Menanamkan “Kewaspadaan Proaktif” ke dalam Rantai Pasokan Teknologi Tinggi Pentagon

Dalam pertahanan negara, kesalahan rantai pasok, jika terlambat diketahui, bisa menjadi besar dan sulit diatasi. Namun, Pentagon tidak terlalu bersemangat untuk menerapkan sistem deteksi yang lebih proaktif, proses yang berpotensi mahal untuk menguji jaminan kontraktor secara acak.

Tetapi kurangnya “kewaspadaan proaktif” ini dapat menimbulkan biaya yang besar. Dalam kasus pembuatan kapal, baja di luar spesifikasi – komponen penting – digunakan pada kapal selam Angkatan Laut AS selama dua dekade sebelum Pentagon mengetahui masalahnya. Baru-baru ini, poros di luar spesifikasi di atas Pemotong Patroli Lepas Pantai Penjaga Pantai harus dipasang dan dilepas— pemborosan waktu dan dana yang memalukan bagi kontraktor dan klien pemerintah.

Seandainya masalah ini diketahui lebih awal, pukulan jangka pendek terhadap keuntungan atau jadwal akan lebih dari mengimbangi kerusakan yang lebih luas dari kegagalan rantai pasokan yang kompleks dan jangka panjang.

Dengan kata lain, pemasok dapat memperoleh manfaat dari pengujian eksternal yang kuat dan pengujian kepatuhan yang lebih ketat—atau bahkan acak.

Pendiri Keamanan Informasi Benteng Peter Kassabov, berbicara di a Podcast Laporan Pertahanan dan Dirgantara awal tahun ini, mencatat bahwa sikap berubah dan lebih banyak pemimpin pertahanan cenderung mulai melihat “rantai pasokan tidak hanya sebagai enabler, tetapi juga sebagai potensi risiko.”

Regulasi protektif masih terus dikembangkan. Tetapi untuk membuat perusahaan memperhatikan kewaspadaan rantai pasokan secara lebih serius, perusahaan mungkin menghadapi insentif yang lebih besar, sanksi yang lebih besar—atau bahkan mungkin persyaratan bahwa eksekutif di kontraktor utama besar secara pribadi bertanggung jawab atas kerugian.

Rezim Kepatuhan Lama Fokus Pada Target Lama

Terlebih lagi, kerangka kepatuhan rantai pasokan Pentagon, seperti itu, tetap fokus untuk memastikan integritas fisik fundamental dari komponen struktural dasar. Dan sementara sistem kontrol kualitas Pentagon saat ini hampir tidak mampu menangkap masalah fisik dan konkret, Pentagon benar-benar berjuang untuk menegakkan standar integritas Departemen Pertahanan saat ini untuk elektronik dan perangkat lunak.

Kesulitan dalam menilai elektronik dan integritas perangkat lunak adalah masalah besar. Saat ini, peralatan dan perangkat lunak yang digunakan dalam "kotak hitam" militer jauh lebih kritis. Sebagai salah satu Jenderal Angkatan Udara dijelaskan pada tahun 2013, “B-52 hidup dan mati berdasarkan kualitas lembaran logamnya. Hari ini pesawat kami akan hidup atau mati karena kualitas perangkat lunak kami.”

Kassabov menggemakan keprihatinan ini, memperingatkan bahwa “dunia sedang berubah dan kita perlu mengubah pertahanan kita.”

Tentu saja, sementara spesifikasi baut-dan-pengencang "kuno" masih penting, perangkat lunak benar-benar merupakan inti dari hampir semua proposisi nilai senjata modern. Untuk F-35, senjata elektronik dan gerbang informasi dan komunikasi medan perang utama, Pentagon harus jauh lebih terbiasa dengan kontribusi China, Rusia, atau kontribusi meragukan lainnya untuk perangkat lunak penting daripada dalam mendeteksi beberapa paduan yang bersumber dari China.

Bukan berarti konten nasional komponen struktural kurang penting, tetapi karena perumusan perangkat lunak menjadi lebih kompleks, didukung oleh subrutin modular di mana-mana dan blok bangunan sumber terbuka, potensi kerusakan tumbuh. Dengan kata lain, paduan yang bersumber dari Cina tidak akan menjatuhkan pesawat dengan sendirinya, tetapi perangkat lunak yang berasal dari Cina yang korup yang diperkenalkan pada tahap yang sangat awal dalam produksi subsistem bisa.

Pertanyaan itu layak ditanyakan. Jika pemasok sistem senjata prioritas tertinggi Amerika mengabaikan sesuatu yang sederhana seperti spesifikasi baja dan poros, apa kemungkinan perangkat lunak berbahaya di luar spesifikasi secara tidak sengaja terkontaminasi dengan kode yang mengganggu?

Perangkat Lunak Membutuhkan Lebih Banyak Pengawasan

Taruhannya tinggi. Tahun lalu, laporan Tahunan dari penguji senjata Pentagon di Office of the Director, Operational Test and Evaluation (DOT&E) memperingatkan bahwa “sebagian besar sistem DOD sangat intensif perangkat lunak. Kualitas perangkat lunak, dan keamanan siber sistem secara keseluruhan, seringkali menjadi faktor yang menentukan efektivitas operasional dan kemampuan bertahan, dan terkadang mematikan.”

“Hal terpenting yang dapat kami amankan adalah perangkat lunak yang mengaktifkan sistem ini, kata Kassabov. “Pemasok pertahanan tidak bisa hanya fokus dan memastikan bahwa sistem itu tidak berasal dari Rusia atau dari China. Lebih penting untuk benar-benar memahami perangkat lunak apa yang ada di dalam sistem ini dan bagaimana akhirnya perangkat lunak ini rentan.”

Tetapi penguji mungkin tidak memiliki alat yang diperlukan untuk mengevaluasi risiko operasional. Menurut DOT&E, operator meminta seseorang di Pentagon untuk “memberi tahu mereka apa risiko keamanan siber, dan potensi konsekuensinya, dan untuk membantu mereka merancang opsi mitigasi untuk berjuang melalui hilangnya kemampuan.”

Untuk membantu melakukan ini, pemerintah AS bergantung pada entitas penting seperti Institut Nasional Standar dan Teknologi, atau NIST, untuk menghasilkan standar dan alat kepatuhan dasar lainnya yang diperlukan untuk mengamankan perangkat lunak. Tapi pendanaan saja tidak ada. Mark Montgomery, direktur eksekutif Komisi Solarium Cyberspace, sudah sibuk memperingatkan bahwa NIST akan kesulitan untuk melakukan hal-hal seperti menerbitkan panduan tentang langkah-langkah keamanan untuk perangkat lunak penting, mengembangkan standar minimum untuk pengujian perangkat lunak, atau memandu keamanan rantai pasokan “dengan anggaran yang selama bertahun-tahun hanya di bawah $80 juta.”

Tidak ada solusi sederhana yang terlihat. Panduan "back-office" NIST, ditambah dengan upaya kepatuhan yang lebih agresif, dapat membantu, tetapi Pentagon harus menjauh dari pendekatan "reaktif" kuno terhadap integritas rantai pasokan. Tentu saja, meskipun sangat bagus untuk menangkap kegagalan, jauh lebih baik jika upaya proaktif untuk mempertahankan integritas rantai pasokan menendang kontraktor pertahanan kedua terlebih dahulu mulai menyusun kode terkait pertahanan.