Keamanan siber OT di terminal BBM: risiko nyata dan langkah awal menurut IEC 62443

Keamanan siber OT di terminal BBM dimulai dari empat langkah: mengetahui semua aset dan sambungannya, memisahkan jaringan kontrol dari jaringan kantor, mengendalikan akses jarak jauh, dan memastikan backup bisa dipulihkan.

OT (operational technology) adalah peralatan dan perangkat lunak yang menjalankan terminal secara fisik: PLC, SCADA, terminal automation system, gauge, meter, dan jaringan di antaranya. Seri ISA/IEC 62443 adalah rujukan umum untuk mengamankannya, dan NIST SP 800-82 Rev. 3 memberi panduan praktis. Panduan ini mengubah keduanya menjadi langkah awal yang bisa diambil terminal tanpa menghentikan operasi, dan menunjuk aturan Indonesia tentang infrastruktur informasi vital.

IT kantor melindungi informasi. OT terminal melindungi proses fisik yang menangani produk mudah terbakar.

NIST SP 800-82 Rev. 3 merumuskan tugasnya sebagai mengamankan OT dengan tetap menghormati kebutuhan kinerja, keandalan, dan keselamatannya yang khas. Dalam praktik, itu mengubah aturannya. Server di kantor bisa di-restart malam ini untuk memasang patch. Controller bay pengisian tidak bisa di-restart saat mobil tangki sedang mengisi, dan patch-nya mungkin perlu diuji vendor lebih dulu. Peralatan hidup bertahun-tahun, dan sebagian tidak bisa menjalankan perangkat lunak terbaru.

Keamanan OT yang baik karena itu memakai kontrol kompensasi: pemisahan jaringan, akses yang ketat, pemantauan, dan backup yang tidak bergantung pada menyentuh sistem yang sedang berjalan.

Sebagian besar insiden di sistem kontrol bermula dari kelemahan biasa, bukan serangan yang aneh-aneh.

Tabel berikut mendaftar kelemahan yang berulang kali muncul di jaringan terminal, beserta perbaikan pertamanya. Tidak ada yang membutuhkan anggaran besar. Semuanya membutuhkan seseorang yang memegang tugasnya dan memeriksanya kemudian.

Anda tidak bisa melindungi perangkat yang tidak Anda ketahui keberadaannya.

Mulailah dengan daftar: setiap PLC, server, HMI, switch, gateway, konverter serial, dan sambungan jarak jauh, beserta model, versi, lokasi, dan pemiliknya. Lalu gambar bagaimana semuanya terhubung. Artikel Citia tentang asesmen PLC/SCADA menjelaskan baseline yang sama: register aset, topologi yang sebenarnya, dan backup, dengan ketidakpastian dicatat sebagai temuan bila dokumen tidak lengkap.

Kebiasaan kecil membantu. Di LPG Panjang, pemberian label pada kabel di rak server secara bertahap membuat jalur kabel lebih mudah dikenali kemudian, seperti dicatat catatan proyek LTSA. Pelabelan yang sama membuat kabel yang tidak dikenal mudah terlihat.

Telusuri lokasinya, jangan hanya membaca gambar. Kartu jaringan kedua yang tidak terdokumentasi, modem yang terlupakan, atau access point nirkabel yang dipasang demi kemudahan adalah sambungan yang pertama ditemukan penyerang.

Beri daftar itu seorang pemilik. Keamanan OT sering jatuh di antara tim IT, yang tidak mengenal pabrik, dan tim operasi, yang tidak mengelola jaringan. Seseorang yang ditunjuk dan berwenang atas keduanya, meski paruh waktu, menjaga inventaris tetap mutakhir dan memutuskan siapa boleh menyambungkan apa.

Pemisahan berarti masalah di satu bagian jaringan tidak bisa menyebar bebas ke bagian lain.

Seri IEC 62443 menggambarkannya dengan zona dan conduit. Zona mengelompokkan aset yang membutuhkan tingkat perlindungan yang sama. Conduit adalah jalur komunikasi terkendali antarzona, dengan firewall atau kontrol serupa di atasnya. Di terminal, zona yang wajar adalah peralatan lapangan dan kontrol, server TAS dan SCADA, zona antarmuka untuk data yang menuju sistem bisnis, dan jaringan kantor.

Koneksi data ke SAP yang dibahas di integrasi TAS dan TMS ke SAP sebaiknya lewat zona antarmuka, dan lapisan-lapisannya dijelaskan di arsitektur TAS. Vendor jarak jauh masuk lewat zona yang sama dan tidak pernah menjangkau PLC secara langsung.

Tidak setiap zona butuh perlindungan yang sama, dan standar memberi cara untuk memutuskannya.

IEC 62443-3-3 menjelaskan tingkat keamanan. Sebuah sistem punya tingkat kemampuan, yaitu apa yang sanggup ditahan desainnya, dan setiap zona mendapat tingkat target yang dipilih berdasarkan risiko. Zona yang menjalankan kontrol pengisian dan interlock pompa layak mendapat target lebih tinggi daripada jaringan tamu di ruang pengunjung, dan perbedaannya harus terlihat pada aturan firewall, aturan akun, dan pemantauan.

Latihan ini juga melindungi anggaran. Menaikkan semua zona ke tingkat tertinggi mahal dan jarang diperlukan, sedangkan membiarkan zona kontrol setara jaringan kantor adalah awal terjadinya insiden.

Akses jarak jauh sama bergunanya dengan bahayanya, sehingga butuh aturan.

Vendor perlu menjangkau sistem untuk dukungan, dan gangguan tengah malam bukan saat yang tepat untuk berdebat soal caranya. Putuskan lebih dulu. Buletin teknis Citia tentang integrasi sistem yang aman menggambarkan model berlapis dengan enkripsi, autentikasi multi-faktor, dan firewall, dan lapisan yang sama berlaku untuk sesi dukungan.

Setelah setiap sesi, tutup akun sementaranya, baca catatan sesinya, dan arsipkan bersama laporan gangguan. Vendor yang tahu catatannya akan dibaca cenderung bekerja lebih hati-hati, dan terminal punya bukti bila ada yang dipertanyakan kemudian.

Sisi kontrak juga penting. Panduan LTSA mendaftar ketentuan akses jarak jauh, kredensial, dan insiden yang perlu diminta dari penyedia jasa.

Backup hanya berguna bila selamat dari insiden dan bisa dipulihkan oleh orang yang lelah dan sedang terburu-buru.

Simpan setidaknya satu salinan offline atau di sistem terpisah yang tidak bisa dijangkau ransomware di jaringan kontrol. Pulihkan di mesin cadangan sedikitnya sekali dan tuliskan apa yang terjadi. Materi reliability Citia menyampaikan hal yang sama: file backup saja belum membuktikan kemampuan pemulihan, jadi catat versi, tanggal, sumber, peralatan tujuan, dan ketergantungan lisensi atau konfigurasinya.

Layanan Condition Monitoring and Maintenance Citia mencakup uji backup dan restore serta pemeriksaan jaringan dan gateway.

Lapisan yang berbeda membutuhkan backup yang berbeda: program PLC, konfigurasi gateway, database, proyek SCADA, dan dokumen engineering. Panduan backup dan restore PLC dan SCADA membahas cara menyusunnya.

Daftar periksa yang singkat lebih baik daripada kebijakan panjang yang tidak pernah dimulai.

Kerjakan secara berurutan. Empat langkah pertama hampir tidak butuh biaya dan menghilangkan risiko terbesar. Sisanya dibangun di atasnya. Catat tanggal dan pemilik setiap langkah, karena catatan itulah yang mengubah niat baik menjadi program.

Pencegahan kadang gagal, sehingga terminal juga perlu menyadari dan bertindak.

Dukungan TAS Padalarang menunjukkan kebiasaannya: backup database rutin dan catatan kegiatan maintenance serta perubahan konfigurasi disimpan sebagai jejak audit.

Simpan log dari firewall di antara zona, dari server, dan dari titik akses jarak jauh, dan beri seseorang tugas membacanya secara berkala. Jam yang tidak biasa, perangkat baru di jaringan kontrol, dan login gagal berulang adalah tanda pertama yang layak ditindaklanjuti.

Tulis rencana respons satu halaman sebelum dibutuhkan: siapa yang dihubungi, apa yang diisolasi lebih dulu, bagaimana operasi berlanjut secara manual, dan bukti apa yang disimpan. Latih sekali bersama operator, seperti menguji prosedur manual cadangan untuk sistem lain.