Karena kesenjangan keamanan siber semakin banyak, ada kepanikan yang meningkat baik di industri maupun pemerintah tentang cara melindungi lanskap siber.
Di masa lalu, tiga tema manajemen risiko yang signifikan telah dikemukakan untuk membantu memperbaiki ekosistem risiko digital termasuk: security by design, defense in depth, dan zero trust. Mereka adalah tiga serangkai, atau tiga pilar kuat manajemen risiko yang dibutuhkan untuk strategi keamanan siber yang sukses.
Security by Design sebenarnya adalah titik awal dari proses manajemen risiko — terutama jika Anda adalah pengembang perangkat lunak atau perangkat keras yang peduli dengan keamanan. Dalam sebuah artikel di majalah Keamanan Siber Amerika Serikat, pakar keamanan siber Jeff Spivey memberikan definisi kerja yang sangat baik: “Security by Design memastikan bahwa tata kelola dan manajemen risiko keamanan dipantau, dikelola, dan dipelihara secara berkelanjutan. Nilai dari pendekatan “holistik” ini adalah memastikan bahwa risiko keamanan baru diprioritaskan, diatur, dan ditangani secara berkelanjutan dengan umpan balik dan pembelajaran berkelanjutan.”
Defense in Depth. Terdapat variasi definisi yang kuat untuk Defense in Depth dalam komunitas keamanan. Publikasi NIST mendefinisikan konsep Defense-in-depth sebagai “prinsip arsitektur keamanan penting yang memiliki aplikasi signifikan untuk sistem kontrol industri (ICS), layanan cloud, gudang data sensitif, dan banyak area lainnya. Kami mengklaim bahwa postur defense-in-depth yang ideal adalah ‘dalam’, berisi banyak lapisan keamanan, dan ‘sempit’, jumlah jalur serangan independen node diminimalkan”.
Zero trust (ZT) adalah istilah untuk serangkaian paradigma keamanan siber yang terus berkembang yang memindahkan pertahanan dari perimeter statis berbasis jaringan ke fokus pada pengguna, aset, dan sumber daya. Arsitektur Zero trust (ZTA) menggunakan prinsip nol kepercayaan (zero trust) untuk merencanakan infrastruktur dan alur kerja industri dan perusahaan. Zero trust mengasumsikan tidak ada kepercayaan implisit yang diberikan kepada aset atau akun pengguna hanya berdasarkan lokasi fisik atau jaringan mereka (yaitu, jaringan area lokal versus internet) atau berdasarkan kepemilikan aset (perusahaan atau milik pribadi). Autentikasi dan otorisasi (baik subjek dan perangkat) adalah fungsi terpisah yang dilakukan sebelum sesi ke sumber daya perusahaan dibuat.
Ketiga pilar manajemen risiko keamanan siber ini tidak perlu berdiri sendiri. Faktanya, mereka semua harus digabungkan bersama dalam strategi kerangka kerja keamanan siber untuk mengidentifikasi celah, mengurangi ancaman, dan membangun ketahanan jika terjadi serangan siber yang tak terhindarkan.
Selengkapnya: Forbes
