Strategi Keamanan Cyber
Untuk merancang dan menerapkan dunia maya yang aman, beberapa strategi ketat telah diterapkan. Bab ini menjelaskan strategi utama yang digunakan untuk memastikan keamanan siber, yang meliputi berikut ini -
- Menciptakan Ekosistem Cyber yang Aman
- Membuat Kerangka Kerja Jaminan
- Mendorong Standar Terbuka
- Memperkuat Kerangka Regulasi
- Membuat Mekanisme untuk Keamanan TI
- Mengamankan Layanan E-governance
- Melindungi Infrastruktur Informasi Kritis
Strategi 1 - Menciptakan Ekosistem Siber yang Aman
Ekosistem dunia maya melibatkan berbagai macam entitas seperti perangkat (teknologi komunikasi dan komputer), individu, pemerintah, organisasi swasta, dll., Yang berinteraksi satu sama lain karena berbagai alasan.
Strategi ini mengeksplorasi gagasan untuk memiliki ekosistem siber yang kuat dan kuat di mana perangkat siber dapat bekerja satu sama lain di masa depan untuk mencegah serangan siber, mengurangi efektivitasnya, atau menemukan solusi untuk pulih dari serangan siber.
Ekosistem siber seperti itu akan memiliki kemampuan yang dibangun ke dalam perangkat sibernya untuk memungkinkan cara tindakan yang aman diatur di dalam dan di antara kelompok perangkat. Ekosistem dunia maya ini dapat diawasi dengan teknik pemantauan saat ini di mana produk perangkat lunak digunakan untuk mendeteksi dan melaporkan kelemahan keamanan.
Ekosistem dunia maya yang kuat memiliki tiga struktur simbiosis - Automation, Interoperability, dan Authentication.
Automation - Ini memudahkan penerapan langkah-langkah keamanan lanjutan, meningkatkan kecepatan, dan mengoptimalkan proses pengambilan keputusan.
Interoperability- Ini memperkuat tindakan kolaboratif, meningkatkan kesadaran, dan mempercepat prosedur pembelajaran. Ada tiga jenis interoperabilitas -
- Semantik (yaitu, leksikon bersama berdasarkan pemahaman umum)
- Technical
- Kebijakan - Penting dalam mengasimilasi kontributor yang berbeda ke dalam struktur pertahanan dunia maya yang inklusif.
Authentication - Ini meningkatkan teknologi identifikasi dan verifikasi yang berfungsi untuk menyediakan -
- Security
- Affordability
- Kemudahan penggunaan dan administrasi
- Scalability
- Interoperability
Perbandingan Serangan
Tabel berikut menunjukkan Perbandingan Kategori Serangan terhadap Kemampuan Ekosistem Siber yang Diinginkan -
Studi kasus
Diagram berikut disiapkan oleh Guilbert Gates for The New York Times, yang menunjukkan bagaimana sebuah pabrik Iran diretas melalui internet.
Explanation- Sebuah program dirancang untuk secara otomatis menjalankan pembangkit nuklir Iran. Sayangnya, seorang pekerja yang tidak menyadari ancaman memasukkan program ke dalam pengontrol. Program ini mengumpulkan semua data yang terkait dengan pabrik dan mengirimkan informasi tersebut ke badan intelijen yang kemudian mengembangkan dan memasukkan cacing ke dalam pabrik. Menggunakan cacing, tanaman dikendalikan oleh penjahat yang menyebabkan generasi lebih banyak cacing dan akibatnya, pabrik gagal total.
Jenis Serangan
Tabel berikut menjelaskan kategori serangan -
| Kategori Serangan | Deskripsi Attack |
|---|---|
| Erosi | Metode yang digunakan untuk merusak jaringan dan sistem. Ini termasuk yang berikut -
|
| Malware | Perangkat lunak berbahaya apa pun yang digunakan untuk mengganggu pengoperasian normal komputer dan merusak aset informasi tanpa persetujuan pemiliknya. Eksekusi apa pun dari perangkat yang dapat dilepas dapat meningkatkan ancaman malware. |
| Peretasan | Upaya mengeksploitasi kelemahan secara sengaja untuk mendapatkan akses yang tidak etis, biasanya dilakukan dari jarak jauh. Ini mungkin termasuk -
|
| Taktik Sosial | Menggunakan taktik sosial seperti penipuan dan manipulasi untuk mendapatkan akses ke data, sistem, atau kontrol. Ini termasuk -
|
| Penggunaan Tidak Pantas (Ancaman Orang Dalam) | Penyalahgunaan hak atas data dan kontrol oleh individu dalam organisasi yang akan melanggar kebijakan organisasi. Ini termasuk -
|
| Tindakan Fisik / Kehilangan atau Pencurian Peralatan | Serangan yang Digerakkan oleh Manusia seperti -
|
| Beberapa Komponen | Teknik melampirkan tunggal yang berisi beberapa teknik dan komponen serangan tingkat lanjut. |
| Lain | Serangan seperti -
|
Strategi 2 - Menciptakan Kerangka Kerja Jaminan
Tujuan dari strategi ini adalah untuk merancang garis besar yang sesuai dengan standar keamanan global melalui produk, proses, orang, dan teknologi tradisional.
Untuk memenuhi persyaratan keamanan nasional, kerangka kerja nasional yang dikenal sebagai Cybersecurity Assurance FrameworkDikembangkan. Ini mengakomodasi organisasi infrastruktur penting dan pemerintah melalui tindakan "Mengaktifkan dan Mendukung".
Enablingtindakan yang dilakukan oleh badan pemerintah yang merupakan badan otonom yang bebas dari kepentingan komersial. Penerbitan "Persyaratan Kepatuhan Kebijakan Keamanan Nasional" dan pedoman dan dokumen keamanan TI untuk memungkinkan penerapan dan kepatuhan keamanan TI dilakukan oleh otoritas ini.
Endorsing tindakan terlibat dalam layanan yang menguntungkan setelah memenuhi standar kualifikasi wajib dan termasuk yang berikut -
Sertifikasi ISO 27001 / BS 7799 ISMS, audit sistem IS, dll., Yang pada dasarnya adalah sertifikasi kepatuhan.
Standar 'Common Criteria' ISO 15408 dan standar verifikasi modul Crypto, yang merupakan evaluasi dan sertifikasi produk Keamanan TI.
Layanan untuk membantu konsumen dalam penerapan keamanan TI seperti pelatihan tenaga keamanan TI.
Sertifikasi Perusahaan Tepercaya
IT / ITES / BPO India harus mematuhi standar internasional dan praktik terbaik tentang keamanan dan privasi dengan perkembangan pasar outsourcing. ISO 9000, CMM, Six Sigma, Total Quality Management, ISO 27001 dll., Adalah beberapa sertifikasi.
Model yang ada seperti level SEI CMM secara eksklusif dimaksudkan untuk proses pengembangan perangkat lunak dan tidak menangani masalah keamanan. Oleh karena itu, berbagai upaya dilakukan untuk membuat model yang berbasis pada konsep sertifikasi diri dan sejalan dengan Software Capability Maturity Model (SW-CMM) CMU, USA.
Struktur yang dihasilkan melalui keterkaitan antara industri dan pemerintah, terdiri dari:
- standards
- guidelines
- practices
Parameter ini membantu pemilik dan operator infrastruktur penting untuk mengelola risiko terkait keamanan siber.
Strategi 3 - Mendorong Standar Terbuka
Standar memainkan peran penting dalam menentukan bagaimana kami mendekati masalah terkait keamanan informasi di seluruh wilayah geografis dan masyarakat. Standar terbuka didorong untuk -
- Tingkatkan efisiensi proses utama,
- Aktifkan penggabungan sistem,
- Menyediakan media bagi pengguna untuk mengukur produk atau layanan baru,
- Mengatur pendekatan untuk mengatur teknologi atau model bisnis baru,
- Menafsirkan lingkungan yang kompleks, dan
- Mendukung pertumbuhan ekonomi.
Standar seperti ISO 27001 [3] mendorong penerapan struktur organisasi standar, di mana pelanggan dapat memahami proses, dan mengurangi biaya audit.
Strategi 4 - Memperkuat Kerangka Regulasi
Tujuan dari strategi ini adalah untuk menciptakan ekosistem dunia maya yang aman dan memperkuat kerangka regulasi. Mekanisme 24X7 telah direncanakan untuk menangani ancaman dunia maya melalui National Critical Information Infrastructure Protection Center (NCIIPC). Tim Tanggap Darurat Komputer (CERT-In) telah ditunjuk untuk bertindak sebagai badan simpul untuk manajemen krisis.
Beberapa sorotan dari strategi ini adalah sebagai berikut -
Promosi penelitian dan pengembangan dalam keamanan siber.
Mengembangkan sumber daya manusia melalui program pendidikan dan pelatihan.
Mendorong semua organisasi, baik publik maupun swasta, untuk menunjuk seseorang untuk menjabat sebagai Chief Information Security Officer (CISO) yang akan bertanggung jawab atas inisiatif keamanan siber.
Angkatan Bersenjata India sedang dalam proses membangun komando dunia maya sebagai bagian dari penguatan keamanan siber jaringan dan instalasi pertahanan.
Implementasi yang efektif dari kemitraan publik-swasta sedang dalam proses yang akan sangat membantu dalam menciptakan solusi untuk lanskap ancaman yang selalu berubah.
Strategi 5 - Menciptakan Mekanisme untuk Keamanan TI
Beberapa mekanisme dasar yang ada untuk memastikan keamanan TI adalah - langkah-langkah keamanan berorientasi tautan, langkah-langkah keamanan ujung ke ujung, tindakan berorientasi asosiasi, dan enkripsi data. Metode ini berbeda dalam fitur aplikasi internalnya dan juga dalam atribut keamanan yang mereka sediakan. Mari kita bahas secara singkat.
Pengukuran Berorientasi Tautan
Ini memberikan keamanan saat mentransfer data antara dua node, terlepas dari sumber dan tujuan akhir data.
Tindakan End-to-End
Ini adalah media untuk mengangkut Protocol Data Units (PDU) dengan cara yang dilindungi dari sumber ke tujuan sedemikian rupa sehingga gangguan pada tautan komunikasinya tidak melanggar keamanan.
Tindakan Berorientasi Asosiasi
Tindakan berorientasi asosiasi adalah serangkaian tindakan ujung ke ujung yang dimodifikasi yang melindungi setiap asosiasi secara individual.
Enkripsi data
Ini mendefinisikan beberapa fitur umum cipher konvensional dan kelas cipher kunci publik yang baru-baru ini dikembangkan. Ini mengkodekan informasi sedemikian rupa sehingga hanya personel yang berwenang yang dapat mendekripsinya.
Strategi 6 - Mengamankan Layanan E-Governance
Tata kelola elektronik (e-governance) adalah instrumen yang paling dihargai pemerintah untuk menyediakan layanan publik secara akuntabel. Sayangnya, dalam skenario saat ini, tidak ada struktur hukum khusus untuk e-governance di India.
Demikian pula, tidak ada hukum untuk pengiriman elektronik wajib layanan publik di India. Dan tidak ada yang lebih berbahaya dan merepotkan daripada menjalankan proyek e-governance tanpa keamanan siber yang memadai. Karenanya, mengamankan layanan e-governance menjadi tugas krusial, terutama saat negara melakukan transaksi harian melalui kartu.
Untungnya, Reserve Bank of India telah menerapkan langkah-langkah keamanan dan mitigasi risiko untuk transaksi kartu di India yang diberlakukan mulai 1 Oktober 2013. Bank Cadangan telah menempatkan tanggung jawab untuk memastikan transaksi kartu yang aman pada bank daripada pada pelanggan.
"E-government" atau pemerintahan elektronik mengacu pada penggunaan Teknologi Informasi dan Komunikasi (TIK) oleh badan pemerintah untuk hal berikut -
- Penyampaian layanan publik yang efisien
- Memperbaiki efisiensi internal
- Pertukaran informasi yang mudah antar warga negara, organisasi, dan badan pemerintah
- Penataan ulang proses administrasi.
Strategi 7 - Melindungi Infrastruktur Informasi Kritis
Infrastruktur informasi kritis adalah tulang punggung keamanan nasional dan ekonomi suatu negara. Ini termasuk pembangkit listrik, jalan raya, jembatan, pabrik kimia, jaringan, serta bangunan tempat jutaan orang bekerja setiap hari. Ini dapat diamankan dengan rencana kolaborasi yang ketat dan implementasi yang disiplin.
Menjaga infrastruktur penting dari ancaman cyber yang berkembang membutuhkan pendekatan terstruktur. Pemerintah diharuskan bekerja sama secara agresif dengan sektor publik dan swasta secara teratur untuk mencegah, menanggapi, dan mengoordinasikan upaya mitigasi terhadap upaya gangguan dan dampak negatif terhadap infrastruktur kritis negara.
Pemerintah diminta bekerja sama dengan pemilik bisnis dan operator untuk memperkuat layanan dan grup mereka dengan berbagi informasi ancaman dunia maya dan lainnya.
Platform bersama harus dibagikan dengan pengguna untuk mengirimkan komentar dan ide, yang dapat bekerja sama untuk membangun fondasi yang lebih kokoh untuk mengamankan dan melindungi infrastruktur penting.
Pemerintah AS telah mengeluarkan perintah eksekutif "Meningkatkan Keamanan Siber Infrastruktur Kritis" pada tahun 2013 yang memprioritaskan pengelolaan risiko keamanan siber yang terlibat dalam penyampaian layanan infrastruktur penting. Kerangka ini memberikan klasifikasi dan mekanisme umum bagi organisasi untuk -
- Tentukan bantalan keamanan siber yang ada,
- Tentukan tujuan mereka untuk keamanan siber,
- Mengkategorikan dan memprioritaskan peluang untuk pengembangan dalam kerangka proses yang konstan, dan
- Berkomunikasi dengan semua investor tentang keamanan siber.