Menghadapi Risiko Keamanan Copilot

Semakin banyak, perusahaan menggunakan copilot dan platform low-code untuk memungkinkan karyawan – bahkan mereka yang memiliki sedikit atau tidak ada keahlian teknis – untuk membuat copilot dan aplikasi bisnis yang kuat, serta untuk memproses sejumlah besar data. Laporan baru oleh Zenity, Keadaan Copilot dan Pengembangan Low-Code Perusahaan di 2024, menemukan bahwa, rata-rata, perusahaan memiliki sekitar 80.000 aplikasi dan copilot yang dibuat di luar siklus pengembangan perangkat lunak standar (SDLC).

Pengembangan ini menawarkan peluang baru tetapi juga risiko baru. Di antara 80.000 aplikasi dan copilot tersebut, sekitar 50.000 kerentanan. Laporan tersebut mencatat bahwa aplikasi dan copilot ini berkembang dengan kecepatan yang sangat cepat. Akibatnya, mereka menciptakan sejumlah besar kerentanan.

Risiko Copilot dan Aplikasi Perusahaan

Biasanya, pengembang perangkat lunak membangun aplikasi dengan hati-hati sepanjang SDLC (siklus pengembangan perangkat lunak yang aman) di mana setiap aplikasi secara terus-menerus dirancang, diterapkan, diukur, dan dianalisis. Namun, saat ini, pengamanan tersebut tidak lagi ada. Orang-orang dengan tidak ada pengalaman pengembangan dapat sekarang membangun dan menggunakan copilot dan aplikasi bisnis yang kuat dalam Power Platform, Microsoft Copilot, OpenAI, ServiceNow, Salesforce, UiPath, Zapier, dan lain-lain. Aplikasi ini membantu dengan operasi bisnis karena mereka mentransfer dan menyimpan data sensitif. Pertumbuhan di area ini telah signifikan; laporan menemukan 39% pertumbuhan tahun-ke-tahun dalam adopsi pengembangan low-code dan copilot.

Sebagai hasil dari melewati SDLC, kerentanan sangat umum. Banyak perusahaan dengan antusias menerima kemampuan ini tanpa sepenuhnya memahami bahwa mereka perlu memahami berapa banyak copilot dan aplikasi yang sedang dibuat – dan konteks bisnis mereka juga. Misalnya, mereka perlu memahami siapa aplikasi dan copilot tersebut ditujukan, data apa yang diakses aplikasi tersebut, dan tujuan bisnis apa yang mereka miliki. Mereka juga perlu tahu siapa yang mengembangkannya. Karena mereka sering tidak, dan karena praktik pengembangan standar dilewati, ini menciptakan bentuk baru dari shadow IT.

Ini memposisikan tim keamanan dalam posisi yang sulit dengan banyak copilot, aplikasi, otomatisasi, dan laporan yang dibangun di luar pengetahuan mereka oleh pengguna bisnis di berbagai LoB. Laporan tersebut menemukan bahwa semua OWASP (Open Web Application Security Project) Top 10 kategori risiko sangat umum di seluruh perusahaan. Rata-rata, sebuah perusahaan memiliki 49.438 kerentanan. Ini berarti 62% dari copilot dan aplikasi yang dibangun melalui low-code mengandung kerentanan keamanan tertentu.

Memahami Jenis-Jenis Risiko yang Berbeda

Copilot menyajikan ancaman potensial yang signifikan karena mereka menggunakan kredensial, memiliki akses ke data sensitif, dan memiliki rasa ingin tahu yang inheren yang membuat mereka sulit untuk dikendalikan. Faktanya, 63% copilot yang dibangun dengan platform low-code dibagikan dengan orang lain – dan banyak di antaranya menerima chat tanpa autentikasi. Ini memungkinkan risiko yang signifikan untuk serangan injeksi prompt yang mungkin terjadi.

Karena cara copilot beroperasi dan cara AI beroperasi secara umum, langkah-langkah keamanan yang ketat harus diterapkan untuk mencegah berbagi interaksi pengguna akhir dengan copilot, berbagi aplikasi dengan terlalu banyak atau orang yang salah, pemberian akses yang tidak perlu ke data sensitif melalui AI, dan sebagainya. Jika langkah-langkah ini tidak diterapkan, perusahaan berisiko meningkatkan eksposur ke kebocoran data dan injeksi prompt yang berbahaya.

Dua risiko signifikan lainnya adalah:

Eksekusi Copilot Jarak Jauh (RCEs) – Kerentanan ini mewakili jalur serangan khusus untuk aplikasi AI. Versi RCE ini memungkinkan penyerang eksternal untuk mengambil kontrol penuh atas Copilot untuk M365 dan memaksanya untuk mematuhi perintah mereka hanya dengan mengirim satu email, undangan kalender, atau pesan Teams.

Akun Tamu: Dengan menggunakan hanya satu akun tamu dan lisensi trial ke platform low-code – yang biasanya tersedia secara gratis di berbagai alat – seorang penyerang hanya perlu masuk ke platform low-code atau copilot perusahaan. Setelah masuk, penyerang beralih ke direktori target dan kemudian memiliki hak akses admin-level domain pada platform. Akibatnya, penyerang mencari akun tamu, yang telah menyebabkan pelanggaran keamanan. Berikut adalah data yang harus menimbulkan ketakutan pada pemimpin perusahaan dan tim keamanan: Perusahaan rata-rata memiliki lebih dari 8.641 contoh pengguna tamu yang tidak tepercaya yang memiliki akses ke aplikasi yang dikembangkan melalui low-code dan copilot.

Pendekatan Keamanan Baru Diperlukan

Apa yang dapat dilakukan tim keamanan terhadap risiko yang sangat umum, tidak berbentuk, dan kritis ini? Mereka perlu memastikan bahwa mereka telah menerapkan kontrol untuk memperingatkan mereka tentang aplikasi mana pun yang memiliki langkah tidak aman dalam proses pengambilan kredensial atau rahasia yang dikodekan. Mereka juga harus menambahkan konteks ke aplikasi yang sedang dibuat untuk memastikan bahwa ada kontrol autentikasi yang tepat untuk aplikasi bisnis kritis yang juga memiliki akses ke data internal sensitif.

Ketika taktik ini telah diterapkan, prioritas berikutnya adalah memastikan autentikasi yang tepat diatur untuk aplikasi yang memerlukan akses ke data sensitif. Setelah itu, merupakan praktik terbaik untuk mengatur kredensial sehingga mereka dapat diambil secara aman dari vault kredensial atau rahasia, yang akan menjamin bahwa kata sandi tidak berada dalam teks jelas atau teks polos.

Mengamankan Masa Depan Anda

 Genie pengembangan low-code dan copilot sudah keluar dari botol, jadi tidak realistis untuk mencoba memasukkannya kembali. Sebaliknya, perusahaan perlu menyadari risiko dan menerapkan kontrol yang menjaga data mereka aman dan dikelola dengan baik. Tim keamanan telah menghadapi banyak tantangan dalam era baru pengembangan yang dipimpin bisnis, tetapi dengan mengikuti rekomendasi yang disebutkan di atas, mereka akan berada dalam posisi terbaik untuk membawa inovasi dan produktivitas yang ditawarkan oleh copilot perusahaan dan platform pengembangan low-code ke arah masa depan yang berani. Security teams have faced many challenges in this new era of business-led development, but by adhering to the recommendations noted above, they will be in the best possible position to securely bring the innovation and productivity enterprise copilots and low code development platforms offer toward a bold new future.