Dalam artikel ini saya akan memberikan beberapa referensi untuk menerapkan pendekatan metodologis, yang dikembangkan berdasarkan pengalaman internasional, dengan menggunakan standar khusus, IEC62443, untuk pertahanan siber atas infrastruktur penting yang diperlukan untuk berfungsinya negara.
Situasi yang kita jalani setiap hari menunjukkan kepada kita bahwa perang dunia maya memiliki karakteristik yang sangat berbeda dari konflik tradisional. Serangan dunia maya mengikuti prinsip-prinsip perang asimetris: tidak ada front yang terdefinisi dengan baik, serangan dapat datang kapan saja dan di mana saja. Bahkan dengan sumber daya yang terbatas, kerusakan besar dapat terjadi: oleh karena itu perlindungan harus disebarluaskan, diperbarui, dan disusun menurut kriteria yang solid, divalidasi, dan dibagikan.
Dalam dunia infrastruktur kritis, kontinuitas penyediaan layanan utilitas publik memiliki prioritas tertinggi dan harus dijaga, untuk memastikan tidak terjadi kerusakan pada manusia, lingkungan, atau sistem proses. Kerusakan yang dapat menyebabkan kerugian besar nyawa manusia dan modal finansial.
Dari sudut pandang ini, undang-undang NIS telah memberikan kontribusi yang kuat dalam mengidentifikasi tujuan penting, mengidentifikasi risiko, dan memungkinkan untuk menyadari langkah-langkah perlindungan dunia maya yang sebenarnya yang ada di negara ini.
Setelah menyelesaikan langkah pertama, penting bahwa kekhususan sistem kontrol industri sekarang dipertimbangkan, yang hampir selalu mewakili detak jantung infrastruktur yang menyediakan layanan penting. Pikirkan DCS (Sistem Kontrol Terdistribusi) di pabrik petrokimia atau di industri farmasi, SCADA (Kontrol Pengawasan Dan Akuisisi Data) di jaringan distribusi listrik, gas atau air minum, BMS (Sistem Manajemen Gedung) untuk kontrol sebuah struktur rumah sakit. Nah, semua infrastruktur ini perlu dilindungi tepat waktu untuk memastikan fungsinya, sesuai aturan yang jelas, terdefinisi dengan baik dan mudah diterapkan, dalam hal teknologi dan proses. Dan itu dapat dipahami dan diterapkan dalam konteks yang tidak semata-mata didedikasikan untuk Teknologi Informasi (TI), tetapi dipengaruhi oleh modus operandi mereka yang berinteraksi dengan dunia siber-fisik, dan seringkali tidak memiliki latar belakang yang menyeluruh dalam DIA.
Keselamatan dan keamanan
Dalam kosakata sistem kontrol industri digunakan terminologi yang berasal dari bahasa Anglo-Saxon yang membedakan antara Keselamatan dan Keamanan.
Dalam bahasa Italia kami tidak memiliki perbedaan ini, kami berbicara tentang "keselamatan" dalam arti yang mencakup semua, tetapi perbedaan berbahasa Inggris memiliki alasan sendiri: "Keselamatan" berkaitan dengan keselamatan HSE, yaitu Kesehatan, Keselamatan & Lingkungan "(harfiah: Kesehatan, Keselamatan dan Lingkungan), sedangkan "Keamanan" berkaitan dengan keamanan data, yang di dunia industri tidak, bagaimanapun, yang berkaitan dengan data pribadi, melainkan data yang diperlukan untuk mempertahankan proses aktif dan berfungsi dengan benar.
Di beberapa pabrik terdapat sistem yang dirancang untuk menjaga Keselamatan, yang disebut Sistem Instrumen Keamanan (SIS) yang memiliki tugas bertindak sebagai garis pertahanan ekstrem sebelum suatu sistem dapat menghasilkan kerusakan yang sangat besar. Sebagai contoh, SIS adalah sistem yang mengawasi pemadaman darurat sebelum ledakan dapat terjadi dalam reaktor proses, pada penutupan bagian pembangkit yang mengalami kebakaran, sehingga api tidak merambat, adalah sistem yang mengatur lalu lintas di terowongan. Nah, sistem ini harus sudah sesuai dengan tingkat keamanan SIL (Safety Integrity Level) yang ditentukan oleh standar internasional (antara lain IEC 61511, IEC61508), juga diambil dari undang-undang nasional yang memberikan skala keselamatan untuk dihormati dalam fungsi risiko. untuk dimitigasi dinilai pada kerusakan yang dapat disebabkan oleh kegagalan fungsi mereka.
Skala keamanan untuk keselamatan berubah dari SIL1: nilai minimum, ke SIL4: keamanan maksimum untuk sistem.
Kepatuhan terhadap SIL adalah praktik yang telah digunakan selama beberapa waktu dan diterima di semua sektor industri dan infrastruktur penting dan memungkinkan definisi yang jelas dan tepat tentang bagaimana melindungi manusia, baik mereka pekerja, pengguna, atau warga negara dari kerusakan yang mungkin terjadi. disebabkan oleh mesin, dipahami dalam arti luas.
Sama halnya dengan metode klasifikasi "keamanan" dengan skala yang mudah dipahami dan dapat diterapkan, ada standar "de facto" khusus untuk perlindungan sistem kontrol industri OT (Teknologi Operasional) dari serangan dunia maya: IEC62443, yang sekarang mengasumsikan nilai horizontal, yaitu berlaku dalam konteks infrastruktur apa pun di mana ada sistem atau jaringan yang harus dilindungi dari tindakan manusia yang jahat (keamanan).
Standar ini lahir di Amerika Serikat pada awal 2000-an sebagai ISA99 (International Society of Automation) dan kemudian diimplementasikan secara internasional sebagai IEC62443 (International Electrotechnical Commission). Salah satu bagian dari standar ini (modul 3-3) mendefinisikan tingkat keamanan siber yang akan diterapkan sesuai dengan risiko dan ancaman yang harus dilindungi.
Apa saja ancamannya? Bagaimana mereka dapat diklasifikasikan dan kemudian menerapkan tindakan perlindungan?
Dalam hal ini, ada beberapa klasifikasi, tetapi salah satu yang paling efektif adalah FBI yang mengidentifikasi hal-hal berikut:
Standar IEC62443-3-3 mendefinisikan Tingkat Keamanan, sebagai tingkat keamanan yang akan diterapkan, sebagai fungsi parameter risiko yang terkait dengan ancaman yang tercantum di atas, berdasarkan empat faktor utama: Motivasi, Keterampilan, Sarana, dan Sumber Daya.
Penerapan tingkat keamanan SL4 memungkinkan infrastruktur kritis memiliki perlindungan yang sangat tinggi untuk menghadapi serangan cyberwar yang dipicu oleh APT (Advanced Persistent Threats), yaitu oleh organisasi yang memiliki sumber daya yang luas, sarana yang canggih, pengetahuan yang mendalam di lapangan. Industrial Control Systems (ICS) dan yang memiliki motivasi kuat.
Bagaimana dan mengapa mengevaluasi SL Tingkat Keamanan?
SL mewakili parameter objektif, tidak tunduk pada penyimpangan yang dapat diwarisi dari pengalaman individu, dari persuasif pemasok teknologi atau dari sejarah perusahaan sebelumnya. Standar IEC62443 mendefinisikan 7 parameter (Persyaratan Fungsional) untuk mengevaluasi tingkat keamanan: Kontrol Otentikasi Identifikasi, Kontrol Pengguna, Integritas Data, Kerahasiaan Data, Aliran Data Terbatas, Respons Tepat Waktu terhadap Peristiwa, Ketersediaan Sistem.
Setiap FR memiliki Kontrol Tambahan yang harus dipatuhi, tergantung pada tingkat keamanan yang akan diperoleh. Untuk mengevaluasi SL, ada daftar periksa khusus untuk sistem dan jaringan, dengan lebih dari 100 item untuk diperiksa.
Apa keuntungan memperkenalkan pendekatan "berbasis standar" untuk melindungi infrastruktur negara? Pendekatan semacam itu memberikan kemungkinan untuk secara jelas mendefinisikan tingkat keamanan minimum, berdasarkan risiko serangan siber terhadap infrastruktur itu sendiri.
Dari sisi operator, diusulkan model klasifikasi yang telah memasuki modus operandinya terkait keamanan fisik dengan tingkat SIL yang telah ditentukan sebelumnya. Dan sebagai manfaat lebih lanjut, operator diberi kesempatan untuk menentukan jalur keamanan yang dapat dikembangkan dalam “tonggak sejarah” untuk mencapai Target Tingkat Keamanan yang jelas, dalam kerangka waktu yang wajar.
Pendekatan penerapan perlindungan siber menurut IEC62443 dengan Tingkat Keamanan semakin meluas secara internasional. Faktanya, saat ini banyak proyek, terutama di luar negeri, memerlukan kepatuhan pada level SL2 atau SL3, di mana infrastruktur dianggap kritis dan efek serangan berbahaya dapat berdampak pada populasi atau lingkungan.
Dalam hal ini, cukup untuk mengingat bagaimana pada tahun 2015, setelah serangan cyber BlackEnergy di jaringan listrik Kiev, yang menyebabkan pemadaman di tengah kota, analisis forensik menunjukkan bahwa penerapan Tingkat Keamanan 2 dalam sistem kontrol jaringan listrik akan mencegah eksploitasi menjadi sukses.
Kesimpulan
Sebagai kesimpulan, saya percaya bahwa waktunya telah tiba untuk memberikan perhatian khusus tidak hanya pada pertahanan privasi data pribadi atau penyimpanan data bisnis, tetapi juga pada pertahanan infrastruktur penting dalam hal kelangsungan operasi dan risiko HSE, menerapkan standar yang didedikasikan untuk perlindungan dunia maya dari sistem kontrol industri dalam arti luas, seperti IEC61443.
Penting bahwa perhatian diberikan untuk memberi operator layanan penting panduan tertentu untuk menerapkan langkah-langkah perlindungan sistem kontrol yang homogen. Tingkat keamanan siber minimum harus diperlukan, seperti untuk melindungi Keamanan infrastruktur penting, seperti yang sudah terjadi pada Keselamatan. Perlindungan infrastruktur negara dan sistem kontrol industri harus ditetapkan dengan standar khusus, dan tingkat keamanan yang obyektif dan terukur, jika tidak, kita dapat mengambil risiko menemukan diri kita dalam kegelapan atau tanpa air, tetapi dengan data pribadi tagihan kita dijaga dengan baik. dan dilestarikan.
Umberto Cattaneo (spesialis bersertifikat IEC62443, PMP)
Referensi:
PANDUAN MULAI CEPAT: GAMBARAN UMUM STANDAR ISA / IEC 62443, ALIRAN KEAMANAN SIBER GLOBAL ISA,
https://gca.isa.org/blog/download-the-new-guide-to-the-isa/iec-62443-cyb...
SERI 62443 STANDAR: OTOMASI INDUSTRI DAN KEAMANAN KONTROL, KOMITE ISA99
Energi Hitam: https://attack.mitre.org/software/S0089/ https://www.cisa.gov/uscert/ics/alerts/ICS-ALERT-14-281-01B
