Peraturan masih diperlukan untuk memaksa penerapan langkah-langkah keamanan siber

Pedoman dan alat yang dirancang untuk membantu organisasi memperkuat postur dunia maya mereka akan menjadi tidak berguna jika tidak ada peraturan untuk memastikan praktik-praktik tersebut diterapkan.

Peraturan masih diperlukan untuk memastikan organisasi terdorong untuk mengadopsi langkah-langkah yang dirancang untuk memperkuat postur keamanan siber mereka.

Singapura minggu ini merilis panduan yang dikatakan akan membantu organisasi, termasuk usaha kecil dan menengah (UKM), untuk lebih memahami risiko yang terkait dengan penggunaan layanan cloud dan apa yang harus mereka, serta penyedia cloud mereka, lakukan untuk mengamankan lingkungan cloud.

Dua "panduan pendamping" keamanan cloud berfungsi untuk memfasilitasi penerapan standar keamanan siber nasional, Cyber Essentials dan Cyber Trust, yang dikembangkan oleh Badan Keamanan Siber (CSA) Singapura, yang mengumumkan peluncurannya pada konferensi tahunan Pekan Siber Internasional Singapura.

Diterbitkan bersama Cloud Security Alliance, panduan pendamping ini dikembangkan erat dengan tiga vendor cloud -- Amazon Web Services (AWS), Google Cloud, dan Microsoft -- yang memberikan wawasan pelanggan dan statistik pasar yang relevan. Para pemain cloud juga "memvalidasi" konten yang disediakan dalam panduan pendamping, kata CSA.

Panduan ini menguraikan risiko dan tanggung jawab khusus cloud organisasi, dan langkah-langkah yang harus diambil untuk menjaga lingkungan mereka, termasuk pelatihan staf dan mekanisme untuk melacak dan memantau inventaris layanan cloud mereka. Dokumen tersebut juga mencakup panduan khusus penyedia untuk lingkungan yang berjalan di platform AWS, Microsoft, dan Google, yang disusun berdasarkan langkah-langkah untuk standar Cyber Essentials dan Cyber Trust.

“Kebingungan [yang umum] ketika organisasi menggunakan cloud adalah pembagian tanggung jawab antara mereka sebagai pengguna cloud, dan tanggung jawab penyedia cloud mereka,” kata CSA. “Dalam penerapan cloud, terdapat tanggung jawab bersama, dan organisasi mungkin tidak sepenuhnya menyadari area yang menjadi tanggung jawab mereka. Hal ini dapat meningkatkan kemungkinan kesalahan konfigurasi, serangan berbahaya, dan/atau pelanggaran data.”

Tersedia secara gratis, panduan ini diharapkan dapat membantu 27% bisnis di Singapura yang menggunakan layanan komputasi awan, kata lembaga pemerintah tersebut, mengutip studi tahun 2022 dari Infocomm Media Development Authority (IMDA).

Singapura pada minggu ini juga mengambil langkah lebih lanjut untuk memperluas inisiatif pelabelan keamanan nasional yang mencakup perangkat medis, dengan meluncurkan kotak pasir (sandbox) yang dapat digunakan oleh produsen untuk menguji produk mereka. Peserta sandbox kemudian akan memberikan masukan mengenai persyaratan dan proses aplikasi, yang akan digunakan untuk menilai perangkat berdasarkan skema pelabelan medis yang dijadwalkan untuk diluncurkan di kemudian hari.

Sandbox ini akan berjalan selama sembilan bulan, dan umpan baliknya akan digunakan untuk menyempurnakan alur kerja operasional dan persyaratan dalam skema, jika diperlukan, kata CSA. Sandbox ini diluncurkan bekerja sama dengan Kementerian Kesehatan, Otoritas Ilmu Kesehatan, dan Synapxe.

Mengingat bahwa 15%, atau lebih dari 16.000, perangkat medis di institusi layanan kesehatan umum setempat memiliki konektivitas internet, CSA mengatakan perangkat medis semakin terhubung ke rumah sakit dan jaringan rumah. Hal ini dapat meningkatkan risiko keamanan siber, misalnya celah keamanan pada perangkat lunak yang digunakan untuk diagnostik klinis dapat dieksploitasi untuk menghasilkan diagnosis yang salah. Perangkat medis yang tidak aman juga dapat menjadi sasaran serangan penolakan layanan, sehingga mencegah pasien menerima perawatan.

Peralatan tersebut juga dapat disadap oleh peretas jahat untuk menerobos jaringan rumah sakit, yang dapat mengakibatkan kebocoran data atau penutupan jaringan.

Dengan perluasan skema pelabelan keamanan yang mencakup perangkat medis, produsen akan termotivasi untuk memasukkan keamanan ke dalam desain produk mereka, dan operator layanan kesehatan dapat membuat keputusan yang lebih tepat mengenai penggunaan perangkat tersebut, menurut CSA. Skema ini mencakup empat peringkat, dengan setiap tingkat mencerminkan tes tambahan yang menjadi dasar evaluasi produk.

Sandbox akan memungkinkan produsen perangkat untuk menguji produk mereka berdasarkan berbagai penilaian, termasuk analisis biner perangkat lunak, pengujian penetrasi, dan evaluasi keamanan.

Namun, inisiatif dan praktik terbaik keamanan lainnya hanya dapat berjalan sejauh ini jika hal ini ditawarkan sebagai pedoman dan nasihat, dan bukan sebagai mandat yang harus diadopsi oleh dunia usaha.

Banyak praktisi teknologi dan CISO yang akan mengacu pada panduan dan melihat praktik-praktik terbaik dalam industri, namun hal ini hanya akan berhasil jika panduan tersebut diberikan hanya sebagai nasihat, bukan sebagai peraturan, kata Karan Sondhi, wakil presiden dan CTO sektor publik untuk sektor publik. vendor keamanan, Trellix.

Inisiatif seperti program pelabelan keamanan, misalnya, berfungsi sebagai alat informasi, dan bukan sebagai penegakan hukum, kata Sondhi dalam wawancara dengan ZDNET, di sela-sela konferensi.

Harold Rivas, yang menjabat sebagai CISO Trellix, sependapat, dan mencatat bahwa skema pelabelan membantu keputusan pembelian dan menciptakan kesadaran tentang potensi risiko. Hal ini memberikan alasan bagi pengambil keputusan untuk mempertimbangkan alternatif dan berfungsi sebagai titik referensi yang baik untuk praktik terbaik yang divalidasi secara independen, kata Rivas.

Namun pada akhirnya, harus ada mandat yang jelas untuk mendorong industri ini menuju hasil yang jelas, kata Rivas.

Persyaratan tersebut, misalnya, dapat mencakup strategi manajemen patch yang tepat dan sistem pemantauan yang kuat, kata Sondhi. Hal ini harus disertai dengan peta jalan peluncurannya, sehingga pelaku pasar akan diberikan jadwal yang diperlukan untuk memastikan kepatuhan, tambahnya.

Menyadari bahwa pasti akan ada penolakan karena kekhawatiran akan dampak mandat tersebut terhadap biaya dan waktu pemasaran, ia mengatakan peraturan tidak perlu terlalu rumit. Mereka juga dapat menunjuk pada badan standar pendamping yang bertugas memberikan rincian lebih lanjut dan memperbarui penerapan praktik terbaik bila diperlukan. Hal ini akan membebaskan pemerintah dari keharusan mengikuti perubahan pasar dan sebaliknya fokus pada penerapan persyaratan tingkat tinggi, katanya.

Penegakan hukum juga merupakan titik awal yang baik ketika jalan menuju ketahanan siber masih panjang dan penuh dengan kompleksitas.

Organisasi di sektor teknologi operasional (OT), khususnya, memiliki ekosistem yang harus dikelola secara berbeda dari infrastruktur TI, kata Sondhi. Mereka perlu melakukan inventarisasi semua sistem dan perangkat OT mereka, dan memastikan alat pihak ketiga diamankan serta terintegrasi sehingga mereka memiliki visibilitas yang jelas di seluruh rantai pasokan mereka.

Pemerintah negara-negara lain, termasuk Singapura dan Amerika Serikat, kini membantu sektor OT dan CII (infrastruktur informasi penting) untuk mengatasi permasalahan ini, kata Rivas. Namun perjalanannya panjang dan memakan waktu, katanya.

Pemerintah dapat memfasilitasi dengan menerapkan persyaratan industri tertentu, sehingga memungkinkan semua pelaku industri untuk secara bertahap menerapkannya, kata Sondhi. Misalnya, organisasi yang menyediakan layanan terkait pemerintah seperti smart meter harus menunjukkan bahwa mereka memiliki inventarisasi sistem dan jadwal manajemen patch yang jelas. Vendor yang melanggar persyaratan yang ditetapkan dalam perjanjian kontrak ini harus dikenakan sanksi, katanya.

Kerangka peraturan menyeluruh seperti itu membantu mendorong tindakan ke depan dan berfungsi untuk melindungi organisasi dan masyarakat, kata Rivas.

Ketahanan dunia maya yang kuat sangatlah penting, terutama karena beberapa sektor ini menghadapi ancaman yang semakin besar.

Organisasi sektor publik di Asia-Pasifik, misalnya, harus menangkis hampir 3.000 serangan rata-rata dalam seminggu selama enam bulan terakhir, menurut Vivek Gullapalli, CISO Asia-Pasifik di Check Point Software Technologies.

Sektor pendidikan dan penelitian mengalami jumlah serangan mingguan tertinggi, yakni 4.057 serangan per organisasi, selama enam bulan terakhir, diikuti oleh layanan kesehatan dengan 2.958 serangan, dan sektor pemerintah dan militer, dengan 2.882 serangan.

Penggunaan digital meningkatkan permukaan serangan mereka dan ransomware menimbulkan ancaman serius dengan kemampuannya mematikan seluruh jaringan, kata Gullapalli. Risiko-risiko ini telah mendorong pemerintah untuk melindungi industri CII dan OT mereka.

Dia menambahkan bahwa beberapa dari sektor ini masih baru, dimana negara-negara pintar masih dibangun dengan teknologi baru seperti kendaraan tanpa pengemudi, kamera pintar, dan perangkat Internet of Things (IoT) lainnya.

Seiring dengan terus berkembangnya infrastruktur OT yang mendasarinya, kemampuan untuk mengelola seluruh ekosistem akan menjadi kompleks. Misalnya, pendekatan berbeda mungkin diperlukan untuk menerapkan patch keamanan pada perangkat OT. Dan seiring dengan meningkatnya permintaan akan konektivitas, organisasi perlu mencari tahu perangkat mana yang saling terhubung dan, oleh karena itu, memerlukan perlindungan keamanan lebih lanjut dan alat yang tertanam.

Dengan pengelolaan infrastruktur yang terkadang tumpang tindih antara sektor publik dan swasta, kerangka kerja yang tepat juga perlu ditetapkan untuk melindungi seluruh ekosistem OT, katanya.

Masih banyak yang harus dipelajari dan diperlukan pendekatan yang berbeda, kata Gullapalli. Di tengah evolusi yang sedang berlangsung ini, ia mendesak perlunya diskusi dan kolaborasi berkelanjutan antara pemerintah, produsen perangkat OT, dan pelaku keamanan untuk menutup kesenjangan tersebut.