Strategi Keamanan Cyber

Untuk merancang dan menerapkan dunia maya yang aman, beberapa strategi ketat telah diterapkan. Bab ini menjelaskan strategi utama yang digunakan untuk memastikan keamanan siber, yang meliputi berikut ini -

  • Menciptakan Ekosistem Cyber ​​yang Aman
  • Membuat Kerangka Kerja Jaminan
  • Mendorong Standar Terbuka
  • Memperkuat Kerangka Regulasi
  • Membuat Mekanisme untuk Keamanan TI
  • Mengamankan Layanan E-governance
  • Melindungi Infrastruktur Informasi Kritis

Strategi 1 - Menciptakan Ekosistem Siber yang Aman

Ekosistem dunia maya melibatkan berbagai macam entitas seperti perangkat (teknologi komunikasi dan komputer), individu, pemerintah, organisasi swasta, dll., Yang berinteraksi satu sama lain karena berbagai alasan.

Strategi ini mengeksplorasi gagasan untuk memiliki ekosistem siber yang kuat dan kuat di mana perangkat siber dapat bekerja satu sama lain di masa depan untuk mencegah serangan siber, mengurangi efektivitasnya, atau menemukan solusi untuk pulih dari serangan siber.

Ekosistem siber seperti itu akan memiliki kemampuan yang dibangun ke dalam perangkat sibernya untuk memungkinkan cara tindakan yang aman diatur di dalam dan di antara kelompok perangkat. Ekosistem dunia maya ini dapat diawasi dengan teknik pemantauan saat ini di mana produk perangkat lunak digunakan untuk mendeteksi dan melaporkan kelemahan keamanan.

Ekosistem dunia maya yang kuat memiliki tiga struktur simbiosis - Automation, Interoperability, dan Authentication.

  • Automation - Ini memudahkan penerapan langkah-langkah keamanan lanjutan, meningkatkan kecepatan, dan mengoptimalkan proses pengambilan keputusan.

  • Interoperability- Ini memperkuat tindakan kolaboratif, meningkatkan kesadaran, dan mempercepat prosedur pembelajaran. Ada tiga jenis interoperabilitas -

    • Semantik (yaitu, leksikon bersama berdasarkan pemahaman umum)
    • Technical
    • Kebijakan - Penting dalam mengasimilasi kontributor yang berbeda ke dalam struktur pertahanan dunia maya yang inklusif.
  • Authentication - Ini meningkatkan teknologi identifikasi dan verifikasi yang berfungsi untuk menyediakan -

    • Security
    • Affordability
    • Kemudahan penggunaan dan administrasi
    • Scalability
    • Interoperability

Perbandingan Serangan

Tabel berikut menunjukkan Perbandingan Kategori Serangan terhadap Kemampuan Ekosistem Siber yang Diinginkan -

Studi kasus

Diagram berikut disiapkan oleh Guilbert Gates for The New York Times, yang menunjukkan bagaimana sebuah pabrik Iran diretas melalui internet.

Explanation- Sebuah program dirancang untuk secara otomatis menjalankan pembangkit nuklir Iran. Sayangnya, seorang pekerja yang tidak menyadari ancaman memasukkan program ke dalam pengontrol. Program ini mengumpulkan semua data yang terkait dengan pabrik dan mengirimkan informasi tersebut ke badan intelijen yang kemudian mengembangkan dan memasukkan cacing ke dalam pabrik. Menggunakan cacing, tanaman dikendalikan oleh penjahat yang menyebabkan generasi lebih banyak cacing dan akibatnya, pabrik gagal total.

Jenis Serangan

Tabel berikut menjelaskan kategori serangan -

Kategori Serangan Deskripsi Attack
Erosi

Metode yang digunakan untuk merusak jaringan dan sistem. Ini termasuk yang berikut -

  • serangan penolakan layanan terdistribusi
  • merusak atau menolak akses ke layanan atau aplikasi
  • serangan penipisan sumber daya
Malware Perangkat lunak berbahaya apa pun yang digunakan untuk mengganggu pengoperasian normal komputer dan merusak aset informasi tanpa persetujuan pemiliknya. Eksekusi apa pun dari perangkat yang dapat dilepas dapat meningkatkan ancaman malware.
Peretasan

Upaya mengeksploitasi kelemahan secara sengaja untuk mendapatkan akses yang tidak etis, biasanya dilakukan dari jarak jauh. Ini mungkin termasuk -

  • serangan kebocoran data
  • serangan injeksi dan penyalahgunaan fungsionalitas
  • spoofing
  • serangan waktu-negara
  • buffer dan serangan struktur data
  • manipulasi sumber daya
  • penggunaan kredensial yang dicuri
  • backdoors
  • serangan kamus terhadap sandi
  • eksploitasi otentikasi
Taktik Sosial

Menggunakan taktik sosial seperti penipuan dan manipulasi untuk mendapatkan akses ke data, sistem, atau kontrol. Ini termasuk -

  • pre-texting (survei palsu)
  • menghasut phishing
  • mengambil informasi melalui percakapan
Penggunaan Tidak Pantas (Ancaman Orang Dalam)

Penyalahgunaan hak atas data dan kontrol oleh individu dalam organisasi yang akan melanggar kebijakan organisasi. Ini termasuk -

  • instalasi perangkat lunak tidak resmi
  • penghapusan data sensitif
Tindakan Fisik / Kehilangan atau Pencurian Peralatan

Serangan yang Digerakkan oleh Manusia seperti -

  • token identitas dan kartu kredit curian
  • mengutak-atik atau mengganti pembaca kartu dan terminal tempat penjualan
  • mengganggu sensor
  • pencurian perangkat komputasi yang digunakan oleh organisasi, seperti laptop
Beberapa Komponen Teknik melampirkan tunggal yang berisi beberapa teknik dan komponen serangan tingkat lanjut.
Lain

Serangan seperti -

  • serangan rantai pasokan
  • investigasi jaringan

Strategi 2 - Menciptakan Kerangka Kerja Jaminan

Tujuan dari strategi ini adalah untuk merancang garis besar yang sesuai dengan standar keamanan global melalui produk, proses, orang, dan teknologi tradisional.

Untuk memenuhi persyaratan keamanan nasional, kerangka kerja nasional yang dikenal sebagai Cybersecurity Assurance FrameworkDikembangkan. Ini mengakomodasi organisasi infrastruktur penting dan pemerintah melalui tindakan "Mengaktifkan dan Mendukung".

Enablingtindakan yang dilakukan oleh badan pemerintah yang merupakan badan otonom yang bebas dari kepentingan komersial. Penerbitan "Persyaratan Kepatuhan Kebijakan Keamanan Nasional" dan pedoman dan dokumen keamanan TI untuk memungkinkan penerapan dan kepatuhan keamanan TI dilakukan oleh otoritas ini.

Endorsing tindakan terlibat dalam layanan yang menguntungkan setelah memenuhi standar kualifikasi wajib dan termasuk yang berikut -

  • Sertifikasi ISO 27001 / BS 7799 ISMS, audit sistem IS, dll., Yang pada dasarnya adalah sertifikasi kepatuhan.

  • Standar 'Common Criteria' ISO 15408 dan standar verifikasi modul Crypto, yang merupakan evaluasi dan sertifikasi produk Keamanan TI.

  • Layanan untuk membantu konsumen dalam penerapan keamanan TI seperti pelatihan tenaga keamanan TI.

Sertifikasi Perusahaan Tepercaya

IT / ITES / BPO India harus mematuhi standar internasional dan praktik terbaik tentang keamanan dan privasi dengan perkembangan pasar outsourcing. ISO 9000, CMM, Six Sigma, Total Quality Management, ISO 27001 dll., Adalah beberapa sertifikasi.

Model yang ada seperti level SEI CMM secara eksklusif dimaksudkan untuk proses pengembangan perangkat lunak dan tidak menangani masalah keamanan. Oleh karena itu, berbagai upaya dilakukan untuk membuat model yang berbasis pada konsep sertifikasi diri dan sejalan dengan Software Capability Maturity Model (SW-CMM) CMU, USA.

Struktur yang dihasilkan melalui keterkaitan antara industri dan pemerintah, terdiri dari:

  • standards
  • guidelines
  • practices

Parameter ini membantu pemilik dan operator infrastruktur penting untuk mengelola risiko terkait keamanan siber.

Strategi 3 - Mendorong Standar Terbuka

Standar memainkan peran penting dalam menentukan bagaimana kami mendekati masalah terkait keamanan informasi di seluruh wilayah geografis dan masyarakat. Standar terbuka didorong untuk -

  • Tingkatkan efisiensi proses utama,
  • Aktifkan penggabungan sistem,
  • Menyediakan media bagi pengguna untuk mengukur produk atau layanan baru,
  • Mengatur pendekatan untuk mengatur teknologi atau model bisnis baru,
  • Menafsirkan lingkungan yang kompleks, dan
  • Mendukung pertumbuhan ekonomi.

Standar seperti ISO 27001 [3] mendorong penerapan struktur organisasi standar, di mana pelanggan dapat memahami proses, dan mengurangi biaya audit.

Strategi 4 - Memperkuat Kerangka Regulasi

Tujuan dari strategi ini adalah untuk menciptakan ekosistem dunia maya yang aman dan memperkuat kerangka regulasi. Mekanisme 24X7 telah direncanakan untuk menangani ancaman dunia maya melalui National Critical Information Infrastructure Protection Center (NCIIPC). Tim Tanggap Darurat Komputer (CERT-In) telah ditunjuk untuk bertindak sebagai badan simpul untuk manajemen krisis.

Beberapa sorotan dari strategi ini adalah sebagai berikut -

  • Promosi penelitian dan pengembangan dalam keamanan siber.

  • Mengembangkan sumber daya manusia melalui program pendidikan dan pelatihan.

  • Mendorong semua organisasi, baik publik maupun swasta, untuk menunjuk seseorang untuk menjabat sebagai Chief Information Security Officer (CISO) yang akan bertanggung jawab atas inisiatif keamanan siber.

  • Angkatan Bersenjata India sedang dalam proses membangun komando dunia maya sebagai bagian dari penguatan keamanan siber jaringan dan instalasi pertahanan.

  • Implementasi yang efektif dari kemitraan publik-swasta sedang dalam proses yang akan sangat membantu dalam menciptakan solusi untuk lanskap ancaman yang selalu berubah.

Strategi 5 - Menciptakan Mekanisme untuk Keamanan TI

Beberapa mekanisme dasar yang ada untuk memastikan keamanan TI adalah - langkah-langkah keamanan berorientasi tautan, langkah-langkah keamanan ujung ke ujung, tindakan berorientasi asosiasi, dan enkripsi data. Metode ini berbeda dalam fitur aplikasi internalnya dan juga dalam atribut keamanan yang mereka sediakan. Mari kita bahas secara singkat.

Pengukuran Berorientasi Tautan

Ini memberikan keamanan saat mentransfer data antara dua node, terlepas dari sumber dan tujuan akhir data.

Tindakan End-to-End

Ini adalah media untuk mengangkut Protocol Data Units (PDU) dengan cara yang dilindungi dari sumber ke tujuan sedemikian rupa sehingga gangguan pada tautan komunikasinya tidak melanggar keamanan.

Tindakan Berorientasi Asosiasi

Tindakan berorientasi asosiasi adalah serangkaian tindakan ujung ke ujung yang dimodifikasi yang melindungi setiap asosiasi secara individual.

Enkripsi data

Ini mendefinisikan beberapa fitur umum cipher konvensional dan kelas cipher kunci publik yang baru-baru ini dikembangkan. Ini mengkodekan informasi sedemikian rupa sehingga hanya personel yang berwenang yang dapat mendekripsinya.

Strategi 6 - Mengamankan Layanan E-Governance

Tata kelola elektronik (e-governance) adalah instrumen yang paling dihargai pemerintah untuk menyediakan layanan publik secara akuntabel. Sayangnya, dalam skenario saat ini, tidak ada struktur hukum khusus untuk e-governance di India.

Demikian pula, tidak ada hukum untuk pengiriman elektronik wajib layanan publik di India. Dan tidak ada yang lebih berbahaya dan merepotkan daripada menjalankan proyek e-governance tanpa keamanan siber yang memadai. Karenanya, mengamankan layanan e-governance menjadi tugas krusial, terutama saat negara melakukan transaksi harian melalui kartu.

Untungnya, Reserve Bank of India telah menerapkan langkah-langkah keamanan dan mitigasi risiko untuk transaksi kartu di India yang diberlakukan mulai 1 Oktober 2013. Bank Cadangan telah menempatkan tanggung jawab untuk memastikan transaksi kartu yang aman pada bank daripada pada pelanggan.

"E-government" atau pemerintahan elektronik mengacu pada penggunaan Teknologi Informasi dan Komunikasi (TIK) oleh badan pemerintah untuk hal berikut -

  • Penyampaian layanan publik yang efisien
  • Memperbaiki efisiensi internal
  • Pertukaran informasi yang mudah antar warga negara, organisasi, dan badan pemerintah
  • Penataan ulang proses administrasi.

Strategi 7 - Melindungi Infrastruktur Informasi Kritis

Infrastruktur informasi kritis adalah tulang punggung keamanan nasional dan ekonomi suatu negara. Ini termasuk pembangkit listrik, jalan raya, jembatan, pabrik kimia, jaringan, serta bangunan tempat jutaan orang bekerja setiap hari. Ini dapat diamankan dengan rencana kolaborasi yang ketat dan implementasi yang disiplin.

Menjaga infrastruktur penting dari ancaman cyber yang berkembang membutuhkan pendekatan terstruktur. Pemerintah diharuskan bekerja sama secara agresif dengan sektor publik dan swasta secara teratur untuk mencegah, menanggapi, dan mengoordinasikan upaya mitigasi terhadap upaya gangguan dan dampak negatif terhadap infrastruktur kritis negara.

Pemerintah diminta bekerja sama dengan pemilik bisnis dan operator untuk memperkuat layanan dan grup mereka dengan berbagi informasi ancaman dunia maya dan lainnya.

Platform bersama harus dibagikan dengan pengguna untuk mengirimkan komentar dan ide, yang dapat bekerja sama untuk membangun fondasi yang lebih kokoh untuk mengamankan dan melindungi infrastruktur penting.

Pemerintah AS telah mengeluarkan perintah eksekutif "Meningkatkan Keamanan Siber Infrastruktur Kritis" pada tahun 2013 yang memprioritaskan pengelolaan risiko keamanan siber yang terlibat dalam penyampaian layanan infrastruktur penting. Kerangka ini memberikan klasifikasi dan mekanisme umum bagi organisasi untuk -

  • Tentukan bantalan keamanan siber yang ada,
  • Tentukan tujuan mereka untuk keamanan siber,
  • Mengkategorikan dan memprioritaskan peluang untuk pengembangan dalam kerangka proses yang konstan, dan
  • Berkomunikasi dengan semua investor tentang keamanan siber.