Riset: 88% Perangkat Cyber-Physical Gagal Kirim Product Code Akurat

Telset.id – Sebuah riset terhadap 17 juta aset cyber-physical (CPS) mengungkap fakta mengejutkan: 88% perangkat gagal mengirimkan product code yang akurat. Temuan ini memicu kekhawatiran serius karena perangkat CPS seperti peralatan imaging di rumah sakit dan sistem kontrol di pabrik menjadi tulang punggung infrastruktur kritis.

Andrew Lintell, General Manager EMEA di Claroty, menjelaskan bahwa ketika alert kerentanan kritis masuk di lingkungan IT tradisional, tim keamanan dapat mengidentifikasi dan menambal perangkat yang terdampak dalam hitungan jam. Namun, situasi ini sangat berbeda ketika alert yang sama mendarat di peralatan imaging rumah sakit, sistem kontrol pabrik, atau jaringan HVAC sebuah gedung.

Perangkat cyber-physical ini berada di garis depan konvergensi IT dan OT (operational technology). Sayangnya, memastikan apakah alert tersebut berlaku untuk perangkat tertentu bisa memakan waktu berhari-hari dan sering kali berakhir dengan tebakan, bukan jawaban pasti. Ketidakpastian seperti ini dianggap sebagai kegagalan kebersihan dasar di lingkungan IT, tetapi untuk cyber-physical systems, ini justru menjadi norma yang umum terjadi.

Masalah Visibilitas yang Meluas di Cyber-Physical Systems

Ketidakmampuan mengelola kerentanan yang masuk untuk CPS bukanlah kasus outlier atau skenario terburuk. Ini menjadi perhatian utama karena aset-aset ini berada di jantung infrastruktur kritis seperti energi dan layanan kesehatan. Akar masalahnya terletak pada product code yang membantu jaringan mengidentifikasi jenis CPS di lingkungan mereka, yang merupakan bagian penting dalam mengidentifikasi dan menerapkan patch keamanan.

Riset Claroty menemukan bahwa 76% perangkat mengirim kode yang tidak cocok dengan catatan vendor itu sendiri. Kondisi ini merupakan efek samping dari cara sistem tersebut dirancang awal dan kemudian diintegrasikan ke lingkungan IT modern. Programmable logic controllers (PLC), pemindai medis, dan sensor industri direkayasa untuk keandalan fisik selama beberapa dekade, bukan untuk pelabelan digital yang rapi.

Identifikasi jaringan jarang menjadi bagian dari desain awal, sehingga perangkat yang sama dapat melaporkan dirinya secara berbeda tergantung pada protokol atau integrasi yang bertanya. Kondisi serupa juga ditemukan pada sistem operasi di balik perangkat keras fisik. Riset menunjukkan 41% perangkat tidak memiliki versi OS yang tersedia, dan 24% tidak memiliki nama OS sama sekali.

Tanpa detail ini, mencocokkan perangkat dengan kerentanan yang diketahui tidak lagi menjadi pencarian database cepat atau proses otomatis, melainkan permainan menebak atau pencarian manual yang melelahkan. Ditambah lagi, advisory CVE yang menjadi mekanisme standar industri untuk melacak kerentanan, disusun dari data vendor yang tidak lengkap ini. Advisory resmi bisa sama tidak lengkapnya dengan jaringan yang seharusnya dilindungi.

Dampak pada Kepemimpinan dan Manajemen Risiko

Blind spot semacam ini menambah lapisan kekhawatiran bagi para pemimpin yang sudah cemas tentang visibilitas ancaman. Survei terhadap 1.100 pemimpin keamanan global menunjukkan 44% menyebut pemahaman eksposur risiko organisasi sebagai salah satu kekhawatiran operasional terbesar mereka, melebihi tekanan kepatuhan atau kendala anggaran.

Sebanyak 45% lainnya mengaku kesulitan mengurangi risiko cyber pada aset dan proses terpenting mereka. Namun, koneksi antara kesulitan tersebut dengan inventaris aset yang tidak dapat diandalkan sering kali terlewatkan sepenuhnya. Kepemimpinan melihat gejalanya berupa meningkatnya perasaan bahwa risiko tidak dapat dikelola, tanpa pernah melihat penyebab yang mendasarinya.

Situasi ini menciptakan kesenjangan komunikasi antara tim keamanan dan manajemen bisnis. Tim keamanan yang mulai menjelaskan masalah dalam istilah product code yang hilang dan konvensi penamaan yang tidak konsisten tidak akan mendapat perhatian. Pemimpin bisnis hanya mendengar bahwa risiko tidak dapat dikuantifikasi dengan percaya diri. Selama kedua percakapan ini tidak terhubung, setiap risk register yang disajikan CISO ke atas membawa tanda bintang yang tidak terlihat oleh siapa pun di ruangan.

Konteks sebagai Kunci Penutup Kesenjangan

Menyelesaikan masalah ini dimulai dengan perubahan makna visibilitas. Mengetahui perangkat ada di jaringan hanya setengah dari pekerjaan. Mengetahui apa yang dilakukan perangkat tersebut, proses apa yang bergantung padanya, dan apa yang terjadi jika dikompromikan adalah hal yang membuat risk register benar-benar berguna.

Mencapai perubahan ini dalam skala besar membutuhkan alat khusus untuk mengelola sifat eklektik dan proprietary dari aset CPS, serta pendekatan otomatis untuk mengatasi skalanya. Dalam satu contoh, penerapan teknik pemetaan berbasis AI ke katalog perangkat OEM berhasil meningkatkan identifikasi product code dari 4% menjadi 83%, mengubah blind spot menjadi gambaran yang hampir lengkap.

Tindak lanjut juga sama pentingnya, dengan 56% perangkat menerima rekomendasi firmware baru atau yang diperbarui sebagai hasilnya, dan akurasi identifikasi kerentanan meningkat 25%. Angka-angka ini penting karena mengubah pertanyaan yang bisa dijawab oleh tim keamanan. Alih-alih bertanya apa yang terhubung ke jaringan, tim dapat bertanya sistem mana yang akan menyebabkan gangguan terbesar jika dikompromikan, dan bertindak berdasarkan jawaban tersebut dengan keyakinan, bukan inferensi.

Itulah perbedaan antara inventaris aset yang hanya ada di atas kertas dan inventaris yang tangguh serta bertahan saat menghadapi tekanan.

Memperbaiki Fondasi, Bukan Hanya Alarm

Tidak ada solusi yang datang dari sekadar menambahkan alat lain ke tumpukan teknologi yang sudah ada. Sebaliknya, ini berarti memperlakukan kualitas data aset sebagai masalah risiko tingkat dewan, bukan sekadar housekeeping IT latar belakang, dengan pengawasan yang sama seperti anggaran, kepatuhan, dan akses pihak ketiga.

Mencapai hal ini berarti alert CVE baru tidak lagi memicu kegemparan untuk mencari tahu perangkat kritis mana yang mungkin terdampak, melainkan respons terkonfirmasi dan terprioritaskan yang diharapkan dari program manajemen kerentanan yang baik. Alert yang mendarat di peralatan imaging rumah sakit atau sistem kontrol pabrik seharusnya tidak lebih sulit ditangani daripada alert yang mendarat di laptop.

Untuk mencapai titik tersebut, langkah awal yang diperlukan adalah membuat yang tidak terlihat menjadi terlihat. Kualitas data aset harus menjadi prioritas utama dalam strategi keamanan siber, terutama bagi organisasi yang mengelola infrastruktur kritis. Tanpa fondasi data yang akurat, setiap upaya pengamanan cyber-physical systems hanya akan menjadi reaksi terhadap gejala, bukan penyelesaian akar masalah.