OT/ICS security
Keamanan siber OT dan ICS di Indonesia: panduan untuk sektor energi, manufaktur, dan migas
Ringkasnya
Keamanan Operational Technology dan Industrial Control Systems di Indonesia: ancaman spesifik, regulasi BSSN untuk infrastruktur kritis, dan pendekatan penilaian risiko OT.
Sistem Operational Technology (OT) dan Industrial Control Systems (ICS) adalah kategori target yang berbeda dari IT enterprise biasa. Mereka mengendalikan proses fisik: aliran minyak, distribusi listrik, lini produksi manufaktur. Ketika sistem ini diretas, konsekuensinya bisa melampaui jauh batas-batas database yang bocor atau layanan yang terhenti.
Di Indonesia, sektor energi, migas, dan manufaktur mengandalkan infrastruktur OT yang semakin terhubung ke jaringan IP, sering kali tanpa lapisan keamanan yang memadai.
Mengapa OT berbeda dari IT
Profesional keamanan siber yang berpengalaman di IT belum tentu siap menangani lingkungan OT. Perbedaan ini fundamental, bukan hanya teknis.
| Lingkungan IT | Lingkungan OT/ICS | |
|---|---|---|
| Prioritas keamanan | Kerahasiaan > Integritas > Ketersediaan | Keselamatan fisik > Ketersediaan > Integritas |
| Toleransi downtime | Hitungan jam, dengan fallback dan redundansi | Mendekati nol, downtime bisa berarti kecelakaan fisik |
| Siklus pembaruan sistem | Bulanan atau kuartalan | Bertahun-tahun, banyak sistem tidak bisa diperbarui sama sekali |
| Dampak insiden terburuk | Kebocoran data, gangguan layanan, kerugian finansial | Ledakan, kebakaran, korban jiwa, kerusakan infrastruktur nasional |
| Teknik pengujian keamanan | Eksploitasi aktif dapat digunakan secara terkontrol | Eksploitasi aktif berisiko mengganggu operasi fisik, harus pasif atau sangat terkontrol |
Ancaman OT yang relevan di Indonesia
Ransomware yang menarget OT
Kelompok ransomware modern bergerak secara lateral ke jaringan OT untuk memaksimalkan tekanan. Serangan Colonial Pipeline 2021 menghentikan distribusi bahan bakar di sebagian pantai timur Amerika Serikat karena penyebaran dari jaringan IT ke OT.
Spionase industri dan nation-state
Aset energi dan manufaktur adalah target bagi aktor negara yang ingin memetakan infrastruktur kritis atau mencuri kekayaan intelektual industri. Indonesia, sebagai produsen komoditas terbesar di kawasan, menjadi target alami.
Celah dari integrasi IT-OT
Konektivitas baru antara sistem manajemen enterprise (IT) dan sistem kontrol pabrik (OT) membuka jalur serangan yang sebelumnya tidak ada. Firewall tradisional tidak cukup tanpa pemahaman mendalam tentang protokol OT seperti Modbus, DNP3, dan PROFINET.
Supply chain perangkat industri
Banyak perangkat OT diimpor dengan firmware yang belum diperbarui atau bahkan dengan akses tersembunyi yang ditanamkan sejak produksi. Tanpa inventarisasi dan verifikasi aset yang ketat, ancaman ini tidak terdeteksi.
Regulasi untuk operator infrastruktur kritis di Indonesia
| Regulasi | Kewajiban | Otoritas |
|---|---|---|
| PP 71/2019 | Mewajibkan penyelenggara infrastruktur informasi kritis untuk melindungi sistem dari ancaman siber. Sektor tercakup: energi, transportasi, keuangan, kesehatan, pemerintahan, dan telekomunikasi. | Kominfo / BSSN |
| Perpres 82/2022 | Kerangka Keamanan Siber Nasional yang menetapkan tanggung jawab perlindungan infrastruktur kritis dan koordinasi respons insiden nasional. | BSSN |
| BSSN Pedoman OT | Panduan spesifik untuk keamanan sistem kontrol industri berdasarkan framework IEC 62443, standar internasional untuk keamanan OT. | BSSN |
Pendekatan penilaian risiko OT
- 1
Inventarisasi aset OT
Identifikasi seluruh aset OT: PLC, RTU, HMI, historian, dan gateway IT-OT. Banyak organisasi tidak memiliki inventaris aset OT yang akurat, dan tanpa itu tidak ada keamanan yang bisa dibangun.
- 2
Pemetaan jaringan dan analisis segregasi
Verifikasi bahwa jaringan OT tersegregasi dari IT dengan benar. Identifikasi semua titik koneksi antara zona IT dan OT, termasuk koneksi monitoring jarak jauh.
- 3
Analisis kerentanan pasif
Menggunakan teknik passive monitoring daripada active scanning yang dapat mengganggu perangkat sensitif. Tools khusus OT memungkinkan visibilitas tanpa risiko gangguan operasional.
- 4
Simulasi skenario ancaman
Tabletop exercise untuk skenario seperti ransomware yang bergerak dari IT ke OT, manipulasi sensor melalui man-in-the-middle, atau sabotase firmware. Identifikasi gap dalam playbook operasional.
- 5
Rekomendasi dan roadmap
Prioritas perbaikan berdasarkan risiko, bukan sekadar daftar celah teknis. Dalam lingkungan OT, tidak semua kerentanan bisa ditambal, sehingga mitigasi kompensatif dan segmentasi jaringan sering menjadi solusi pragmatis.
Mengapa sektor ini membutuhkan spesialis OT
Konsultan keamanan umum yang belum pernah bekerja dengan protokol OT dan lingkungan operasional dapat menyebabkan lebih banyak kerusakan daripada kebaikan. Scan jaringan agresif pada subnet yang berisi perangkat PLC lama dapat menyebabkan perangkat tersebut crash atau berperilaku tidak terduga.
Alpha Code memiliki pengalaman dalam penilaian keamanan untuk lingkungan operasional, termasuk koordinasi dengan tim OT/SCADA agar penilaian tidak mengganggu operasi yang sedang berjalan.
Pertanyaan umum
Dalam keamanan IT, prioritas utama adalah kerahasiaan (confidentiality), integritas, dan ketersediaan, dalam urutan itu. Dalam OT, prioritasnya terbalik: ketersediaan dan keselamatan fisik adalah yang utama. Downtime pada sistem SCADA pabrik bukan sekadar masalah bisnis, tetapi bisa berakibat pada kecelakaan fisik, tumpahan, atau korban jiwa. Pendekatan keamanan yang sama tidak dapat diterapkan di kedua lingkungan.
Terkait
Layanan kami
Siap memperkuat keamanan siber Anda?
Bicarakan kebutuhan Anda dengan tim kami di Jakarta.
Tim kami di Jakarta. Kami membalas dalam satu hari kerja.