Operator CNI harus menanyakan 12 pertanyaan ini kepada pemasok OT mereka

Pusat Keamanan Siber Nasional (NCSC) Inggris telah bekerja sama dengan mitra Five Eyes dan badan-badan lain dari Uni Eropa (UE) untuk menerbitkan panduan baru yang dirancang untuk membantu badan-badan infrastruktur nasional kritis (CNI) dan badan-badan lain yang bergantung pada teknologi operasional (OT). ) menuntut peningkatan keamanan pada produk saat mengambil keputusan pembelian.

Ketika operator CNI berada di bawah ancaman yang hampir terus-menerus dari pihak-pihak jahat – banyak dari mereka bekerja atas perintah badan intelijen yang bermusuhan – NCSC mengatakan bahwa mereka bertujuan untuk memberikan panduan yang jelas dalam memilih produk dan produsen yang mematuhi prinsip-prinsip desain yang aman. memberikan sistem mereka landasan yang tangguh dan meminimalkan risiko yang ditimbulkan oleh serangan siber.

Secara historis, komponen-komponen tersebut belum dikembangkan dengan keamanan sebagai prioritas – atau dalam banyak kasus sama sekali – sehingga memberikan peluang bagi pelaku ancaman untuk mengakses wilayah teknologi mereka, yang kini semakin luas seiring dengan semakin banyaknya komponen OT yang terhubung ke sistem TI yang lebih luas. .

Selain itu, komponen-komponen tersebut sering kali menjadi sasaran utama karena kompromi yang berhasil dapat dengan mudah direplikasi ke banyak korban.

“Seiring dengan semakin banyaknya penyerang siber yang menyasar teknologi operasional di seluruh dunia, sangatlah penting bagi operator infrastruktur penting untuk memastikan keamanan dimasukkan ke dalam sistem yang mereka gunakan,” kata Direktur Ketahanan Nasional dan Teknologi Masa Depan NCSC, Jonathan Ellison.

“Panduan baru ini memberikan saran praktis kepada organisasi tentang cara memprioritaskan produk-produk OT yang dirancang aman ketika membuat keputusan pembelian, membantu memitigasi ancaman dunia maya yang sangat nyata yang mereka hadapi.

“Saya sangat menyarankan operator sistem OT di Inggris untuk mengikuti panduan ini guna membantu membangun landasan yang kuat bagi ketahanan dunia maya mereka dan untuk mengirimkan sinyal kepada produsen bahwa keamanan lebih dari sekadar fitur tambahan untuk produk tetapi merupakan persyaratan yang dibutuhkan.”

Panduan tersebut, yang secara resmi dapat diunduh dari situs web mitra NCSC di Amerika, CISA, menetapkan 12 pertimbangan keamanan yang harus diintegrasikan oleh pengguna OT ke dalam proses pengadaan mereka, baik untuk membantu mempertahankan diri, dan untuk memaksa produsen berbuat lebih baik.

Pertimbangan yang harus diperhatikan pembeli – dan jawaban atas pertanyaan-pertanyaan ini harus selalu ‘ya’ – adalah sebagai berikut:

Apakah produk mendukung pengendalian dan pelacakan modifikasi pada pengaturan konfigurasi dan logika teknik?
Apakah produk dasar mendukung pencatatan semua tindakan, termasuk perubahan konfigurasi, peristiwa keamanan dan keselamatan, menggunakan format standar terbuka?
Apakah produk menggunakan standar terbuka untuk mendukung fungsionalitas dan layanan yang aman, serta untuk memigrasikan pengaturan konfigurasi dan logika teknik?
Apakah produk memberikan otonomi penuh kepada pemilik dan operator, termasuk kemampuan untuk melakukan pemeliharaan dan melakukan perubahan lainnya, serta meminimalkan ketergantungan pada pemasok?
Apakah produk melindungi integritas dan kerahasiaan data, layanan, dan fungsi, termasuk pengaturan konfigurasi dan logika teknik, baik saat disimpan maupun dalam perjalanan?
Apakah produk tiba dengan aman ‘out-of-the-box’, mengurangi permukaan serangan dan menghilangkan beban pemilik dengan menyertakan semua fitur keamanan di semua versi, menghilangkan kata sandi default dan mengizinkan kata sandi yang rumit, dengan protokol lama dinonaktifkan secara default, bukan mengekspos antarmuka eksternal, dan memberi pengguna kemampuan untuk mengatur ulang antarmuka tersebut ke keadaan semula?
Apakah produk tersebut mendukung komunikasi terautentikasi yang aman dan gagal secara ‘keras’ namun membiarkan proses penting terus berlanjut, dan hal tersebut tidak memerlukan keterampilan siber yang signifikan untuk mencapainya?
Apakah produk dilengkapi dengan kontrol aman yang menjaganya dari pelaku ancaman yang mengirimkan perintah jahat, melindungi ketersediaan fungsi-fungsi penting, dan meminimalkan dampak insiden pada sistem yang lebih luas?
Apakah versi dasar produk memberikan perlindungan yang tepat terhadap akses tidak sah melalui tindakan seperti autentikasi multifaktor atau kontrol akses berbasis peran?
Apakah produk tersebut memiliki model ancaman yang lengkap dan terperinci yang menjelaskan bagaimana ancaman tersebut dapat disusupi, dan langkah-langkah untuk mengurangi skenario tersebut?
Apakah produsen produk memiliki program pengungkapan dan manajemen kerentanan, termasuk pengujian, dukungan dan manajemen, serta patching gratis?
Apakah produk memiliki proses patching dan upgrade yang terdokumentasi dengan baik dan mudah sehingga memungkinkan pengguna untuk berpindah ke sistem operasi yang didukung secara gratis jika sistem operasi asli tidak lagi didukung?

Operator CNI harus menanyakan 12 pertanyaan ini kepada pemasok OT mereka

admin456UyyTT

Tembakan ditembakkan ke dua pria yang mengemudi di M50

Mike Rowe mengatakan usia yang berlebihan pada kredensial mendekati akhir

Wall Street menjadi gelisah dengan Trump

Tempat baru untuk Tyrone vs Kerry Clash dengan O’Neills Healy Park dianggap tidak cocok untuk header ganda setelah inspeksi nada

Pin AI Humane akan menjadi e-waste minggu depan

Culpa Tuya: Tanggal Rilis, Plot, Pemeran, dan Cara Menonton Sekuelnya

MrBeast Bertunangan dengan Pacar Thea Booysen: ‘Ya Boy Melakukan Sesuatu’

TikTok akan dilarang di AS setelah kehilangan daya tarik

Father of the Bride cast: Then and now

MSI Meluncurkan Jajaran Monitor 2025 Dengan Refresh Rate Hingga 600Hz Menjelang CES...

NYSE, Nasdaq akan menutup 9 Januari sebagai hari berkabung nasional setelah kematian...

Sabuk pengaman dunia maya

Related posts