Untuk menghentikan kejahatan siber, jangan berpikir seperti penjahat

Dalam sebuah adegan yang tampaknya terinspirasi dari inspirasi sinematiknya, van der Gaast berusia sekitar 16 tahun saat dia meretas fasilitas senjata nuklir India dan mencuri data dari uji coba nuklir bawah tanah. "Mereka menggunakan server email versi lama, yang saya tipu untuk memberi saya akun administratif," katanya. Hal ini membuatnya masuk dalam radar sejumlah badan intelijen, dan akhirnya ia dinobatkan sebagai salah satu dari 5 peretas paling terkenal di dunia.

Van der Gaast baru saja pindah dari Eropa ke AS pada musim gugur 1998 ketika sekelompok pria berjas dari sebuah agen yang berafiliasi dengan Departemen Pertahanan AS mengetuk pintunya. "Saya pikir mereka sebenarnya dari imigrasi," katanya, "karena saya telah melampaui batas waktu visa 90 hari."

Untungnya bagi peretas remaja ini, agensi tersebut ingin merekrut bintang-bintang yang sedang naik daun dari dunia maya, bukan menuntut mereka. Pada saat itu, ia segera berpindah haluan dan mulai bekerja dengan Departemen Pertahanan dalam operasi bersama dengan FBI selama tiga tahun ke depan. Pekerjaan ini melibatkan pengumpulan informasi intelijen tentang peretas dan kegiatan kriminal di sekitarnya, serta menyelidiki pelanggaran data yang menyangkut kepentingan nasional.

Pelatihan yang tidak lazim ini menjadi landasan bagi kariernya selama 25 tahun sebagai pakar keamanan siber, pembicara utama, dan penasihat perusahaan, yang berujung pada perannya saat ini sebagai pendiri dan direktur pelaksana Sequioa Consulting, di mana ia membantu para pemimpin eksekutif dan organisasi global untuk "mengurangi keamanan siber dan menjalankan lebih banyak bisnis dengan aman."

"Saya memulai dengan mempelajari metode, taktik, dan kemampuan yang digunakan peretas," katanya. "Tapi kalau dipikir-pikir? Menurut saya, apa yang saya pelajari lebih banyak tentang bagaimana hampir semua pelanggaran ini dapat dicegah jika organisasi hanya menangani dasar-dasar TI dan berusaha untuk secara aktif mematangkan proses mereka."

Pendekatan inilah yang diperjuangkan oleh perusahaannya. Pada dasarnya, perusahaan menerapkan metodologi dari konsultasi manajemen, pemikiran ramping, dan disiplin ilmu lain dalam konteks teknologi untuk meningkatkan proses TI sehingga ada lebih sedikit titik kegagalan yang dapat dieksploitasi oleh para pelaku ancaman.

Analogi sederhananya adalah sebuah pabrik mobil di mana setiap mobil yang diproduksi memiliki cacat - roda kemudi yang tidak berada di tengah, baut yang hilang dari lengan suspensi, saluran rem yang penuh dengan udara, dan cacat lainnya. Akan sangat konyol, katanya, jika mempekerjakan lebih banyak orang untuk memperbaiki semua cacat pada mobil yang sudah jadi. Anda justru akan mengatasi masalah tersebut, kemungkinan besar dalam proses, di stasiun jalur perakitan di mana cacat ini terjadi - mengurangi jumlah cacat, dan mengurangi biaya juga.

Namun, kata van der Gaast, pendekatan dalam keamanan siber sebagian besar adalah pendekatan yang pertama, sehingga industri ini sebagian besar tetap reaktif dan bukannya proaktif, dengan penyebab yang mendasari sebagian besar tidak tersentuh.

"Pada dasarnya, kita berada dalam perlombaan senjata [menjauhkan peretas dari kerentanan kita], tetapi kita perlu bertanya pada diri sendiri mengapa kita menghadapi begitu banyak tantangan," katanya. "Dengan kata lain, mengapa kita memiliki kerentanan ini sejak awal?"

Mantan peretas ini telah mengajukan pertanyaan yang begitu luas selama tiga dekade terakhir, dan ini adalah pertanyaan yang tidak pernah lebih relevan bagi bisnis dan masyarakat luas.

Cara paling sederhana untuk melihat keamanan adalah tentang kerentanan yang dieksploitasi, dan kerentanan tersebut secara efektif merupakan masalah kualitas, katanya - cacat pada kode, konfigurasi, kesenjangan dalam kontrol, desain, perencanaan, bahkan budaya.

Mengatasi masalah ini mengurangi jumlah kerentanan, sehingga lebih sedikit yang dapat dieksploitasi, katanya, daripada harus meningkatkan pertahanan di depan kerentanan ini. Hal ini tidak hanya menghasilkan pengeluaran keamanan yang lebih sedikit, ia menambahkan - namun juga cenderung membuat proses bisnis dan TI menjadi lebih efisien, yang juga mengurangi biaya.

"Saat Anda mulai fokus pada keamanan sebagai fungsi dari proses dan kualitas, saat Anda mulai melakukan sesuatu dengan benar, Anda tidak hanya memperbaiki masalah mendasar, tetapi juga dapat membantu bisnis menciptakan perubahan positif dan menghemat uang."

Van der Gaast selalu memulai pengamanan organisasi dengan mencari akar masalahnya, menggali jauh lebih dalam daripada konsultan keamanan yang hanya memikirkan teknologi. "Sebagian besar perusahaan cenderung mengambil pendekatan keamanan siber di mana mereka terus berupaya memadamkan api," katanya. "Sebaliknya, saya mencoba melihat apa yang menyebabkan masalah TI.

"Apakah tantangan datang dari desain aplikasi? Apakah departemen bisnis yang berbeda menggunakan proses dan vendor TI yang berbeda?" tambahnya. "Setelah Anda memahami akar penyebab masalah, Anda dapat mulai mengoptimalkan dan menghilangkannya secara sistematis."

Van der Gaast percaya bahwa kita perlu mengubah fokus kita pada bagaimana kita menangani masalah kejahatan dunia maya. Alih-alih melihat para penjahat, kita perlu fokus pada mengapa kejahatan itu begitu mudah terjadi.

Dia menyebutkan bahwa hampir semua pelanggaran melibatkan kerentanan yang diketahui dengan perbaikan yang tersedia, dan dalam sebagian besar kasus, perbaikan ini telah tersedia selama lebih dari satu tahun.

"Jika saya menaruh sekantong biji-bijian di kebun Anda, Anda tidak akan terkejut ketika mendapati ada ribuan tikus seminggu kemudian. Solusi yang ideal bukanlah meletakkan dan mengelola ribuan perangkap tikus, melainkan menyimpan biji-bijian dengan lebih baik, atau mengubah proses mengapa Anda membutuhkannya."

Kesimpulannya: Anda bisa memasang sistem keamanan siber terbaik di planet ini, tetapi jika Anda tidak memiliki alat manajemen identitas yang tepat, karyawan Anda tidak cukup terlatih, dan Anda belum menambal serta meningkatkan sistem, perangkat, atau aplikasi Anda, peretas bisa dengan mudah menghindari pertahanan Anda, baik secara digital maupun tidak, katanya. 

Pada akhirnya, di era berkembangnya ancaman bertenaga AI seperti serangan otomatis dan video deepfake, van der Gaast mengatakan bahwa keberhasilan mempertahankan organisasi modern dari penjahat siber perlu menyertakan pelatihan, edukasi, dan pendekatan proaktif - bukan reaktif.

Ancaman-ancaman ini, setelah dipahami, sering kali dapat dinetralisir melalui penerapan fondasi yang kuat - tidak masalah seberapa cepat serangan jika Anda tidak rentan terhadapnya - dan proses, seperti transfer dana yang selalu dilakukan melalui proses yang ditentukan yang tidak rentan untuk dipalsukan.

Di matanya, hal terbaik yang bisa Anda lakukan untuk membantu organisasi Anda adalah menentukan masalah yang menyebabkan kerentanan dan mengatasinya, sejauh mungkin, bahkan dengan melihat isu-isu organisasi dan budaya. Kemudian mintalah tim keamanan bekerja sama dengan semua bagian organisasi untuk memahami semua proses bisnis dan TI dan membantu mendefinisikan ulang sesuai kebutuhan untuk mengurangi risiko yang mungkin ditimbulkannya dan mewaspadai risiko yang masih ada.

Hanya setelah organisasi melakukan hal ini, dengan memahami isu-isu yang mendasarinya, barulah mereka dapat merumuskan strategi dan peta jalan menuju tempat yang lebih baik.

Seperti halnya dia merobek-robek buku-buku komputer beberapa dekade yang lalu, minat van der Gaast saat ini masih melibatkan penyerapan banyak informasi. Mantan penjahat siber, yang saat ini hobinya adalah memperbaiki mobil dan membaca apa pun yang bisa ia dapatkan tentang praktik bisnis terbaik, mengatakan bahwa kesuksesan dalam keamanan siber lebih dari sekadar perangkat lunak: "Banyak tantangan yang saya temukan lebih berkaitan dengan budaya daripada solusi teknologi tinggi."