tetap mutakhir dengan kerentanan yang diketahui. Ini termasuk pembaruan firmware dan perangkat lunak yang terkait dengan perbaikan kerentanan apa pun untuk PLC/HMI. Prioritaskan patch berdasarkan tingkat kekritisannya.
6. Pemantauan Jaringan dan Deteksi Intrusi: Terapkan alat pemantauan jaringan dan sistem deteksi intrusi (IDS) yang tangguh untuk mendeteksi dan menanggapi aktivitas yang tidak biasa secara real time. Pantau lalu lintas jaringan, log sistem, dan pola perilaku untuk mengidentifikasi potensi ancaman atau pelanggaran keamanan dengan segera.
7. Keamanan Titik Akhir: Terapkan solusi perlindungan titik akhir, seperti firewall, perangkat lunak antivirus, dan sistem pencegahan intrusi, untuk perangkat serupa di jaringan yang sama, guna melindungi perangkat industri Anda dari malware dan akses tidak sah.
8. Enkripsi: Enkripsikan data baik saat transit maupun saat tidak digunakan untuk mencegah intersepsi atau gangguan yang tidak sah. Terapkan protokol enkripsi yang kuat untuk komunikasi jaringan, seperti Transport Layer Security (TLS), khususnya saat menggunakan sertifikat X.509 dalam industri yang banyak menggunakan MQTT, dan enkripsi data sensitif yang disimpan di perangkat OT.
9. Rencana Tanggap Insiden: Mengembangkan rencana respons insiden komprehensif yang menguraikan prosedur untuk mendeteksi, menanggulangi, dan mengurangi insiden keamanan siber. Menetapkan peran dan tanggung jawab, menetapkan protokol komunikasi, dan melakukan latihan rutin untuk memastikan kesiapan menghadapi serangan siber.
10. Pelatihan dan Kesadaran Karyawan: Melatih personel OT tentang praktik terbaik keamanan siber, termasuk mengenali upaya phishing, mengidentifikasi aktivitas mencurigakan, dan menanggapi insiden keamanan. Memupuk budaya kesadaran keamanan siber, yang memungkinkan karyawan berpartisipasi aktif dalam melindungi sistem OT.
11. Manajemen Risiko Vendor: Menilai dan mengelola risiko keamanan siber yang terkait dengan vendor dan pemasok pihak ketiga yang menyediakan komponen atau layanan OT. Mengembangkan perjanjian kontrak yang menetapkan persyaratan keamanan dan melakukan audit vendor secara berkala.
12. Kepatuhan dan Persyaratan Peraturan: Tetap terinformasi tentang peraturan khusus industri dan standar kepatuhan yang terkait dengan keamanan siber OT, seperti NIST SP 800-82 dan ISA/IEC 62443. Pastikan sistem OT mematuhi persyaratan ini untuk menghindari dampak hukum dan peraturan serta meminimalkan risiko pelanggaran OT karena penerapan keamanan siber yang buruk.

Memastikan Perlindungan Penuh Sistem OT

Dalam lingkungan OT, sebagian besar sistem sangat penting, yang berarti gangguan atau kompromi apa pun dapat memiliki konsekuensi yang luas. Daniel Sukowski, Pengembangan Bisnis Global IIOT di Paessler, menekankan bahwa mengingat taruhannya, melindungi lingkungan OT secara efektif tidak pernah lebih penting. Namun, mencapai tujuan ini tidak pernah lebih menantang. Dalam dunia yang saling terhubung dan digital, pertumbuhan eksponensial perangkat IIOT mengarah pada sistem yang semakin kompleks. Jaringan OT yang sebelumnya terisolasi kini dibuka untuk menghubungkan sistem dan perangkat baru dari sumber eksternal, sering kali lintas wilayah. Meskipun konektivitas ini menawarkan banyak keuntungan, hal itu juga menimbulkan risiko yang signifikan.

Untuk melindungi sistem OT secara menyeluruh, perusahaan harus berinvestasi dalam teknologi pemantauan. Daniel menyarankan, "Sistem pemantauan yang efektif dengan dasbor terpusat dan kemampuan memberi peringatan dapat memberikan gambaran yang lebih komprehensif kepada perusahaan. Sistem ini dapat menggabungkan data dari semua lokasi (lingkungan OT, sensor IIoT, jaringan kabel dan nirkabel, serta perangkat dan sistem TI tradisional) di bawah satu platform perlindungan. Sistem ini memberikan visibilitas yang komprehensif, yang lebih penting dari sebelumnya karena penjahat dunia maya terus berkembang dan menjadi dewasa."

Lebih jauh lagi, perusahaan perlu secara berkala melakukan audit keamanan dan penilaian risiko pada sistem operasional mereka untuk membantu mengidentifikasi kerentanan. Hal ini harus mencakup risiko keamanan informasi, risiko siber, dan semua risiko operasional OT yang umum. Bagian lain dari tantangan ini adalah pelatihan berkelanjutan untuk semua karyawan yang relevan. Konten pelatihan harus diperbarui secara berkala untuk memastikan bahwa perusahaan beroperasi sesuai dengan pedoman dan peraturan terbaru. Misalnya, ketika Arahan NIS2 yang akan datang menjadi hukum nasional di semua negara anggota UE pada bulan Oktober 2024, karyawan perlu memastikan bahwa mereka dan bisnis mereka yang lebih luas tetap patuh.

Arahan NIS2 disusun berdasarkan Arahan NIS (NISD) asli dengan memperbarui undang-undang keamanan siber Uni Eropa saat ini. Tujuannya adalah untuk memperkuat keamanan OT, menyederhanakan pelaporan, dan membuat aturan serta sanksi yang konsisten di seluruh Uni Eropa. Dengan memperluas cakupannya, NIS2 akan mengharuskan lebih banyak perusahaan dan sektor untuk menerapkan langkah-langkah keamanan siber.

Silakan klik tautan di bawah untuk membaca lebih lanjut:

Memperkenalkan Sasis Robot Reeman Moon Knight

Memperkenalkan Robot Pengiriman Makanan Flash

Memperkenalkan Robot Pengiriman Perawat Rumah Sakit