Keamanan Siber dan Risiko Teknologi Sektor Publik

Mengapa ini penting dalam nilai publik

Ketika sistem rumah sakit dienkripsi penyerang, dokter tidak dapat melihat riwayat obat, ambulans dialihkan, dan operasi dibatalkan. Ketika sistem kendali utilitas air dibobol, nilai publik yang dipertaruhkan bukan pemadaman server melainkan keselamatan air minum. Ketika basis data badan tunjangan dibobol, orang yang paling terpapar sering orang yang paling tidak mampu menyerap akibatnya: pembayaran yang tertunda, identitas yang dicuri, keluarga yang tidak dapat membuktikan siapa mereka kepada negara yang berutang dukungan kepada mereka. Keamanan komputer, lazim disebut keamanan siber, adalah praktik melindungi sistem komputer, jaringan, dan data dari akses tanpa izin, gangguan, atau kerusakan. Di lembaga publik, praktik itu berada langsung di jalur antara negara dan warga yang dilayaninya.

Inilah mengapa topik ini membingkai risiko siber sebagai pertanyaan nilai publik, bukan hanya teknis. Legitimasi dan dukungan bergantung pada warga meyakini bahwa lembaga yang memegang data mereka dan menjalankan layanan esensial mereka dapat dipercaya menjaga keduanya tetap aman (lihat Topik 1.2 — Segitiga Strategis: Legitimasi, Nilai, dan Kapasitas). Satu pelanggaran yang dipublikasikan dengan baik dapat merusak kepercayaan itu secara berkepanjangan, sebagaimana keadaan darurat yang ditangani buruk, karena warga menilai lembaga dari bagaimana mereka berperilaku di bawah serangan sama seperti dari kinerja sehari-hari mereka (lihat Topik 3.12 — Manajemen Krisis, Darurat, dan Ketahanan, yang memperlakukan insiden siber sebagai satu kategori di dalam disiplin ketahanan yang lebih luas). Keamanan siber juga tak terpisahkan dari tata kelola data: lembaga tidak dapat melindungi apa yang tidak diketahuinya dipegangnya, dan interoperabilitas serta keterbukaan yang menciptakan nilai publik dari data juga memperlebar permukaan yang dapat dieksploitasi penyerang (lihat Topik 5.4 — Data Sektor Publik, Interoperabilitas, dan Data Terbuka).

Masalah sumber dayanya akut dan khas sektor publik dan sektor sosial. Badan nasional besar semakin memiliki tim keamanan khusus dan anggaran perusahaan; dewan air yang melayani kota kecil, perwalian rumah sakit regional, dan organisasi nirlaba lokal yang menjalankan rumah aman kekerasan dalam rumah tangga biasanya tidak, meski memegang data yang kepekaannya menyaingi atau melampaui bank mana pun. Penyerang tahu ini. Badan publik yang kekurangan sumber daya bukan kasus tepi dalam topik ini; mereka hampir di pusatnya, karena lembaga publik median yang menghadapi risiko ini hari ini bukan kementerian nasional melainkan otoritas daerah kecil, utilitas regional, atau lembaga amal dengan segelintir staf teknologi informasi dan tanpa spesialis keamanan sama sekali.

Terakhir, ini masalah yang hidup dan memburuk, bukan hipotetis. Kampanye ransomware semakin menyasar pemerintah daerah, rumah sakit, sekolah, dan organisasi sektor sosial justru karena mereka menggabungkan data sensitif, layanan esensial, toleransi rendah terhadap waktu henti, dan pertahanan yang relatif lemah — kombinasi yang membuat mereka lebih mungkin membayar dan kurang mungkin telah mencegah serangan sejak awal. Memperlakukan keamanan siber sebagai tambahan spesialis alih-alih komitmen nilai publik tingkat tata kelola, bagi kelas organisasi ini, hampir sebuah undangan.

Konsep inti

Infrastruktur kritis adalah himpunan sistem dan aset — energi, air, transportasi, kesehatan, keuangan, komunikasi — yang begitu esensial sehingga ketidakmampuan atau kehancurannya akan berdampak melumpuhkan pada keselamatan, perekonomian, atau kepercayaan publik. Perlindungan infrastruktur kritis adalah disiplin mengamankan sistem ini terhadap ancaman fisik maupun digital; ia penting di sini karena banyak insiden siber sektor publik yang paling berkonsekuensi bukan serangan terhadap data abstrak melainkan serangan terhadap teknologi operasional yang menjaga infrastruktur fisik berjalan, berbeda dari teknologi informasi yang menjaga catatan dan memproses transaksi.

Aktor ancaman adalah individu, kelompok, atau negara mana pun yang mungkin mencoba membobol sistem; di sektor publik mereka berkisar dari kelompok kriminal bermotif finansial hingga aktor yang disponsori negara yang mengejar spionase atau gangguan, dan lembaga yang sama dapat menghadapi keduanya sekaligus dengan tujuan yang sangat berbeda. Ransomware adalah perangkat lunak berbahaya yang mengenkripsi data atau sistem organisasi dan menuntut pembayaran untuk melepaskannya; ia menjadi ancaman dominan bagi badan publik justru karena layanan esensial tidak dapat menoleransi waktu henti berkepanjangan, yang menaikkan tekanan untuk membayar. Phishing adalah bentuk rekayasa sosial ketika penyerang menipu staf agar mengungkapkan kredensial atau memasang perangkat lunak berbahaya, biasanya melalui surel menipu, dan tetap cara paling umum penyerang pertama kali memperoleh pijakan, karena ia menyasar orang dan bukan teknologi.

Pelanggaran data adalah akses, pengungkapan, atau kehilangan informasi tanpa izin, entah melalui serangan eksternal, orang dalam, atau kesalahan manusia sederhana seperti basis data yang salah konfigurasi dibiarkan terbuka ke internet. Serangan rantai pasok membobol organisasi secara tidak langsung, dengan menyasar pemasok, vendor perangkat lunak, atau penyedia layanan terkelola yang kurang aman yang dipercaya organisasi sasaran; ini sangat berbahaya bagi sektor publik karena begitu banyak badan publik berbagi segelintir vendor perangkat lunak yang sama, yang berarti satu kompromi vendor dapat merambat ke ratusan lembaga sekaligus.

Kebersihan siber adalah seperangkat praktik rutin — menambal perangkat lunak dengan segera, menegakkan autentikasi kuat, membatasi siapa dapat mengakses apa, mencadangkan data dan menguji pemulihan cadangan itu — yang mencegah sebagian besar serangan yang berhasil tanpa memerlukan perangkat eksotis. Sebagian besar pelanggaran mengeksploitasi kerentanan yang diketahui dan belum ditambal atau kredensial lemah alih-alih teknik baru, sehingga jurang antara kebersihan siber aktual organisasi dan kebijakan yang dinyatakannya biasanya prediktor risiko yang lebih baik daripada kecanggihan ancaman yang disebut dalam register risikonya.

Arsitektur nol-kepercayaan adalah prinsip perancangan keamanan yang berpendapat bahwa tidak ada pengguna atau perangkat yang boleh dipercaya secara bawaan, bahkan di dalam jaringan organisasi sendiri, dan bahwa setiap permintaan akses harus diverifikasi terlepas dari asalnya. Ia menjadi berpengaruh dalam panduan sektor publik karena cocok dengan cara kerja pemerintah modern sebenarnya terjadi — staf, kontraktor, dan warga mengakses layanan dari banyak perangkat dan lokasi — lebih baik daripada model lama yang memercayai apa pun yang sudah berada di dalam perimeter.

Manajemen insiden keamanan komputer, lazim disebut tanggap insiden, adalah proses terorganisasi mendeteksi, membendung, membasmi, dan pulih dari insiden keamanan, diikuti tinjauan tentang apa yang memungkinkannya terjadi. Kewajiban pengungkapan adalah kewajiban hukum atau regulasi untuk memberi tahu individu terdampak, regulator, atau publik ketika data pribadi atau layanan kritis telah dibobol, dalam waktu yang ditetapkan dan pada standar yang ditetapkan, atas logika bahwa warga dan badan pengawas berhak mengetahui ketika data atau layanan esensial mereka telah dipertaruhkan, dan bahwa pengungkapan tepat waktu memungkinkan orang melindungi diri.

Praktik terbaik

1. Perlakukan keamanan siber sebagai tanggung jawab badan pengatur, bukan fungsi teknis yang didelegasikan. Dewan, dewan kota, dan tim eksekutif harus menerima pengarahan teratur berbahasa sederhana tentang risiko siber dan menyetujui anggarannya secara langsung, alih-alih membiarkannya dirundingkan di dalam mata anggaran teknologi informasi yang lebih luas di mana ia hal termudah dipotong.
2. Inventarisasi apa yang Anda pegang dan apa yang bergantung padanya sebelum memutuskan bagaimana melindunginya. Organisasi tidak dapat mengamankan data atau sistem yang belum dipetakannya; inventaris aset dan data yang mutakhir, dirujuk silang dengan pekerjaan interoperabilitas dan tata kelola data yang dibahas di tempat lain (lihat Topik 5.4 — Data Sektor Publik, Interoperabilitas, dan Data Terbuka), adalah prasyarat bagi setiap praktik lain dalam daftar ini.
3. Terapkan dasar-dasar di mana-mana sebelum membelanjakan untuk apa pun yang canggih. Manajemen tambalan, autentikasi multifaktor, cadangan teruji, dan kendali akses hak-istimewa-terkecil menghentikan sebagian besar serangan dunia nyata yang sangat besar; badan publik tanpa hal ini di tempat tidak boleh memprioritaskan langganan intelijen ancaman atau perangkat pemantauan pesanan.
4. Adopsi kerangka yang diakui alih-alih menciptakan yang dibuat sendiri. Kerangka seperti Cybersecurity Framework National Institute of Standards and Technology memberi kosakata bersama dan struktur — identifikasi, lindungi, deteksi, tanggapi, pulihkan — yang dapat diadopsi organisasi kecil dalam bentuk disederhanakan dan organisasi besar secara penuh, tanpa menciptakan ulang taksonomi dasar.
5. Kumpulkan sumber daya lintas organisasi kecil alih-alih masing-masing membeli sendiri. Layanan operasi keamanan bersama, kolam tanggap insiden siber regional, atau kerangka pengadaan seluruh sektor dapat memberi sekelompok otoritas daerah kecil atau organisasi nirlaba perlindungan yang tidak dapat dibiayai satu pun secara individual — jawaban paling langsung terhadap masalah kekurangan sumber daya yang menjadi pusat topik ini.
6. Tulis rencana tanggap insiden sebelum insiden, dan latih. Rencana yang disusun pertama kali selama serangan hidup adalah rencana yang disusun dengan buruk, dalam kepanikan, oleh orang yang belum pernah menguji apakah ia sungguh bekerja; rencana yang dilatih setidaknya setahun sekali mengubah jam pertama yang kacau menjadi urutan terlatih langkah yang dikenal (lihat Topik 3.12 — Manajemen Krisis, Darurat, dan Ketahanan untuk disiplin lebih luas yang ditimbanya).
7. Putuskan kebijakan pengungkapan dan pembayaran sebelumnya, bukan selama insiden. Apakah organisasi akan mempertimbangkan membayar tebusan, siapa yang berwenang membuat keputusan itu, dan bagaimana serta kapan orang terdampak akan diberi tahu harus menjadi kebijakan yang disetujui dewan, bukan keputusan yang diimprovisasi di bawah tekanan tuntutan pemerasan yang hidup.
8. Segmentasikan jaringan agar satu kompromi tidak dapat menjadi setiap kompromi. Menjaga teknologi operasional yang mengendalikan infrastruktur fisik terpisah dari teknologi informasi kantor umum, dan memisahkan sistem berkepekaan tinggi dari yang berkepekaan lebih rendah, membatasi seberapa jauh penyusup yang masuk melalui satu titik lemah dapat bergerak.
9. Kelola risiko pihak ketiga dan rantai pasok seketat risiko internal. Wajibkan jaminan keamanan, klausul hak-audit, dan kewajiban pemberitahuan insiden dalam kontrak dengan vendor perangkat lunak dan penyedia layanan terkelola, sebab bagian yang tumbuh dari insiden sektor publik besar berasal dari pemasok tepercaya alih-alih serangan langsung.
10. Investasikan pada orang, bukan hanya perangkat. Pelatihan teratur dan realistis — termasuk latihan phishing simulasi — secara terukur mengurangi serangan rekayasa sosial yang berhasil, dan mempertahankan bahkan satu atau dua staf keamanan terampil dalam organisasi kecil biasanya lebih berharga daripada belanja setara pada lisensi perangkat lunak tambahan.
11. Laporkan insiden dengan jujur dan pakai nyaris-celaka sebagai pelajaran gratis. Budaya yang menghukum staf karena melaporkan dugaan pelanggaran menjamin bahwa yang berikutnya dilaporkan terlambat atau sama sekali tidak; organisasi yang paling cepat membaik adalah yang memperlakukan setiap nyaris-celaka sebagai bukti untuk dipelajari alih-alih alasan untuk menyalahkan.
12. Bangun ketahanan siber ke dalam pengadaan dan syarat hibah, bukan hanya kebijakan internal. Penyandang dana dan badan komisioning dapat mewajibkan tingkat dasar praktik keamanan dari organisasi yang mereka danai atau kontrakkan, memperluas jangkauan praktik yang baik kepada mitra penyampaian yang lebih kecil yang kalau tidak tidak punya tekanan eksternal untuk berinvestasi di dalamnya (lihat Topik 3.7 — Pengadaan Publik dan Komisioning).

Pertanyaan untuk didiskusikan dengan tim Anda

Apakah kita tahu data dan sistem apa yang sebenarnya kita pegang, dan mana di antaranya yang akan menyakiti seseorang jika dibobol? Banyak organisasi menemukan luas sebenarnya kepemilikan data mereka hanya selama penyelidikan pelanggaran, yang merupakan saat terburuk untuk mempelajarinya. Telusuri layanan utama Anda dan tanyakan, untuk masing-masing, data pribadi atau operasional sensitif apa yang disentuhnya dan apa yang akan terjadi pada orang nyata jika data itu dicuri, diubah, atau dibuat tidak tersedia. Jika jawaban jujurnya "kami tidak yakin", ketidakpastian itu sendiri temuannya, dan menutupnya adalah butir pertama dalam agenda Anda. Pertanyaan ini paling penting bagi organisasi yang tumbuh lewat akuisisi, merger, atau sistem warisan yang menumpuk, di mana ingatan kelembagaan tentang apa yang ada telah menipis.

Jika kita terkena ransomware besok, dapatkah kita memulihkan dari cadangan tanpa membayar? Nilai cadangan bukan bahwa ia ada tetapi bahwa ia telah diuji benar-benar memulihkan, cukup cepat, dari versi cukup baru untuk berarti. Tanyakan kapan cadangan terakhir diuji dengan latihan pemulihan nyata, bukan sekadar log penyelesaian, dan berapa lama pemulihan penuh akan memakan waktu dibandingkan berapa lama organisasi Anda dapat menoleransi pemadaman. Jika angka-angka itu tidak cocok, Anda punya keputusan sumber daya untuk dibuat sekarang, bukan selama insiden. Ini juga saatnya mendiskusikan apakah cadangan itu sendiri terisolasi dari jaringan yang juga dapat dijangkau penyerang yang mencapai sistem utama Anda.

Siapa yang berwenang memutuskan apakah kita membayar tebusan, dan pernahkah kita membahasnya sebelum ditanya? Ini salah satu keputusan berpertaruhan tertinggi yang dapat dihadapi tim eksekutif, sering diperlukan dalam hitungan jam dan dengan informasi tak lengkap tentang apa yang sebenarnya dimiliki penyerang. Memutuskan prosesnya, orang yang berwenang, dan prinsipnya sebelumnya — bahkan jika keputusan akhir tetap bergantung pada spesifik insiden — mencegah keputusan yang diimprovisasi di bawah tekanan pemerasan. Diskusikan apa yang dikatakan hukum yurisdiksi Anda dan syarat penyandang dana Anda tentang pembayaran tebusan, dan siapa yang perlu Anda beri tahu.

Apakah mitra dan pemasok terkecil kita risiko yang lebih besar bagi kita daripada kita bagi diri kita sendiri? Organisasi pusat yang diamankan dengan baik tetap dapat dibobol melalui pemasok, kontraktor, atau mitra penyampaian yang kurang aman yang memiliki akses sah ke sistem atau datanya. Petakan pihak ketiga yang dapat menjangkau sistem Anda atau memegang data Anda, dan jujurlah tentang seberapa banyak jaminan yang sebenarnya Anda miliki atas praktik keamanan mereka dibandingkan seberapa banyak jaminan yang Anda asumsikan Anda miliki. Putuskan standar minimum apa yang akan Anda wajibkan dari mereka ke depan, dan bagaimana Anda akan memverifikasinya alih-alih sekadar meminta jaminan tertulis.

Apakah kita akan tahu kita telah dibobol, dan seberapa cepat? Sebagian insiden yang paling merusak bukan yang terjadi cepat tetapi yang tidak terdeteksi selama berbulan-bulan, ketika penyerang diam-diam menjelajah, meningkatkan hak istimewa, dan mengeksfiltrasi data. Diskusikan bagaimana Anda sebenarnya akan mendeteksi aktivitas tidak biasa hari ini, siapa yang mengawasinya, dan apakah pemantauan itu berjalan di luar jam kerja, sebab banyak serangan sengaja diluncurkan pada malam hari atau akhir pekan libur ketika tanggapan paling lambat. Jika deteksi sepenuhnya bergantung pada warga atau organisasi mitra yang memberi tahu Anda ada yang salah, itu celah kritis.

Apakah dewan atau badan pengatur kita memahami risiko ini cukup baik untuk menatakelolanya, atau kita diam-diam telah mengalihdayakan penilaian itu kepada tim teknologi informasi? Keputusan risiko siber melibatkan pertukaran nyata antara biaya, kesinambungan layanan, dan perlindungan warga yang secara semestinya urusan badan pengatur, bukan urusan teknis yang didelegasikan untuk diloloskan begitu saja. Diskusikan bagaimana risiko siber saat ini dilaporkan kepada dewan atau dewan kota Anda, apakah dalam bahasa yang dapat ditindaklanjuti nonspesialis, dan apakah anggarannya diputuskan dengan ketelitian yang sama seperti risiko besar lainnya. Jika badan pengatur Anda saat ini tidak dapat menjelaskan tiga risiko siber teratas organisasi Anda dengan kata-katanya sendiri, itulah celah yang harus ditutup lebih dulu.

Dalam praktik: contoh nilai publik

Otoritas transit regional berukuran sedang — fiktif, ilustratif atas sebuah pola dan bukan laporan tentang organisasi sungguhan mana pun — menjalankan sistem penjadwalan dan pembayaran yang menua yang ditambal sedikit-sedikit selama satu dekade alih-alih dimodernisasi. Tim teknologi informasinya tiga orang, bertanggung jawab atas segalanya dari tiket meja bantuan hingga keamanan jaringan, dan keamanan siber tidak pernah punya barisnya sendiri dalam anggaran; ia tinggal di dalam alokasi umum "pemeliharaan sistem" yang tidak tumbuh dalam istilah riil selama bertahun-tahun.

Penyerang memperoleh akses melalui surel phishing yang dikirim kepada seorang petugas keuangan, memakai faktur palsu dari pemasok yang benar-benar dipakai otoritas. Begitu masuk, penyerang menghabiskan enam minggu bergerak diam-diam melalui jaringan sebelum menyebarkan ransomware yang mengenkripsi sistem penjadwalan, platform pembayaran tarif, dan cadangan otoritas, yang tidak pernah diisolasi dari jaringan utama. Bus terus berjalan dengan mengandalkan ingatan pengemudi akan rute mereka pada hari pertama, tetapi tarif tidak dapat dikumpulkan secara elektronik, layar informasi waktu nyata gelap, dan sistem keuangan otoritas tidak dapat dipakai untuk penggajian.

Tim eksekutif menghadapi keputusan tebusan tanpa kebijakan yang disepakati sebelumnya: tak seorang pun memutuskan sebelumnya siapa yang berwenang menyetujui pembayaran, apa posisi hukumnya, atau apa yang akan mereka katakan kepada penumpang. Pemulihan dari cadangan bukan opsi, karena cadangan terenkripsi bersama semua yang lain. Setelah sembilan hari gangguan, pemulihan layanan parsial, dan pembayaran yang kemudian digambarkan dewan otoritas sebagai opsi terkurang buruk yang tersedia pada saat itu, otoritas menugaskan tinjauan independen.

Temuan tinjauan itu tak glamor dan sepenuhnya konsisten dengan pola yang dijelaskan topik ini: tidak ada autentikasi multifaktor pada sistem keuangan, tidak ada segmentasi jaringan antara sistem kantor dan infrastruktur pembayaran, tidak ada pemulihan cadangan yang diuji dalam lebih dari dua tahun, dan tidak ada keterlihatan tingkat dewan atas risiko siber sama sekali sebelum insiden. Tanggapan otoritas sama tak glamornya — rencana bertahap untuk memperbaiki dasar-dasar, pengaturan pemantauan keamanan bersama dengan dua otoritas transit bertetangga untuk membagi biaya cakupan spesialis yang tidak mampu dibiayai satu pun sendirian, dan butir agenda dewan tetap tentang risiko siber. Tak satu pun mahal menurut standar program teknologi informasi besar; semuanya dilewatkan selama bertahun-tahun karena tidak pernah menjadi tugas yang jelas ditetapkan bagi siapa pun untuk didesak.

Empat lensa sektoral

Pemerintah daerah

Otoritas daerah berada di persimpangan yang tidak nyaman: mereka memegang data yang sangat sensitif — catatan perawatan sosial, informasi perumahan dan tunjangan, daftar pemilih — dan menjalankan layanan yang tidak dapat dengan mudah dilepaskan warga, tetapi biasanya memiliki anggaran keamanan terkecil dan staf spesialis paling sedikit di antara tingkat pemerintahan mana pun. Kementerian nasional besar dapat membangun pusat operasi keamanan internal; dewan distrik kecil biasanya tidak, yang menjadikan layanan bersama, penyatuan regional, dan program dukungan nasional jalur praktis menuju perlindungan yang memadai alih-alih tambahan opsional. Pejabat terpilih daerah juga sering yang paling kurang siap, di antara tingkat pemerintahan mana pun, untuk menanyai pengarahan risiko teknis, yang menjadikan pelaporan berbahasa sederhana kepada anggota terpilih tantangan tata kelola tersendiri di tingkat ini.

Pemerintah nasional

Pemerintah nasional umumnya memiliki sumber daya untuk membangun badan keamanan siber khusus dan kerangka nasional — badan seperti National Cyber Security Center (Britania Raya) atau Cybersecurity and Infrastructure Security Agency Amerika Serikat ada untuk menetapkan standar, mengoordinasikan tanggapan, dan mendukung badan publik yang kurang bersumber daya dalam yurisdiksi mereka. Tantangan khas tingkat nasional kurang pada kebersihan dasar dan lebih pada aktor ancaman yang disponsori negara dan sangat cakap, saling ketergantungan infrastruktur nasional kritis lintas sektor dan operator swasta, serta dimensi diplomatik dan hukum dari atribusi dan tanggapan, yang jarang muncul di tingkat daerah atau organisasi.

Sektor sosial dan nirlaba

Organisasi nirlaba dan LSM sering memegang sebagian data paling sensitif di sektor mana pun — catatan kesehatan, catatan penyintas kekerasan atau penganiayaan, pekerjaan kasus pengungsi dan suaka — sambil beroperasi dengan anggaran keamanan tertipis di antara jenis organisasi mana pun dalam buku ini, karena penyandang dana jarang mengalokasikan uang untuk keamanan dan syarat hibah jarang mewajibkannya. Banyak organisasi sektor sosial juga bergantung pada relawan dan pergantian staf tinggi, yang membuat pelatihan keamanan dan kendali akses yang konsisten lebih sulit dipertahankan daripada dalam organisasi yang stabil dan berstaf profesional; insiden keamanan dapat bersifat eksistensial bagi lembaga amal kecil dengan cara yang jarang bagi departemen pemerintah, karena kerusakan reputasi dan hilangnya kepercayaan donor dapat mengakhiri organisasi sama sekali (lihat Topik 3.8 — Manajemen Sektor Sosial dan Nirlaba).

Multilateral dan internasional

Badan multilateral dan internasional beroperasi lintas yurisdiksi dengan hukum pengungkapan berbeda, definisi infrastruktur kritis berbeda, dan tingkat kapabilitas siber nasional berbeda, yang menjadikan koordinasi itu sendiri masalah tersendiri: sistem badan internasional sendiri mungkin terlindungi baik sementara badan anggota nasionalnya sangat bervariasi, dan badan seperti Organisasi untuk Kerja Sama dan Pembangunan Ekonomi atau European Union Agency for Cybersecurity memainkan peran penetapan standar dan pembangunan kapasitas sama banyaknya dengan peran operasional. Lensa multilateral juga tempat tanggapan insiden lintas batas dan pengaturan berbagi informasi paling penting, sebab serangan yang bermula di infrastruktur satu negara dapat merambat ke infrastruktur negara lain dalam hitungan jam, lebih cepat daripada kebanyakan mekanisme koordinasi internasional dibangun untuk bergerak.

Ragam kegagalan yang umum

Sandiwara keamanan tanpa substansi operasional. Organisasi mengadopsi dokumen kebijakan yang tampak mengesankan, sertifikat kepatuhan, atau satu perangkat mahal, dan memperlakukan kotak itu sebagai tercentang, sementara kebersihan dasar — penambalan, autentikasi multifaktor, cadangan teruji — tetap tidak konsisten. Ini menghabiskan uang nyata untuk penampilan keamanan alih-alih keamanan itu sendiri, dan sering baru ditemukan sebagai sandiwara setelah insiden menyingkap jurang antara kebijakan dan praktik.

Risiko tanpa pemilik. Keamanan siber diasumsikan pekerjaan orang lain — tim teknologi informasi, vendor, regulator — dan tidak ada pemilik akuntabel tunggal di tingkat badan pengatur. Ini menghasilkan risiko yang dibahas di mana-mana dan diputuskan di mana pun tidak, dan persis pola yang membuat organisasi tidak mampu menjawab pertanyaan dasar tentang paparannya sendiri ketika ditanya.

Investasi kurang dibenarkan oleh ketiadaan insiden sebelumnya. Karena program keamanan yang dijalankan baik tidak menghasilkan peristiwa yang terlihat ketika berhasil, mudah memangkas dananya dalam putaran anggaran ketat demi sesuatu dengan keluaran yang terlihat, dan ketiadaan pelanggaran sejauh ini disangka bukti perlindungan yang memadai alih-alih bukti yang belum diuji. Ini mencerminkan logika anggaran yang sama yang merusak investasi ketahanan secara lebih luas (lihat Topik 3.12 — Manajemen Krisis, Darurat, dan Ketahanan).

Sistem warisan dibiarkan berjalan melewati masa hidup yang dapat didukung. Badan publik sering menjalankan perangkat lunak atau perangkat keras lama setelah vendor berhenti menerbitkan tambalan keamanan untuknya, karena penggantian mahal, mengganggu, atau tidak populer secara politik, dan sistem itu "masih berfungsi". Sistem tak ditambal dan tak terdukung bukan ketidaknyamanan warisan; ia pintu terbuka yang tidak berbiaya apa pun bagi penyerang untuk dimasuki.

Budaya insiden yang mendahulukan penyalahan. Ketika staf yang melaporkan dugaan pelanggaran atau kesalahan dihukum alih-alih didukung, insiden mendatang dilaporkan terlambat, diminimalkan, atau sama sekali tidak dilaporkan, dan organisasi kehilangan sinyal peringatan dini yang disediakan pelaporan tepat waktu. Kegagalan ini memperparah setiap kegagalan lain dalam daftar ini, karena tak satu pun perbaikan di atas bekerja jika organisasi tidak dapat melihat masalahnya sendiri dengan jujur.

Model kematangan

Daftar periksa

• Individu atau komite bernama di tingkat badan pengatur memiliki risiko siber dan melaporkannya secara teratur, dalam bahasa sederhana.
• Inventaris mutakhir ada tentang data dan sistem apa yang dipegang organisasi, dan mana yang paling sensitif atau paling kritis bagi suatu layanan.
• Autentikasi multifaktor ditegakkan pada semua sistem yang memegang data sensitif atau mengendalikan layanan kritis.
• Cadangan diambil teratur, disimpan terisolasi dari jaringan utama, dan pemulihannya telah diuji dalam dua belas bulan terakhir.
• Perangkat lunak dan sistem ditambal pada jadwal yang ditetapkan, dan sistem apa pun yang tidak dapat lagi ditambal memiliki rencana terdokumentasi untuk diganti atau diisolasi.
• Rencana tanggap insiden tertulis ada, menyebut siapa yang berwenang membuat keputusan kunci, dan telah dilatih melalui latihan realistis dalam setahun terakhir.
• Kebijakan yang disetujui dewan ada tentang pembayaran tebusan dan tentang bagaimana serta kapan orang terdampak, regulator, dan publik akan diberi tahu.
• Kontrak dengan vendor perangkat lunak dan penyedia layanan terkelola mencakup jaminan keamanan dan kewajiban pemberitahuan insiden.
• Staf menerima pelatihan keamanan yang teratur dan realistis, termasuk latihan phishing simulasi.
• Melaporkan dugaan insiden atau nyaris-celaka diperlakukan sebagai informasi berharga, bukan alasan untuk menyalahkan.
• Pengaturan keamanan bersama atau terkumpul telah dijajaki dengan organisasi sejawat berukuran dan beranggaran serupa.
• Risiko siber muncul secara eksplisit dalam perencanaan krisis dan ketahanan organisasi yang lebih luas, bukan sebagai rencana terpisah yang terputus.

Sumber utama

Topik ini bersandar pada Cybersecurity Framework National Institute of Standards and Technology sebagai kerangka terstruktur terkemuka untuk mengorganisasi praktik keamanan siber; misi terpublikasi dan panduan European Union Agency for Cybersecurity tentang mencapai tingkat keamanan siber bersama di seluruh Uni Eropa; karya kebijakan keamanan digital Organisasi untuk Kerja Sama dan Pembangunan Ekonomi, yang membingkai keamanan digital sebagai isu manajemen risiko ekonomi dan sosial alih-alih murni teknis; dan panduan operasional yang diterbitkan badan keamanan siber nasional seperti National Cyber Security Center Britania Raya dan Cybersecurity and Infrastructure Security Agency Amerika Serikat, yang keduanya menyediakan panduan gratis yang ditujukan khusus bagi badan publik yang kekurangan sumber daya.

Referensi

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Center (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Center (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about