Perbedaan Keamanan OT dan IT

Menerapkan praktik keamanan IT secara langsung ke OT sering kali lebih banyak menimbulkan kerugian daripada manfaat. Kedua ranah ini mengoptimalkan tujuan yang berbeda, menggunakan teknologi yang berbeda, dan mengalami kegagalan dengan cara yang berbeda. Praktisi yang beralih ke OT harus meninggalkan sejumlah refleks.

Pelajaran ini membandingkan prioritas, batasan, dan ancaman yang menjadikan keamanan OT sebagai disiplin tersendiri.

IT memprioritaskan trias CIA sebagai Kerahasiaan, Integritas, dan Ketersediaan. OT pada praktiknya membalik prioritas tersebut.

• Ketersediaan terlebih dahulu — proses harus terus berjalan; waktu henti dapat berbahaya atau sangat mahal
• Integritas kedua — pembacaan dan perintah harus dapat dipercaya
• Kerahasiaan terakhir — nilai sensor jarang bersifat rahasia

Di atas semuanya terdapat satu perhatian yang tidak memiliki kedudukan sama dalam IT: keselamatan. Melindungi nyawa manusia dan lingkungan lebih utama daripada segala hal.

Di OT, kontrol keamanan yang dapat menyebabkan proses berperilaku tak terduga mungkin lebih buruk daripada ancaman. Tindakan otomatis yang memicu penghentian turbin atau menutup katup pada saat yang salah dapat mencederai orang.

• Perubahan keamanan tidak boleh membahayakan fungsi keselamatan
• Insinyur, bukan hanya staf keamanan, harus memberikan persetujuan akhir atas perubahan
• SIS harus tetap independen dan dapat dipercaya

Inilah sebabnya taktik IT yang agresif seperti isolasi otomatis memerlukan penyesuaian yang cermat di OT.

Di IT, penerapan perbaikan dengan segera dianggap sebagai kewajiban mutlak. Di OT, hal itu dibatasi.

• Penerapan perbaikan mungkin memerlukan penghentian pabrik yang dijadwalkan dengan jarak berbulan-bulan
• Sertifikasi pemasok mungkin melarang perbaikan yang tidak disetujui
• Perbaikan yang buruk dapat menghentikan produksi atau menggagalkan jaminan keselamatan

Karena penerapan perbaikan berjalan lambat, OT lebih mengandalkan kontrol kompensasi: segmentasi, pemantauan, dan kontrol akses untuk melindungi sistem yang tidak dapat segera diperbarui.

Peralatan OT beroperasi selama beberapa dekade. Sangat umum menemukan pengendali dan sistem operasi yang sudah lama melewati masa dukungan pemasok tetapi masih digunakan dalam produksi, karena menggantinya berarti membangun ulang lini fisik.

• Versi sistem operasi tanpa dukungan dan tanpa perbaikan yang tersedia
• Perangkat keras yang tidak dapat menjalankan agen keamanan modern
• Protokol yang dirancang pada masa ketika jaringan diasumsikan terisolasi

Anda harus mengamankan apa yang ada, bukan apa yang Anda harapkan ada.

Banyak protokol industri dibuat untuk jaringan yang dipercaya dan terisolasi secara fisik sehingga secara bawaan tidak memiliki autentikasi atau enkripsi. Pada jaringan seperti itu, perangkat apa pun yang dapat menjangkau pengendali dapat memberinya perintah.

• Perintah diterima tanpa membuktikan identitas pengirimnya
• Lalu lintas sering berupa teks biasa dan mudah dipalsukan
• Pada versi lama, ini adalah asumsi perancangan, bukan kesalahan yang dapat diperbaiki

Perlindungan diperoleh dengan mengendalikan siapa yang dapat menjangkau jaringan, yang akan dibahas nanti.

Di IT, pemindaian kerentanan merupakan hal rutin. Di OT, pemindaian agresif dapat membuat perangkat rapuh berhenti. Beberapa PLC mengalami gangguan atau berhenti saat menerima lalu lintas yang tidak terduga, yang dapat berbahaya pada proses yang sedang berjalan.

• Utamakan pemantauan jaringan pasif daripada pemindaian aktif
• Uji setiap alat aktif di laboratorium atau selama jendela pemeliharaan terlebih dahulu
• Berkoordinasilah dengan tim operasi sebelum menyentuh jaringan produksi

Semboyannya: di OT, evaluasi tidak boleh berubah menjadi insiden.

Lingkar kendali berjalan dengan pengaturan waktu yang ketat. Penambahan keterlambatan atau variasi waktu dapat membuat proses tidak stabil.

• Perangkat keamanan yang dipasang di jalur tidak boleh menimbulkan penundaan yang berbahaya
• Agen yang berat dapat menghabiskan CPU sehingga tugas waktu nyata kekurangan sumber daya
• Perubahan jaringan dapat merusak komunikasi dengan pengaturan waktu yang ketat

Keamanan harus sesuai dengan determinisme yang diperlukan proses, sehingga solusi yang sederhana di IT sering kali tidak dapat digunakan.

Perbedaan yang menentukan: insiden OT menimbulkan dampak fisik di dunia nyata. Server IT yang disusupi membocorkan data; sistem OT yang disusupi dapat menyebabkan tangki meluap, merusak turbin, mencemari air, atau membahayakan pekerja.

Hal ini meningkatkan tingkat risiko dan mengubah penilaian risiko. Hasil terburuk bukan semata-mata kerugian finansial atau reputasi; bisa berupa hilangnya nyawa. Pemodelan ancaman di OT harus mempertimbangkan dampak fisik dan keselamatan, bukan hanya data.

OT menarik pola ancaman yang khas.

• Negara-bangsa yang mencari gangguan strategis terhadap infrastruktur kritis
• Penyerang yang tujuannya adalah gangguan fisik, bukan pencurian data
• Malware pemerasan IT yang tidak menargetkan OT pun dapat merembet ke OT dan menghentikan operasi

Karena konsekuensinya parah dan penyerang mungkin memiliki sumber daya besar, pertahanan OT menekankan ketahanan dan deteksi selain pencegahan.

Tujuannya bukan meninggalkan keamanan IT, melainkan menyesuaikannya.

• Utamakan pemantauan pasif dan segmentasi daripada pemindaian intrusif dan penerapan perbaikan cepat
• Tempatkan keselamatan dan ketersediaan di atas kerahasiaan
• Libatkan insinyur proses dalam setiap keputusan keamanan
• Gunakan kontrol kompensasi untuk sistem yang tidak dapat diperbaiki

Prinsip-prinsip ini menjadi dasar pelajaran tentang protokol dan arsitektur selanjutnya.

Terapkan prioritas yang dibalik pada keputusan nyata.

Anda telah mempelajari alasan keamanan OT merupakan disiplin tersendiri.

• Prioritas berbalik: keselamatan dan ketersediaan terlebih dahulu, kerahasiaan terakhir
• Penerapan perbaikan dibatasi; andalkan kontrol kompensasi
• Peralatan lama dan protokol yang tidak aman sejak perancangan merupakan kenyataan yang harus dihadapi
• Pemindaian aktif dan agen intrusif dapat membahayakan perangkat waktu nyata yang rapuh
• Insiden memiliki konsekuensi fisik; libatkan insinyur proses dalam setiap keputusan

Berikutnya: protokol spesifik dan kelemahannya.