Menyadari kapasitas keamanan siber
Analisis industri memperkirakan bahwa di tahun-tahun mendatang kesenjangan tersebut masih akan melebar, seperti yang sudah terjadi sejak sebelum pandemi. Sementara strategi untuk mempersempit kesenjangan mungkin terbukti efektif dalam jangka panjang, namun tidak ada yang bisa dilakukan dalam jangka pendek. Ada beberapa alasan mengapa kesenjangan melebar :- Saat ini teknologi sudah menjadi tulang punggung bisnis, karena akan terus berkembang. Semakin banyak perusahaan dari semua ukuran menggunakan teknologi cloud untuk membuatnya lebih mudah. Oleh karena itu, jumlah aset yang harus dilindungi terus bertambah dengan cepat, begitu pula jumlah lowongan pekerjaan keamanan siber, khususnya di bidang keamanan cloud dan keamanan aplikasi web.
- Penjahat menemukan cara baru untuk mengeksploitasi kurangnya keamanan aplikasi web dan mereka belajar bagaimana memanfaatkannya. Beberapa tahun yang lalu, kejahatan dunia maya sebagian besar dianggap sebagai fokus operasi kecil tetapi semakin diadopsi oleh organisasi kriminal besar. Artinya, risiko serangan siber lebih besar, terutama untuk perusahaan dan institusi besar.
- Ketika bisnis tumbuh, begitu pula kompleksitas sistem mereka. Ini berarti tidak hanya ada lebih banyak aset untuk dilindungi tetapi juga lebih sulit untuk dilindungi.
Menyiapkan tenaga ahli professional
Beberapa bisnis berusaha mempersempit kesenjangan dengan melatih kembali tim IT mereka. Meskipun ada kemungkinan bahwa beberapa karyawan dengan keterampilan teknis dapat mengambil posisi keamanan aplikasi web, namun mereka tetap membutuhkan seseorang untuk mengajari mereka. Sebagian besar pakar keamanan dunia maya saat ini belajar sendiri dan sangat sedikit yang dapat dilakukan perusahaan untuk membantu karena ketersediaan sertifikasi keamanan juga terbatas.
Namun, masalah sebenarnya adalah bahwa perusahaan sering menganggap keamanan siber atau keamanan aplikasi web sebagai sesuatu yang hanya ditangani oleh tenaga ahli keamanan siber saja. Persepsi ini menjadi penyebab dari beberapa masalah yang disebutkan di atas, misalnya tingginya tingkat stres dan kejenuhan staf keamanan siber. Tim keamanan siber sering mengalami kendala akan beban kerja yang tidak seimbang dan tim yang kurang mengerti.
Oleh karena itu, kunci untuk mempersempit kendala tersebut adalah dengan melihat keamanan siber sebagai masalah semua orang. Pengembang, administrator, DevOps, personel non-teknis sebaiknya juga mengetahuinya. Berikut beberapa poin yang bisa Anda lakukan :
- Perusahaan harus memberikan pelatihan keamanan siber dasar untuk semua orang di perusahaan, misalnya, untuk memerangi malware, phishing/rekayasa sosial, dan serangan ransomware. Anda harus menjadikan pelatihan semacam itu sebagai bagian dari jadwal bisnis reguler, bukan hanya memperlakukannya sebagai aktivitas orientasi satu kali atau inisiatif sesekali.
- Setiap pengembang harus memiliki pelatihan dasar tentang cara menghindari kerentanan keamanan dalam kode dan bertanggung jawab atas masalah seperti bug lainnya.
- Setiap Tim DevOps harus mengetahui tentang tools keamanan yang dapat digunakan dengan sistem CI/CD, seperti pemindai DAST dan SAST, mengetahui cara mengonfigurasinya, dan memasukkannya ke dalam semua pipeline.
- Organisasi harus menyadari bahwa semakin awal Anda mulai memperhatikan keamanan dengan menetapkan anggaran yang tepat untuk inisiatif pencegahan, semakin kecil kemungkinan Anda harus menghabiskan lebih banyak untuk respons insiden.
- Terakhir, setiap eksekutif harus menyadari pentingnya keamanan informasi dan keamanan siber secara umum, bukan hanya CISO. Eksekutif juga harus memahami lanskap ancaman, misalnya, mereka harus menyadari bahwa ancaman orang dalam sama pentingnya dengan ancaman dunia maya eksternal, dan aset bisnis internal serta sistem informasi memerlukan perlindungan yang sama banyaknya dengan yang bersifat publik.
Mengadopsi perusahaan besar
Perusahaan besar di dunia memberikan contoh yang bisa diikuti oleh perusahaan lainnya. Perusahaan seperti Google, Facebook, Apple, dan Microsoft semuanya memiliki program untuk bug keamanan. Jika mereka dapat mempercayai orang luar untuk mengetes keamanan sistem aplikasi mereka, Anda juga bisa melakukan hal yang sama , berikut beberapa keunggulan program bug bounty :- Anda dapat mengurangi kebutuhan akan pengujian keamanan internal. White hat hacker akan dengan senang hati melakukan tes penetrasi sistem Anda hanya untuk mendapatkan hadiah.
- Anda dapat meningkatkan persepsi bisnis Anda di komunitas IT. Jika Anda cukup berani untuk menawarkan hadiah untuk menemukan bug, itu berarti perusahaan Anda yakin dengan sikap keamanannya.
Namun, Anda harus ingat bahwa memiliki program bug bounty saja tidak cukup. Anda perlu mengungkapkan kerentanan secara bertanggung jawab dan Anda perlu memprioritaskan perbaikan masalah keamanan terkait hadiah. Jika tidak, white hat hacker akan sering merilis detail kerentanan Anda secara publik hanya untuk memberi Anda dorongan yang tidak menyenangkan ke arah yang benar.
Promosikan otomatisasi dan integrasi
Industri keamanan dunia maya masih sedikit ketinggalan tren dan banyak tools masih dibuat dengan mempertimbangkan spesialis keamanan khusus. Tools semacam itu sulit atau bahkan tidak mungkin digunakan di lingkungan yang kompleks, misalnya, sebagai bagian dari lingkungan DevSecOps (atau SecDevOps). Ini bisa menjadi masalah besar bagi organisasi yang berusaha menggunakan metode yang disebutkan di atas untuk mengurangi dampak pekerjaan keamanan siber yang tidak terisi.
Solusi keamanan siber, tidak peduli apakah itu keamanan web atau keamanan jaringan, seharusnya tidak lagi menjadi tools untuk tim khusus. Pengguna utama mereka tidak boleh menjadi analis keamanan. Alat modern harus dirancang sebagai berikut :
- Pengembang tidak boleh dipaksa untuk menggunakan tools khusus. Misalnya, jika mereka ingin memperbaiki bug terkait keamanan, mereka harus menggunakan sistem manajemen masalah biasa seperti yang mereka lakukan dengan bug lainnya. Oleh karena itu, solusi keamanan siber harus sepenuhnya terintegrasi dengan sistem manajemen masalah tersebut dan tidak mengharuskan pengembang untuk masuk ke tools lain untuk mengelola masalah tersebut.
Tools keamanan modern untuk perusahaan harus tidak terlihat oleh sebagian besar pengguna. Anda hanya dapat mencapainya jika tools tersebut dirancang untuk diotomatisasi dan diintegrasikan sebanyak mungkin dalam lingkungan yang paling kompleks sekalipun. Dan membangun tools seperti itu persis seperti yang dilakukan Acunetix untuk mendapatkan menutup celah dengan mudah.
0 Comment