I. Ilusi Keamanan di Lantai Produksi dan Biaya Kecerobohan

Di era digital ini, aset paling berharga sebuah entitas industri bukanlah output produksinya, melainkan integritas dan ketersediaan sistem kontrol yang mendasarinya. Sistem ICS/OT—mulai dari Distributed Control Systems (DCS) di pembangkit listrik hingga Supervisory Control and Data Acquisition (SCADA) di fasilitas air—merupakan tulang punggung peradaban modern. Sesuai panduan NIST SP 800-82 Rev. 3, sistem ini mengendalikan proses fisik kritikal (energi, air, manufaktur, dll.) dan sangat bergantung pada availability dan safety.

Ironisnya, sektor ini sering kali menjadi yang paling lambat dalam mengadopsi praktik keamanan siber yang ketat, sebagian besar karena ketergantungan pada mitos “air-gap” sebagai perlindungan utama. Referensi industri dan insiden yang terjadi berulang kali menegaskan bahwa klaim isolasi jaringan ini sering kali sudah usang, tergerus oleh kebutuhan akses jarak jauh vendor, integrasi IT/OT, atau transfer data melalui media portabel.

Audit keamanan ICS/OT tradisional yang berbasis wawancara dan peninjauan dokumen sering kali hanya mengonfirmasi keinginan perusahaan untuk patuh, bukan kenyataan di lapangan, menciptakan apa yang disebut sebagai “keamanan teater.” Kegagalan evaluasi sistem kontrol yang komprehensif berarti menyambut risiko finansial yang masif dan krisis reputasi yang tak terhindarkan.

Tantangan Utama Audit Konvensional:

1. Subjektivitas Tinggi: Hasil terlalu bergantung pada interpretasi dan informasi dari personel, tanpa verifikasi empiris.
2. Statik (Snapshot): Audit hanya mencerminkan kondisi pada hari pemeriksaan, bukan perilaku jaringan yang dinamis dan berulang.
3. Kesenjangan IT/OT: Auditor dari latar belakang IT sering gagal memahami kerentanan spesifik protokol dan batasan availability lingkungan OT yang kritis.

II. Tesis Argumentatif: Dari Asumsi Menuju Bukti Nyata

Best practice modern dalam keamanan siber menegaskan bahwa penilaian berbasis wawancara saja tidak cukup. Dibutuhkan observasi teknis terhadap arsitektur dan trafik jaringan secara langsung. Dengan potensi dampak yang sangat besar pada keselamatan dan kelangsungan operasi vital, filosofi harus ditingkatkan dari trust but verify menjadi verify then trust.

Integrasi CISA CSET dan Malcolm menyediakan landasan metodologis yang kuat untuk mencapai tujuan ini. CSET menyajikan kerangka kerja struktural yang didukung standar internasional (kebijakan ideal), sementara Malcolm memberikan visibilitas jaringan yang jujur (realitas di lapangan). Kombinasi sinergis ini adalah prasyarat untuk setiap organisasi yang serius dalam melindungi aset fisik mereka dari ancaman digital.

III. CISA CSET: Mengapa Kerangka Kerja Wajib Menggantikan Checklist

3.1. Kekuatan Diagnostik CSET Melampaui Kepatuhan

CISA CSET adalah perangkat lunak desktop sumber terbuka gratis yang dikembangkan untuk membantu operator menilai praktik keamanan ICS dan IT mereka. CSET adalah alat penilaian risiko dan kematangan yang kredibel, yang dirancang untuk memetakan postur keamanan organisasi terhadap standar pemerintah dan industri yang diakui. Alat ini secara eksplisit digunakan untuk ICS dan memetakannya ke standar ketat seperti NIST SP 800-82 dan rangkaian standar IEC 62443.

Fungsi utama CSET bukanlah sekadar menghasilkan daftar ya/tidak, melainkan memaksa auditor dan pemilik aset untuk:

• Pemodelan Arsitektur: Membangun ulang topologi jaringan dalam aplikasi, membagi jaringan menjadi zona-zona keamanan logis (Purdue Model), dan mengidentifikasi saluran komunikasi (conduit) antar zona. Fitur Network Diagram Import CSET sangat krusial untuk memvisualisasikan segmentasi.
• Identifikasi Kesenjangan: Secara otomatis mengidentifikasi kesenjangan keamanan (gap) antara kondisi sistem saat ini dan tingkat keamanan yang direkomendasikan oleh standar yang dipilih.

3.2. Menganalisis Output CSET: Memahami Maturity Gap

Setelah melalui proses pengisian data dan wawancara terstruktur, CSET menyajikan scorecard yang terperinci berdasarkan area fungsional, seperti Asset Management, Configuration Management, atau Access Control.

CSET dapat dikonfigurasi menggunakan berbagai model kematangan (seperti modul Ransomware Readiness Assessment (RRA), Cybersecurity Capability Maturity Model (C2M2), atau Cybersecurity Maturity Model Certification (CMMC)) yang masing-masing memiliki skala dan levelnya sendiri. Skala ini umumnya memetakan kondisi dari ad-hoc (tidak terstruktur) hingga level yang terkelola dan teroptimasi.

Bagian terpenting dari analisis ini adalah identifikasi Maturity Gap: Kesenjangan antara tingkat kematangan yang ditargetkan oleh organisasi dan tingkat kematangan aktual yang terukur. Kesenjangan ini memberikan justifikasi anggaran yang kuat dan peta jalan yang jelas, karena menunjukkan di mana kontrol kebijakan paling lemah.

3.3. Persiapan Kritis Sebelum Menjalankan CSET

Kualitas hasil audit CSET sangat bergantung pada kebenaran data awal. Untuk memaksimalkan nilai dari penilaian ini, tim Audit Keamanan ICS/OT harus memastikan dua prasyarat utama terpenuhi, sesuai penekanan NIST dan CISA:

1. Inventarisasi Aset (Asset Inventory) Akurat: Daftar komprehensif dari semua perangkat OT (PLC, RTU, HMI, Engineering Workstation, Historian) termasuk firmware dan sistem operasi mereka.
2. Diagram Jaringan Saat Ini (As-Is Network Diagram): Diagram topologi yang mencerminkan kondisi nyata, termasuk IP addressing dan pemisahan VLAN. Data ini sangat krusial karena CSET memvalidasi segmentasi logis berdasarkan input arsitektur ini.

Dengan persiapan yang matang, CSET bertransfomasi dari sekadar alat kepatuhan menjadi engine diagnostik strategis untuk pertahanan evaluasi sistem kontrol.

IV. Malcolm: Menyingkap Realitas Jaringan yang Tersembunyi

Jika CSET menetapkan standar kebijakan, maka Malcolm—yang merupakan stack open source yang dikelola oleh komunitas, termasuk dukungan dari Idaho National Laboratory (INL)—adalah alat yang memvalidasi apakah kebijakan tersebut diterapkan secara faktual.

4.1. Arsitektur Transparansi: Komponen Utama Malcolm

Malcolm adalah platform yang berfokus pada analisis trafik jaringan (PCAP) secara pasif dan non-intrusif, yang vital di lingkungan OT yang sensitif:

• Zeek (Network Security Monitor): Berfungsi sebagai mesin ekstraksi metadata. Zeek mengurai protokol dan sesi komunikasi, mengubah paket biner menjadi log yang kaya konteks (siapa berkomunikasi dengan siapa, kapan, dan berapa banyak).
• Suricata (Intrusion Detection/Prevention System): Berfungsi sebagai sistem deteksi ancaman. Suricata memindai trafik berdasarkan signature untuk mendeteksi exploit yang dikenal atau perilaku jaringan yang mencurigakan.
• Arkime (Full Packet Capture Indexer): Memungkinkan auditor untuk menyimpan, mencari, dan melihat raw packet data yang spesifik, sangat penting untuk analisis forensik mendalam dan pembuktian.

Kombinasi ini memungkinkan auditor untuk mendapatkan pemahaman komprehensif tentang perilaku keamanan operasional teknologi tanpa mengganggu sistem kontrol yang berjalan.

4.2. Fokus ICS/OT & Protokol Legacy/Proprietary

Tantangan terbesar di OT adalah proliferasi protokol proprietary dan protokol legacy (lama) yang tidak selalu terdokumentasi dengan baik atau menggunakan mekanisme enkripsi modern. Malcolm, lewat ekosistem Zeek yang diperkaya dengan ICS protocol analyzers, membantu mengekspos trafik protokol tersebut secara lebih transparan.

Misalnya, Malcolm dapat:

• Mengidentifikasi penggunaan kode fungsi (Function Codes) yang tidak wajar pada protokol Modbus/TCP yang mengindikasikan operasi write command yang tidak sah.
• Memetakan koneksi antar zona yang menggunakan protokol legacy yang seharusnya dilarang oleh firewall, membuktikan adanya konfigurasi yang salah atau bypass jaringan.

Analisis ini memberikan bukti empiris mengenai ketidakpatuhan jaringan terhadap klaim keamanan yang dibuat dalam penilaian CSET.

4.3. Menghadapi Hambatan Data Collection di Lingkungan OT

Pengumpulan data (Non-Intrusive Monitoring) di OT memerlukan presisi. Sistem OT tidak dapat di-reboot atau terganggu. NIST SP 800-82 secara tegas menekankan pentingnya non-intrusive monitoring.

• Penempatan Sensor yang Tepat: Auditor harus bekerja sama dengan tim OT untuk menentukan lokasi TAP (Test Access Point) atau Span Port pada switch kritis (misalnya, firewall gerbang atau Level 3 switch) yang paling efektif memantau komunikasi antar zona utama.
• Manajemen Volume Data: Jaringan industri dapat menghasilkan volume data yang sangat besar dan repetitif. Malcolm harus dikonfigurasi untuk menyimpan metadata (log Zeek) secara efisien dan menggunakan filtering cerdas untuk memprioritaskan paket yang relevan (misalnya, hanya paket yang mengandung protokol ICS) untuk mencegah overload penyimpanan.

V. Sinergi Taktis: Siklus Audit Berbasis Bukti yang Tak Tertandingi

Nilai tertinggi dari integrasi CSET dan Malcolm terletak pada bagaimana keduanya menyatu ke dalam siklus evaluasi sistem kontrol yang terstruktur, meninggalkan sifat audit yang hanya berorientasi satu arah.

Catatan metodologi: Kerangka tiga fase ini bukanlah fitur built-in resmi CSET atau Malcolm, melainkan metodologi yang direkomendasikan untuk mengintegrasikan dua tool CISA ini ke dalam siklus audit keamanan ICS/OT yang berbasis bukti.

5.1. Siklus Audit Tiga Fase yang Terintegrasi

Fase 1: Baseline Kebijakan (CSET)

• Aksi: Melakukan penilaian self-assessment dan interview menggunakan CSET.
• Target Output: Peta jalan risiko teoretis, diagram arsitektur yang diklaim, dan daftar kontrol keamanan yang seharusnya ada, berdasarkan standar (mis. IEC 62443).
• Tujuan Strategis: Mendefinisikan postur keamanan ideal dan menghasilkan hipotesis risiko.

Fase 2: Data Capture dan Validasi (Malcolm)

• Aksi: Merekam trafik jaringan selama periode tertentu (misalnya, 7-14 hari) di titik-titik kritis OT. Data dianalisis secara pasif oleh Malcolm.
• Target Output: Log komunikasi yang divalidasi oleh Zeek, alert Suricata, dan connection graph aktual yang mencerminkan perilaku jaringan.
• Tujuan Strategis: Mengumpulkan bukti empiris yang merefleksikan realitas jaringan (termasuk anomali).

Fase 3: Rekonsiliasi dan Remediasi (Gap Analysis)

• Aksi: Melakukan Gap Analysis terperinci. Membandingkan klaim Baseline CSET dengan bukti Malcolm.
  • Contoh Kesenjangan: CSET mencatat bahwa remote access dikelola dengan MFA dan VPN (klaim kontrol). Malcolm menunjukkan adanya trafik RDP atau VNC langsung (tidak dienkripsi) dari alamat IP luar ke HMI di Zona Kontrol (bukti empiris kegagalan kontrol).
• Target Output: Laporan Remediasi Prioritas Tinggi yang didukung oleh log Zeek atau screenshot Arkime sebagai bukti yang tidak dapat disangkal.
• Tujuan Strategis: Mengubah temuan teoretis menjadi tindakan teknis yang terukur, mendanai proyek keamanan yang paling dibutuhkan.

5.2. Merancang Peta Jalan Remediasi Berbasis Bukti

Laporan audit yang didukung oleh sinergi ini memiliki kredibilitas tinggi. Peta Jalan Remediasi yang dihasilkan tidak lagi hanya ditentukan oleh skor risiko umum, tetapi oleh evidence dari Malcolm yang mendukung risiko kritis yang diidentifikasi oleh CSET. Hal ini memastikan bahwa sumber daya dialokasikan secara efisien untuk mengatasi ancaman yang paling mungkin terjadi atau yang paling berdampak pada keselamatan dan ketersediaan operasional.

5.3. Memperjelas Peran: Kolaborasi IT dan OT

Audit hibrida ini juga memaksa adanya kolaborasi yang konstruktif antara tim IT dan OT, menjembatani kesenjangan budaya:

• Tim OT: Bertanggung jawab atas penempatan sensor yang aman, interpretasi Function Code protokol industri, dan persetujuan langkah-langkah mitigasi agar tidak mengganggu produksi.
• Tim IT: Bertanggung jawab atas konfigurasi CSET, analisis log yang dihasilkan oleh Malcolm, dan penyajian bukti data.

Integrasi tools ini secara alami menjembatani kesenjangan budaya, karena data yang jujur memaksa kedua belah pihak untuk bekerja dari sumber kebenaran tunggal.

VI. Penutup: Komitmen Penuh terhadap Keamanan Sistem Kontrol

Infrastruktur kritis tidak dapat lagi dilindungi dengan checklist dan asumsi. Keamanan yang sesungguhnya harus diverifikasi dan divalidasi secara berkelanjutan. Integrasi CISA CSET sebagai kerangka penilaian kebijakan dan Malcolm sebagai mesin validasi data jaringan bukan hanya sekadar metodologi terbaik, tetapi merupakan refleksi dari komitmen penuh suatu organisasi terhadap audit keamanan ICS/OT yang bertanggung jawab.

Kedua alat ini, yang tersedia sebagai sumber terbuka (open source), menghilangkan hambatan biaya yang sering kali menjadi alasan utama keengganan. Dengan mengawinkan standar industri yang ketat dengan visibilitas jaringan yang transparan, organisasi dapat mengubah narasi keamanan mereka dari 'semoga aman' menjadi 'terbukti aman'.

Sudah saatnya industri meninggalkan pendekatan pasif dan merangkul siklus audit hibrida yang dinamis dan berbasis bukti. Inilah satu-satunya cara untuk menjamin integritas, ketersediaan, dan keselamatan evaluasi sistem kontrol di masa depan yang penuh tantangan.