Telset.id – Dua senator AS mengusulkan Undang-Undang Water Cyber Shield Act untuk memberikan pendanaan dan peralatan tambahan bagi EPA dalam melakukan penilaian keamanan siber pada infrastruktur air kritis. RUU ini akan menyediakan dana sebesar $300 juta per tahun untuk meningkatkan infrastruktur utilitas air.
Usulan ini muncul di tengah meningkatnya serangan terkoordinasi terhadap infrastruktur air AS dalam beberapa tahun terakhir. Serangan tersebut tercatat terjadi di 12 negara bagian, dengan 30 utilitas di Minnesota yang baru saja diserang oleh aktor asal Iran pada bulan ini.
Sementara itu, kelompok terpisah bernama Water Watch Center telah dibentuk untuk memantau 91% dari sekitar 50.000 sistem air komunitas di seluruh negeri setelah uji coba selama dua tahun. Kelompok yang didirikan oleh DEF CON Franklin dan National Rural Water Association ini akan menawarkan layanan deteksi dan respons terkelola yang disediakan oleh lima perusahaan keamanan siber.
Mengapa Utilitas Air Menjadi Sasaran Serangan?
FBI, CISA, NSA, dan banyak badan lainnya telah mengeluarkan peringatan tentang meningkatnya ancaman terhadap utilitas air dari Iran. Utilitas air dianggap sebagai target serangan berisiko rendah namun bernilai tinggi bagi peretas yang didanai negara yang ingin menyebabkan kerusakan sebesar mungkin. Hal ini karena banyak sistem kontrol air yang bergantung pada perangkat teknologi operasional (OT) yang terhubung internet dan pengontrol logika.
Perangkat ini banyak digunakan di infrastruktur air untuk mengontrol pengolahan air dan terhubung ke komputer di stasiun pemantauan. Secara teori, jika peretas mendapatkan kendali atas sistem ini, mereka dapat mematikan pengolahan air atau membuka gerbang limbah untuk mengontaminasi pasokan air.
Banyak sistem pengolahan air yang dirancang untuk bertahan selama puluhan tahun, dengan perangkat OT dan pengontrol logika ini diharapkan bertahan selama mungkin. Namun seiring berkembangnya teknologi dan perangkat keras baru, perangkat ini berhenti menerima pembaruan perangkat lunak yang dapat meningkatkan risiko diserang.
Bagi banyak pelaku industri keamanan siber, Water Cyber Shield Act dinilai terlalu sedikit dan terlambat. Para ahli memberikan pandangan beragam tentang efektivitas RUU ini dalam mengamankan infrastruktur air nasional.
Baca Juga:
Akankah Water Cyber Shield Act Disahkan?
Dahvid Schloss, OSCP, Chief Operating Officer Suzu Labs, menyatakan keraguannya tentang peluang RUU ini disahkan. Menurutnya, ini terasa seperti upaya putaran kedua dari percobaan tahun 2023 di bawah otoritas Safe Drinking Water Act yang ada sebagai aturan, namun gagal ketika kelompok industri air dan koalisi negara bagian GOP berargumen bahwa hal itu akan meningkatkan biaya bagi pembayar tarif, dan kemudian EPA menyerah dan menarik aturan tersebut.
Schloss mencatat bahwa dalam Kongres ke-118 dan ke-119 saja, telah ada sembilan RUU yang diajukan terkait bantuan moneter, penegakan standar industri, dan regulasi keamanan siber untuk sistem air dan infrastruktur kritis. Namun dari sembilan RUU tersebut, semuanya dari Kongres ke-118 mati di komite tanpa komentar atau markup, artinya tidak ada yang berjuang untuk mendapatkan suara.
John Strand, Owner Black Hills Information Security, menilai jenis legislasi ini penting namun sudah lama tertunda. Menurutnya, orang-orang telah mengetahui kelemahan keamanan dalam infrastruktur kritis, terutama di kotamadya, selama lebih dari satu dekade. Investasi semacam ini seharusnya dilakukan lebih dari sepuluh tahun lalu, bukan setelah serangan menunjukkan konsekuensi dari kelambanan.
Damon Small, Board of Directors Xcape, menyoroti masalah pendanaan. Water Cyber Shield Act berupaya mengatasi kesenjangan regulasi dengan memberikan otoritas eksplisit kepada EPA untuk menegakkan standar keamanan dasar dan mengalokasikan $300 juta per tahun untuk peningkatan utilitas. Namun jika dibagi ke sekitar 50.000 sistem air komunitas di seluruh negeri, pendanaan itu hanya menghasilkan sekitar $6.000 per fasilitas, jumlah yang nyaris tidak cukup untuk audit arsitektur awal, apalagi perombakan teknologi operasional.
Small menekankan bahwa industri sudah memiliki arsitektur referensi dan standar yang kuat untuk melindungi sistem kontrol, sehingga hambatan utamanya adalah eksekusi, bukan kurangnya panduan. Ia juga mencatat bahwa klaim bahwa suntikan modal akan menyelesaikan ancaman mengabaikan kenyataan bahwa jendela pemeliharaan jarang terjadi di lingkungan teknologi operasional yang berkelanjutan.
Alih-alih menunggu alokasi Kongres, para pemimpin keamanan dan pemilik aset harus segera menjalankan kontrol fundamental: mengisolasi secara ketat jaringan kontrol industri dari TI perusahaan, menghilangkan antarmuka manajemen yang terekspos publik ke Internet, menegakkan autentikasi multi-faktor, dan mengganti kredensial perangkat default. Standar keamanan operasional sudah ada; yang kurang dari utilitas bukanlah kesadaran, tetapi fleksibilitas waktu henti untuk benar-benar menerapkan tambalan.
Meskipun Water Cyber Shield Act merupakan langkah positif, para ahli sepakat bahwa efektivitasnya masih dipertanyakan. Dengan sejarah kegagalan legislasi serupa di Kongres dan keterbatasan pendanaan yang signifikan, masa depan keamanan siber infrastruktur air AS masih menjadi perdebatan. Yang jelas, serangan terhadap utilitas air terus meningkat dan kebutuhan akan perlindungan yang lebih kuat semakin mendesak.
Komentar
Belum ada komentar.