Presiden Biden mengeluarkan perintah eksekutif pada hari Kamis yang mewajibkan perusahaan perangkat lunak yang menjual produk mereka kepada pemerintah federal untuk membuktikan bahwa mereka menyertakan fitur keamanan ketat yang dapat menggagalkan badan intelijen Tiongkok, geng ransomware Rusia, pencuri mata uang kripto Korea Utara, dan mata-mata Iran.
Namun masih belum jelas apakah pemerintahan Trump, yang berniat melakukan deregulasi bahkan ketika mereka berjanji akan mengambil alih Tiongkok pada khususnya, akan mempertahankan peraturan keamanan siber yang telah dirombak.
Perintah tersebut, yang dikeluarkan saat masa jabatan Biden tinggal tersisa empat hari, adalah yang terakhir dalam empat tahun perjuangan pemerintahannya untuk mengamankan infrastruktur Amerika dan mengalahkan operasi pengawasan yang semakin cerdik.
Namun setelah empat tahun melakukan konfrontasi yang sengit – yang sering terjadi dalam perang dingin dengan Tiongkok – para peretas biasanya lebih unggul. Dalam dua tahun terakhir, telah berulang kali terjadi pelanggaran yang berhasil dilakukan Tiongkok terhadap jaringan utilitas, jaringan pipa negara, sistem telekomunikasi, dan, dalam beberapa minggu terakhir, pada Departemen Keuangan. Serangan-serangan tersebut telah menyebabkan pemerintahan Trump mengeluh bahwa pertahanan Amerika masih mudah ditembus dan kemampuan pencegahannya tidak memadai.
Ketika daftar peraturan dan perintah baru Biden semakin panjang, mencakup isu-isu seperti pengeboran di Pantai Timur dan menghapus Kuba dari daftar terorisme, para penasihat Trump mengeluh bahwa pemerintahan saat ini sedang melakukan kampanye keras untuk mengunci mereka dalam kebijakannya. dan mandat.
Beberapa langkah akan dibatalkan minggu depan, sehingga banyak dari langkah Biden tidak lebih dari sekadar isyarat politik yang menarik. Namun persyaratan keamanan siber yang baru menambah kerumitan perdebatan tersebut, dan berpotensi menimbulkan konflik antara janji pemerintahan Trump untuk melakukan deregulasi dan janjinya untuk mempertahankan diri dari intrusi Tiongkok ke dalam jaringan Amerika.
Aturan baru ini, untuk pertama kalinya, mengharuskan perusahaan untuk membuktikan bahwa perangkat lunak yang mereka jual kepada pemerintah federal memenuhi persyaratan dasar keamanan siber, dan mempublikasikan bukti dari langkah-langkah tersebut. Mereka mengutip “ancaman dunia maya yang aktif dan terus-menerus terhadap Amerika Serikat” dan gelombang serangan dari negara lain dan kelompok kriminal.
Namun meskipun ada persyaratan setebal 50 halaman dalam perintah tersebut, Biden pada dasarnya mengabaikan pendekatan pemerintah yang membujuk industri swasta untuk berinvestasi dalam keamanan siber melalui program sukarela dan kemitraan publik-swasta.
Dia dan para pembantunya telah menyimpulkan bahwa satu-satunya cara untuk membuat perusahaan menerapkan langkah-langkah keamanan siber yang ketat adalah dengan mewajibkan langkah-langkah tersebut, dan memaksa perusahaan untuk mengumumkan langkah-langkah tepat yang mereka ambil. Dengan begitu, ketika terjadi pelanggaran memalukan lainnya, akan terlihat jelas apakah perusahaan-perusahaan tersebut telah meninggalkan lubang pada pertahanannya.
Tatanan baru ini akan memperluas kewenangan federal atas rantai pasokan perangkat lunak. Gedung Putih, yang seringkali menggunakan otoritas yang ada, telah mengeluarkan peraturan mengenai jaringan pipa, kereta api, dan rumah sakit.
Anne Neuberger, wakil penasihat keamanan nasional untuk dunia maya dan teknologi baru yang memimpin upaya tersebut, mengatakan kepada wartawan pada hari Rabu bahwa perintah eksekutif tersebut, yang telah diterapkan selama berbulan-bulan, “dirancang untuk menempatkan negara pada jalur menuju jaringan yang dapat dipertahankan di seluruh dunia. pemerintah dan sektor swasta.”
Hal ini lahir dari pengalaman pahit. Empat tahun lalu, ketika Biden masih menjadi presiden terpilih, agen mata-mata Rusia telah menembus kode yang ditulis oleh SolarWinds, sebuah perusahaan yang menjual perangkat lunak manajemen jaringan kepada pemerintah dan perusahaan-perusahaan Fortune 500. Setelah SolarWinds memperbarui perangkat lunak tersebut dan mendistribusikannya kepada pelanggannya, Rusia memperoleh kemampuan untuk mencuri rahasia perusahaan dan melakukan pengawasan di lembaga federal seperti Departemen Keuangan dan Perdagangan.
Biden mengecam Rusia, dan satu pertemuannya sebagai presiden dengan Presiden Vladimir V. Putin, di Jenewa pada tahun 2021, sebagian besar membahas tentang ransomware Rusia yang membekukan Saluran Pipa Kolonial, yang menyediakan gas dan minyak di sepanjang Pantai Timur. Setelah sesi tersebut, Nona Neuberger mendesak lembaga-lembaga di sekitar pemerintah untuk merancang persyaratan baru bagi perusahaan yang berbisnis dengan mereka, dengan harapan dapat menggunakan proses kontrak federal untuk memaksa perubahan dalam cara perusahaan mengembangkan perangkat lunak mereka.
Namun upaya tersebut tidak cukup berhasil. Perusahaan menyatakan bahwa produk mereka memenuhi persyaratan baru, namun tidak perlu membuktikan pernyataan mereka. Ketika peretas yang terkait dengan salah satu badan intelijen Tiongkok baru-baru ini membobol Departemen Keuangan dan mendapatkan akses ke ribuan dokumen yang tidak rahasia, mereka tampaknya masuk melalui perangkat lunak yang disediakan oleh vendor BeyondTrust. Pejabat federal mengatakan perusahaan tersebut telah menyatakan dirinya telah memenuhi semua persyaratan keamanan siber, namun peraturan baru akan memaksa perusahaan untuk mengumumkan langkah-langkah tersebut ke publik.
“Kami meminta perusahaan yang memproduksi perangkat lunak untuk memberi tahu kami bahwa mereka menggunakannya,” kata Ms. Neuberger tentang peraturan federal yang lama. “Saya rasa kita telah melihat, selama empat tahun terakhir, kita sebenarnya membutuhkan bukti.”
BeyondTrust tidak banyak bicara tentang episode tersebut, kecuali pernyataan singkat bahwa mereka “mengambil tindakan untuk mengatasi insiden keamanan pada awal Desember 2024” dan “memberi tahu sejumlah pelanggan yang terbatas.” Mereka menolak untuk membahas bagaimana pelanggaran itu terjadi.
Perusahaan telekomunikasi terbesar di Tiongkok juga belum banyak bicara tentang bagaimana badan intelijen Tiongkok menemukan celah baru yang hampir tidak terdeteksi di jaringan mereka. Penemuan ini memungkinkan akses ke beberapa sistem paling rahasia milik pemerintah untuk menyadap telepon dengan perintah pengadilan serta percakapan tidak terenkripsi antara Presiden terpilih Donald J. Trump dan Wakil Presiden terpilih JD Vance. (Tidak jelas apakah lembaga-lembaga tersebut mengeksploitasi akses tersebut.)
“Setelah serangan siber yang menjadi berita utama selama empat tahun terakhir, seperti kompromi Tiongkok terhadap cloud Microsoft, penonaktifan perusahaan satelit komersial di Rusia, dan penyerang ransomware yang memaksa rumah sakit untuk menunda operasi,” kata Ms. Neuberger, “kami telah menghabiskan tujuh tahun berbulan-bulan meninjau dengan cermat setiap insiden peretasan untuk menentukan dengan tepat bagaimana para penyerang berhasil melewati gerbang tersebut.”
Aturan baru ini kemungkinan besar tidak akan membuat perbedaan dalam operasi pengawasan terhadap perusahaan telekomunikasi, yang disebut “Salt Typhoon.” Mereka mungkin telah membantu mengamankan jaringan listrik dan pipa air dari berbagai jenis peretasan yang terkait dengan Tiongkok, yang bertujuan untuk menonaktifkan sistem tersebut di Amerika Serikat untuk menghalangi bantuan ke Taiwan jika terjadi aksi militer di pulau tersebut.
Berdasarkan pedoman terbaru, perusahaan mana pun yang menerima dana lebih dari $100 miliar yang dibelanjakan pemerintah federal setiap tahun untuk perangkat lunak akan tunduk pada persyaratan tersebut. Pelanggar dapat dirujuk ke Departemen Kehakiman untuk penuntutan perdata.
Aturan baru ini juga akan memberikan persyaratan pada sistem luar angkasa, setelah Rusia menonaktifkan sistem komunikasi satelit Eropa dengan menyerang modemnya di darat.
Namun pelaksanaan perintah baru ini akan diserahkan kepada pemerintahan Trump, yang harus menegakkan tenggat waktu, yang dimulai dalam waktu sekitar 120 hari. Saat yang krusial akan tiba ketika perusahaan memutuskan untuk menguji apakah Trump akan menepati tenggat waktu.
Nona Neuberger mencatat bahwa pemerintahan Biden mengadopsi banyak aturan dan perintah yang tersisa dari pemerintahan Trump sebelumnya. Dia mengatakan dia mengharapkan pemerintahan yang kembali “melakukan hal yang sama.” Namun hal itu sulit dijamin.
Dan meskipun Nona Neuberger baru-baru ini mencatat bahwa membangun ketahanan dalam jaringan Amerika merupakan upaya bipartisan, penasihat keamanan nasional yang akan datang, Perwakilan Michael Waltz, telah berbicara lebih banyak tentang menanggapi Tiongkok dengan operasi siber yang ofensif.
Begitu pula dengan John Ratcliffe, yang dipilih Trump sebagai direktur CIA. Ratcliffe mengatakan pada sidang konfirmasi pada hari Rabu bahwa Amerika Serikat sedang menyaksikan “invasi melalui perbatasan digital kita dari belahan dunia lain, dalam beberapa detik dan beberapa penekanan tombol.” Dia berpendapat bahwa kemampuan Amerika untuk mencegah serangan semacam itu telah melemah.
“Efek jeranya harus ada konsekuensinya terhadap musuh kita ketika mereka melakukan hal itu,” katanya.
