Praktik dan tren terbaik keamanan aplikasi [Q&A]

Bisnis saat ini menghadapi ancaman keamanan siber yang lebih luas dan lebih berbahaya daripada sebelumnya. Di Inggris saja ada lebih dari 400.000 laporan penipuan dan kejahatan dunia maya pada tahun 2021. Kejahatan itu juga menimbulkan biaya yang signifikan. Selain kerusakan reputasi yang datang dengan insiden keamanan siber, pelanggaran data merugikan perusahaan Inggris rata-rata US$4,35 juta.

Oleh karena itu, penting bagi organisasi untuk memiliki pertahanan siber sebaik mungkin, tidak hanya untuk ancaman yang mereka hadapi hari ini, tetapi juga untuk masa depan. Hal ini terutama berlaku untuk aplikasi penting bisnis seperti sistem ERP yang perlu dijalankan terus menerus agar organisasi tetap beroperasi dengan lancar dan melayani pelanggannya.

Kami berbicara dengan JP Perez-Etchegoyen, CTO dari perusahaan solusi keamanan siber Onapsis, untuk membahas bagaimana pendekatannya terhadap manajemen kerentanan dan keamanan aplikasi, praktik yang harus diadopsi oleh organisasi agar tetap aman dan seperti apa masa depan keamanan siber.

BN: Apa latar belakang peran perusahaan Anda dalam keamanan siber?

JPE: Onapsis berdiri sejak tahun 2000-an. Saat itu, ketiga pendiri adalah peretas etis, bekerja untuk organisasi konsultan keamanan terkenal di Argentina, melayani pelanggan di seluruh dunia. Ketika seorang pelanggan mempekerjakan mereka untuk mencoba dan meretas aplikasinya untuk mengungkap kerentanan, CEO Onapsis, Mariano Nunez memperhatikan bahwa itu berjalan di SAP (salah satu platform perangkat lunak perusahaan terbesar di dunia) dan menemukan beberapa kerentanan utama.

Dia menyadari bahwa komunitas keamanan telah mengabaikan SAP dan menyadari ada peluang bagi perusahaan yang dapat mendeteksi kerentanan dan membangun pertahanan bagi perusahaan yang menjalankan perangkat lunaknya. Saat ini, perusahaan memiliki lebih dari 300 klien di seluruh dunia, termasuk 20 persen dari perusahaan Fortune 500.

BN: Mengapa platform Anda berbeda?

JPE: Kami adalah satu-satunya penyedia manajemen kerentanan dan keamanan aplikasi yang secara khusus menangani aplikasi penting bisnis yang berjalan di SAP, Oracle, dan Salesforce. Produk kami mampu mengelola kerentanan, mendeteksi dan merespons ancaman, menguji keamanan aplikasi, dan mengotomatiskan kepatuhan. Fitur gabungan dari produk ini memudahkan untuk mengidentifikasi dan dengan cepat mematikan ancaman.

Namun, kami juga menyadari kebutuhan yang terus-menerus untuk berkembang dan telah memperkenalkan beberapa penawaran baru selama beberapa bulan terakhir. Ini termasuk Onapsis Assess Baseline, yang mempercepat kemampuan perusahaan untuk memulai program manajemen kerentanan SAP mereka, dan solusi keamanan informasi yang ditingkatkan untuk produk Defend and Assessment kami. Kami juga baru-baru ini mengumumkan rilis Threat Intel Center kami yang menghubungkan Onapsis Threat Intelligence Cloud, jaringan global sensor dan aplikasi yang diinstrumentasi untuk menangkap aktivitas penyerang yang mengeksploitasi aplikasi penting, dan penelitian mendalam yang dilakukan oleh ORL menjadi satu kesatuan. , repositori intelijen ancaman terperinci.

BN: Mengapa memiliki lengan laboratorium penelitian yang terpisah?

JPE: Peran utama Onapsis Research Labs adalah melacak, mengidentifikasi, dan mempertahankan diri dari arus ancaman dunia maya yang terus muncul. Tim lab ahli keamanan siber tidak hanya menggunakan pengetahuan mereka untuk meningkatkan platform Onapsis tetapi juga untuk berbagi nasihat, publikasi, dan laporan ancaman kepada pelanggan. Hingga saat ini, laboratorium Penelitian Onapsis telah menemukan lebih dari 800 kerentanan zero-day, dan banyak dari temuan penting mengarah pada peringatan CERT global.

Kekuatan divisi ini mungkin diilustrasikan oleh penemuan terbaru dari tiga kerentanan kritis dalam Internet Communication Manager, komponen inti dari aplikasi bisnis SAP. Kerentanan ini telah ditambal oleh SAP tetapi pelanggan Onapsis langsung terlindungi, berkat pembaruan yang dikirimkan langsung melalui platform Onapsis.

BN: Seperti apa proses pengujian keamanan aplikasi?

JPE: Pengujian keamanan otomatis kami dirancang khusus untuk aplikasi SAP. Dengan menggunakan solusi kami, organisasi dapat mengidentifikasi kesalahan sebelum mereka memasuki fase produksi dan sebelum mereka memiliki kesempatan untuk memengaruhi keamanan, kepatuhan, ketersediaan, atau kinerja aplikasi. Platform ini juga memungkinkan organisasi untuk memeriksa kode kustom internal atau pihak ketiga selama siklus pengembangan aplikasi untuk memastikan bahwa kerentanan tidak muncul di titik mana pun. Ini sepenuhnya terintegrasi ke dalam proses pengembangan sehingga pengembang dapat memperbaiki masalah lebih awal dan dengan biaya minimal, dibandingkan harus memperbaikinya dalam produksi dengan biaya dan dampak yang sangat tinggi.

BN: Bisakah Anda memberi kami beberapa tip terbaik untuk menjaga keamanan aplikasi?

J: Khusus untuk aplikasi penting bisnis, ada dua hal yang harus menjadi fokus tim TI: manajemen patch dan kerentanan dalam kode kustom.

Berfokus pada manajemen tambalan harus diberikan untuk tim TI mana pun. Lagi pula, jika penjahat dunia maya terus-menerus mencari kerentanan, Anda harus berusaha untuk menutupnya secepat mungkin. Sayangnya, itu adalah sesuatu yang banyak organisasi tidak pandai melakukannya. Faktanya, penelitian menunjukkan bahwa dibutuhkan waktu hingga 97 hari bagi organisasi untuk mulai dari menemukan kerentanan hingga menerapkan, menguji, dan mengimplementasikan patch sepenuhnya. Jika Anda menemukan cara mudah untuk masuk ke rumah Anda, Anda tidak akan gagal untuk mengatasinya dengan benar selama lebih dari tiga bulan, jadi mengapa memperlakukan kerentanan organisasi secara berbeda? Kasus untuk menerapkan patch dengan cepat menjadi lebih kuat ketika kelemahan SAP kritis telah dipersenjatai dalam waktu 72 jam atau kurang dari rilis patch.

Sebagian besar organisasi juga, setidaknya sampai tingkat tertentu, menggunakan kode khusus untuk memastikan bahwa aplikasi penting bisnis mereka sesuai dengan kebutuhan mereka. Masalahnya, kode kustom bisa sangat rentan terhadap kerentanan. Solusi otomatis yang dapat dengan cepat memindai ribuan baris kode dan mengidentifikasi potensi kerentanan dapat membantu memastikan bahwa kode kustom jauh lebih sedikit dari ancaman.

BN: Apa saja tren keamanan siber yang muncul paling signifikan?

JPE: Mungkin tren yang muncul terbesar dan paling penting adalah kesadaran bahwa, bahkan dengan pertahanan terbaik, pelanggaran dapat dan masih terjadi. Ada cukup banyak insiden besar selama beberapa tahun terakhir (termasuk serangan ransomware Colonial Pipeline, Log4j, dan Kaseya) yang seharusnya sudah jelas. Oleh karena itu, penting bagi organisasi untuk memiliki buku pedoman respons insiden. Buku pedoman ini harus menguraikan skenario potensi serangan siber dengan rencana perbaikan yang sangat rinci. Dengan rencana respons insiden yang tepat, organisasi dapat melanjutkan bisnis lebih cepat dan memulihkan kepercayaan pelanggan.

Dalam melakukannya, sangat penting bahwa mereka memiliki dukungan dari seluruh organisasi. Salah satu cara terbaik untuk mencapai ini adalah membuat keamanan siber terasa semudah mungkin diakses. Di sini, kerangka kerja keamanan siber seperti Kerangka Keamanan Siber NIST bisa sangat membantu.

Kredit gambar: Pixabay