Sistem SCADA (Supervisory Control And Data Acquisition) dan ICS (Industrial Control Systems) adalah tulang punggung infrastruktur kritis modern, mengendalikan segala sesuatu mulai dari jaringan listrik, pengelolaan air, transportasi, hingga proses manufaktur kompleks. Berbeda dengan keamanan teknologi informasi (IT) yang berfokus pada kerahasiaan, integritas, dan ketersediaan data, keamanan pada sistem teknologi operasional (OT) seperti SCADA/ICS lebih memprioritaskan ketersediaan dan keselamatan (safety). Kompromi pada sistem ini tidak hanya berarti kebocoran data, tetapi berpotensi menyebabkan dampak fisik yang nyata dan merusak, seperti pemadaman listrik massal, ledakan di fasilitas industri, atau kontaminasi pasokan air. Ironisnya, banyak sistem SCADA dirancang di era ketika ancaman siber belum sekompleks sekarang, membuat keamanan menjadi tantangan besar seiring semakin terhubungnya sistem OT dengan jaringan IT yang lebih luas.
Tantangan dalam mengamankan sistem SCADA/ICS sangat unik. Banyak komponennya adalah sistem warisan (legacy systems) yang menjalankan perangkat lunak usang, menggunakan protokol komunikasi proprietary atau yang tidak aman, dan sulit atau tidak mungkin untuk diperbarui (di-patch) karena sensitivitas operasional dan kebutuhan uptime yang tinggi. Segmentasi jaringan seringkali buruk atau tidak ada, menciptakan 'jaringan datar' di mana penyerang dapat dengan mudah bergerak lateral dari jaringan IT yang kurang aman ke jaringan OT yang kritis. Selain itu, mungkin ada kurangnya visibilitas, pemantauan keamanan yang minim, dan personel yang belum sepenuhnya terlatih dalam keamanan siber di lingkungan OT. Kerentanan umum yang ditemukan seringkali meliputi penggunaan kredensial default atau lemah, antarmuka yang terekspos ke internet, dan kurangnya otentikasi atau enkripsi pada komunikasi protokol industri.
Mengingat risiko tinggi terhadap keselamatan fisik dan operasional, penetration testing pada lingkungan industri (OT) memerlukan pendekatan yang jauh lebih hati-hati dan khusus dibandingkan pentesting IT konvensional. Prioritas utama bukanlah menemukan sebanyak mungkin kerentanan, tetapi melakukannya tanpa menyebabkan gangguan atau bahaya. Metodologi pengujian biasanya dimulai dengan fase reconnaissance yang sangat pasif untuk memetakan jaringan dan mengidentifikasi komponen tanpa berinteraksi langsung. Pengujian yang lebih aktif harus dilakukan dengan sangat hati-hati, seringkali di lingkungan simulasi, selama jendela pemeliharaan terjadwal, atau dengan otorisasi eksplisit untuk setiap langkah. Penguji harus memiliki pemahaman mendalam tentang protokol industri spesifik (seperti Modbus, DNP3, OPC), perangkat keras OT, dan yang terpenting, prosedur keselamatan operasional. Pentesting industri yang efektif membutuhkan kombinasi keahlian siber dan pengetahuan operasional yang mendalam untuk mengidentifikasi risiko secara realistis tanpa membahayakan operasional kritis.
