Kepatuhan Keamanan Siber: Panduan Standar, Regulasi, dan Audit Keamanan
Perusahaan sudah menggunakan firewall, antivirus, dan berbagai perangkat keamanan. Namun, apakah itu berarti perusahaan sudah memenuhi seluruh persyaratan keamanan siber?
Belum tentu.
Perangkat keamanan memang membantu melindungi sistem, tetapi perusahaan juga perlu memastikan bahwa pengelolaan data, akses pengguna, penanganan insiden, dan proses operasionalnya sesuai dengan standar serta peraturan yang berlaku.
Bayangkan sebuah perusahaan mengalami kebocoran data pelanggan. Tim IT mungkin berhasil menghentikan serangan, tetapi perusahaan masih perlu menjawab sejumlah pertanyaan: Apakah data tersebut sudah dilindungi dengan memadai? Apakah insiden harus dilaporkan kepada pihak tertentu? Apakah perusahaan memiliki bukti bahwa kontrol keamanan telah diterapkan? Dan apakah kewajiban hukum yang relevan sudah dipenuhi?
Pertanyaan seperti ini berkaitan dengan cybersecurity compliance atau kepatuhan keamanan siber.
Kepatuhan keamanan siber membantu perusahaan memastikan bahwa kebijakan, proses, dan kontrol keamanan informasi memenuhi persyaratan yang relevan. Persyaratan tersebut dapat berasal dari peraturan pemerintah, standar industri, kontrak dengan pelanggan, atau kebijakan internal perusahaan.
Lalu, bagaimana cara perusahaan membangun program kepatuhan keamanan siber? Standar apa saja yang perlu diketahui, dan bagaimana audit keamanan dilakukan?
Mari kita bahas satu per satu.
1. Apa Itu Cybersecurity Compliance?
Secara sederhana, cybersecurity compliance adalah upaya memastikan bahwa praktik keamanan informasi perusahaan sesuai dengan persyaratan yang berlaku dan dapat dibuktikan melalui dokumentasi serta pelaksanaan kontrol yang memadai.
Persyaratan tersebut dapat berbeda antara satu perusahaan dengan perusahaan lainnya.
Perusahaan yang memproses data pribadi perlu memperhatikan ketentuan perlindungan data. Organisasi yang melayani pelanggan internasional mungkin juga menghadapi persyaratan kontraktual atau regulasi di negara lain. Sementara itu, perusahaan yang mengikuti proses sertifikasi tertentu perlu memenuhi persyaratan standar yang digunakan.
Ada tiga hal penting dalam kepatuhan keamanan siber.
Pertama, memahami persyaratan. Perusahaan harus mengetahui peraturan, standar, dan kewajiban kontraktual yang relevan dengan kegiatan bisnisnya.
Kedua, menerapkan kontrol. Persyaratan tersebut diterjemahkan menjadi kebijakan, prosedur, pengamanan teknis, dan tanggung jawab yang jelas.
Ketiga, menyediakan bukti. Perusahaan perlu menyimpan bukti yang memadai untuk menunjukkan bahwa kontrol benar-benar diterapkan dan berjalan sesuai tujuan.
Sebagai contoh, jika kebijakan perusahaan mengharuskan peninjauan hak akses setiap tiga bulan, organisasi perlu memiliki catatan peninjauan, hasil pemeriksaan, serta bukti tindak lanjut atas akses yang tidak lagi diperlukan.
Artinya, kepatuhan bukan hanya tentang memiliki dokumen kebijakan, tetapi juga memastikan bahwa kebijakan tersebut dijalankan.
2. Mengapa Kepatuhan Keamanan Siber Penting?
Kepatuhan sering dianggap sebagai pekerjaan administratif yang hanya diperlukan ketika perusahaan akan diaudit. Padahal, penerapan yang baik dapat membantu organisasi mengelola risiko dan menjaga kepercayaan pemangku kepentingan.
Mengurangi risiko hukum
Perusahaan yang mengelola data pribadi atau menjalankan layanan tertentu dapat memiliki kewajiban hukum mengenai perlindungan informasi, pengamanan sistem, dan penanganan insiden.
Ketidakpatuhan dapat menimbulkan konsekuensi hukum, finansial, dan operasional, bergantung pada peraturan serta kondisi kasus yang terjadi.
Dengan mengidentifikasi kewajiban sejak awal, perusahaan dapat menentukan kontrol dan prosedur yang dibutuhkan untuk mengurangi risiko tersebut.
Meningkatkan kepercayaan pelanggan
Pelanggan korporasi mungkin meminta informasi mengenai sertifikasi, kontrol keamanan, atau hasil evaluasi keamanan sebelum menggunakan layanan suatu perusahaan.
Bukti kepatuhan yang terstruktur membantu perusahaan menjawab pertanyaan tersebut dengan lebih konsisten.
Namun, kepatuhan terhadap satu standar tidak otomatis membuktikan bahwa seluruh risiko keamanan sudah terkendali. Perusahaan tetap perlu menilai risiko sesuai konteks bisnisnya.
Membantu menjaga konsistensi proses keamanan
Tanpa kebijakan yang jelas, setiap tim mungkin memiliki cara berbeda dalam mengelola akses, memperbarui sistem, atau menangani insiden.
Program kepatuhan membantu menyelaraskan proses tersebut melalui persyaratan dan prosedur yang dapat diperiksa.
Mempermudah audit dan evaluasi
Dokumentasi yang baik membuat perusahaan lebih mudah menunjukkan bagaimana kontrol diterapkan, siapa yang bertanggung jawab, dan tindakan apa yang dilakukan ketika ditemukan kelemahan.
Hal ini juga membantu organisasi menemukan kesenjangan sebelum berkembang menjadi masalah yang lebih besar.
3. Mengenal Standar Keamanan Siber yang Umum Digunakan
Ada banyak standar dan kerangka yang dapat membantu perusahaan mengelola keamanan informasi. Pemilihannya perlu disesuaikan dengan sektor usaha, kebutuhan pelanggan, tingkat risiko, dan kewajiban yang berlaku.
ISO/IEC 27001
ISO/IEC 27001 merupakan standar internasional untuk sistem manajemen keamanan informasi atau Information Security Management System (ISMS).
Standar ini membantu organisasi mengelola keamanan informasi melalui pendekatan berbasis risiko. Penerapannya mencakup penentuan ruang lingkup, penilaian risiko, pemilihan kontrol, evaluasi kinerja, dan perbaikan berkelanjutan.
ISO/IEC 27001 relevan bagi perusahaan yang ingin membangun sistem manajemen keamanan informasi secara terstruktur. Organisasi juga dapat mengikuti proses sertifikasi melalui lembaga sertifikasi yang kompeten.
Perlu diingat bahwa sertifikasi berlaku untuk ruang lingkup yang ditentukan. Sertifikat tidak berarti setiap sistem dan aktivitas perusahaan otomatis bebas dari risiko.
NIST Cybersecurity Framework (CSF)
NIST Cybersecurity Framework membantu organisasi memahami dan mengelola risiko keamanan siber.
Versi 2.0 memiliki enam fungsi utama: Govern, Identify, Protect, Detect, Respond, dan Recover.
Framework ini dapat digunakan untuk menilai kondisi keamanan saat ini, menentukan target, mengidentifikasi kesenjangan, dan menyusun prioritas perbaikan.
NIST CSF bukan sertifikasi kepatuhan universal. Framework ini lebih tepat dipahami sebagai referensi untuk membangun dan mengevaluasi program pengelolaan risiko siber.
PCI DSS
Payment Card Industry Data Security Standard (PCI DSS) merupakan standar keamanan yang berkaitan dengan perlindungan data akun pembayaran.
Standar ini relevan bagi organisasi yang menyimpan, memproses, atau mentransmisikan data akun pembayaran, serta pihak lain yang termasuk dalam ruang lingkup persyaratannya.
Perusahaan perlu menentukan ruang lingkup lingkungan data pemegang kartu dengan cermat. Penggunaan penyedia pembayaran pihak ketiga dapat memengaruhi ruang lingkup, tetapi tidak otomatis menghapus seluruh tanggung jawab organisasi.
SOC 2
SOC 2 merupakan bentuk pemeriksaan dan pelaporan oleh akuntan publik independen mengenai kontrol organisasi jasa berdasarkan kriteria layanan kepercayaan yang relevan.
Kerangka ini sering diminta oleh pelanggan perusahaan teknologi, penyedia SaaS, dan penyedia layanan yang menangani informasi pelanggan.
SOC 2 bukan standar ISO dan bukan sertifikasi dalam pengertian yang sama dengan sertifikasi ISO/IEC 27001. Perusahaan perlu memahami jenis laporan, ruang lingkup, periode pemeriksaan, serta sistem dan layanan yang tercakup.
4. Regulasi Keamanan Siber dan Perlindungan Data di Indonesia
Selain standar internasional, perusahaan yang beroperasi di Indonesia perlu memahami peraturan yang berlaku bagi kegiatan bisnisnya.
Tidak semua organisasi memiliki kewajiban yang sama. Persyaratan dapat berbeda berdasarkan jenis layanan, sektor industri, kategori data, dan status perusahaan.
Berikut beberapa regulasi yang relevan untuk diketahui.
Undang-Undang Pelindungan Data Pribadi
Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mengatur berbagai aspek pemrosesan dan perlindungan data pribadi di Indonesia.
Bagi perusahaan, hal ini berarti pengelolaan data pelanggan, karyawan, dan individu lainnya perlu memperhatikan dasar pemrosesan yang sesuai, kewajiban pengendali atau prosesor data, keamanan pemrosesan, pemenuhan hak subjek data, serta ketentuan pemberitahuan kegagalan pelindungan data pribadi apabila berlaku.
Perusahaan perlu memetakan data pribadi yang dikelola, tujuan pemrosesannya, pihak yang memiliki akses, dan proses yang digunakan untuk melindunginya.
Peraturan Pemerintah Nomor 71 Tahun 2019
PP Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik mengatur penyelenggaraan sistem elektronik dan berbagai kewajiban terkait.
Relevansi persyaratannya perlu dinilai berdasarkan jenis sistem elektronik, status penyelenggara, dan ketentuan yang berlaku bagi organisasi tersebut.
Perusahaan sebaiknya tidak menganggap bahwa semua kewajiban dalam regulasi ini berlaku dengan cara yang identik bagi setiap jenis organisasi.
Ketentuan sektoral
Organisasi yang bergerak di sektor tertentu dapat menghadapi persyaratan tambahan dari regulator atau otoritas terkait.
Misalnya, perusahaan di sektor jasa keuangan perlu memperhatikan ketentuan yang berlaku bagi jenis lembaga dan aktivitas usahanya, termasuk persyaratan terkait teknologi informasi, manajemen risiko, dan pelaporan insiden jika diwajibkan.
Karena regulasi dapat berubah, perusahaan perlu memeriksa naskah peraturan dan ketentuan terbaru dari sumber resmi sebelum menetapkan program kepatuhan.
5. Cara Memulai Program Cybersecurity Compliance
Bagi perusahaan yang baru membangun program kepatuhan, langkah pertama bukan membeli perangkat keamanan atau langsung mengikuti sertifikasi.
Perusahaan perlu memahami terlebih dahulu kewajiban dan ruang lingkup yang harus dipenuhi.
Langkah 1: Tentukan ruang lingkup
Identifikasi sistem, layanan, data, lokasi, dan unit bisnis yang termasuk dalam program kepatuhan.
Sebagai contoh, perusahaan SaaS mungkin memulai dari aplikasi yang digunakan pelanggan, infrastruktur cloud pendukung, proses pengelolaan akses, serta fungsi yang menangani data pelanggan.
Ruang lingkup yang jelas membantu organisasi menentukan kontrol dan bukti yang diperlukan.
Langkah 2: Identifikasi persyaratan
Buat daftar regulasi, standar, kontrak pelanggan, dan kebijakan internal yang relevan.
Untuk setiap persyaratan, catat sumbernya, pihak yang bertanggung jawab, sistem yang terdampak, dan bukti yang dibutuhkan.
Daftar tersebut dapat digunakan sebagai compliance register atau daftar kewajiban kepatuhan.
Langkah 3: Lakukan gap assessment
Bandingkan kondisi saat ini dengan persyaratan yang telah diidentifikasi.
Misalnya, perusahaan sudah menerapkan MFA untuk administrator, tetapi belum memiliki proses formal untuk meninjau hak akses pengguna secara berkala.
Temuan tersebut menunjukkan adanya kesenjangan yang perlu dievaluasi dan ditindaklanjuti.
Hasil gap assessment sebaiknya mencakup persyaratan, kondisi aktual, bukti yang tersedia, kesenjangan, tingkat prioritas, pemilik tindakan, dan target penyelesaian.
Langkah 4: Susun rencana perbaikan
Tidak semua kesenjangan harus ditangani dengan urutan yang sama.
Perusahaan perlu mempertimbangkan tingkat risiko, kewajiban hukum, tenggat waktu, dan dampak terhadap bisnis.
Temuan yang berkaitan dengan risiko tinggi atau kewajiban mendesak biasanya memerlukan prioritas lebih besar daripada kekurangan dokumentasi yang dampaknya terbatas.
Langkah 5: Terapkan kontrol dan kumpulkan bukti
Kontrol dapat berupa pengamanan teknis, proses operasional, atau kebijakan organisasi.
Contohnya mencakup MFA, enkripsi, pengelolaan kerentanan, backup, peninjauan akses, pelatihan keamanan, dan prosedur penanganan insiden.
Bukti pelaksanaan perlu dikumpulkan secara konsisten agar perusahaan dapat menunjukkan bahwa kontrol berjalan, bukan sekadar direncanakan.
Langkah 6: Evaluasi dan lakukan perbaikan
Program kepatuhan perlu ditinjau ketika terjadi perubahan sistem, regulasi, proses bisnis, atau persyaratan pelanggan.
Evaluasi berkala juga membantu memastikan bahwa kontrol yang sebelumnya efektif tetap sesuai dengan kondisi terbaru.
6. Apa Itu Audit Keamanan Siber?
Audit keamanan siber adalah proses evaluasi yang sistematis terhadap kontrol, proses, dan bukti keamanan untuk menilai apakah persyaratan atau kriteria yang digunakan telah dipenuhi.
Audit dapat dilakukan sebagai bagian dari program internal, pemeriksaan eksternal, proses sertifikasi, atau pemenuhan persyaratan kontrak.
Tujuan audit bukan sekadar mencari kesalahan. Hasilnya dapat membantu organisasi memahami apakah pengendalian sudah dirancang dengan baik, diterapkan sesuai prosedur, dan berjalan efektif.
Audit juga berbeda dari penetration testing.
Penetration testing berfokus pada pengujian keamanan teknis melalui simulasi serangan yang diizinkan untuk mengidentifikasi kelemahan yang dapat dieksploitasi.
Sementara itu, audit kepatuhan mengevaluasi kesesuaian terhadap kriteria tertentu, termasuk kebijakan, proses, bukti implementasi, dan pengendalian yang relevan.
Keduanya dapat saling melengkapi, tetapi tidak saling menggantikan.
Jenis audit yang umum dilakukan
Audit internal: Dilakukan oleh fungsi internal yang kompeten dan cukup independen untuk mengevaluasi kontrol serta kepatuhan.
Audit eksternal: Dilakukan oleh pihak independen sesuai ruang lingkup dan tujuan pemeriksaan yang disepakati.
Audit sertifikasi: Dilakukan dalam proses sertifikasi terhadap standar tertentu, seperti ISO/IEC 27001, oleh lembaga sertifikasi yang sesuai.
Jenis pemeriksaan yang digunakan harus disesuaikan dengan tujuan, standar, kewajiban, dan kebutuhan organisasi.
7. Bukti Apa Saja yang Biasanya Dibutuhkan Saat Audit?
Salah satu tantangan saat audit adalah menyediakan bukti yang lengkap dan relevan.
Perusahaan mungkin sudah menerapkan kontrol tertentu, tetapi kesulitan menunjukkan kapan kontrol tersebut dijalankan, siapa yang melakukannya, dan bagaimana hasilnya ditindaklanjuti.
Bukti audit bergantung pada kriteria yang digunakan. Namun, beberapa contoh berikut sering relevan:
| Area | Contoh bukti |
|---|---|
| Kebijakan | Dokumen kebijakan yang disetujui dan riwayat peninjauan |
| Manajemen risiko | Risk register dan rencana mitigasi |
| Kontrol akses | Daftar hak akses dan catatan peninjauan berkala |
| Patch management | Laporan kerentanan dan bukti perbaikan |
| Backup | Log backup dan hasil pengujian pemulihan |
| Incident response | Prosedur insiden dan catatan tindak lanjut |
| Kesadaran keamanan | Catatan pelatihan dan hasil evaluasi |
| Pihak ketiga | Penilaian risiko pemasok dan tindak lanjut temuan |
| Audit internal | Laporan temuan dan bukti penyelesaian tindakan korektif |
Bukti harus sesuai dengan periode dan ruang lingkup pemeriksaan. Dokumen kebijakan yang baru dibuat tidak otomatis membuktikan bahwa prosedur telah diterapkan selama periode yang sedang diperiksa.
Karena itu, perusahaan perlu menyimpan catatan yang akurat, memiliki kontrol akses yang sesuai, dan memastikan dokumentasi mudah ditelusuri.
8. Mengelola Temuan Audit dan Tindakan Korektif
Audit tidak memberikan manfaat maksimal jika hasilnya hanya disimpan dalam laporan.
Ketika ditemukan kesenjangan, perusahaan perlu menentukan penyebabnya, menetapkan tindakan perbaikan, dan memantau penyelesaiannya.
Misalnya, audit menemukan bahwa sejumlah akun karyawan yang sudah tidak aktif masih memiliki akses ke sistem internal.
Tindakan korektif sebaiknya tidak hanya menonaktifkan akun yang ditemukan. Perusahaan juga perlu memeriksa mengapa proses pencabutan akses tidak berjalan, apakah prosedur offboarding sudah memadai, dan bagaimana mencegah masalah serupa terulang.
Tindak lanjut dapat mencakup:
Mencatat temuan dan bukti pendukung.
Menilai dampak serta tingkat prioritas.
Mengidentifikasi penyebab utama.
Menentukan pemilik tindakan dan tenggat.
Menerapkan perbaikan.
Memverifikasi efektivitas tindakan.
Menutup temuan berdasarkan kriteria yang jelas.
Pendekatan ini membantu perusahaan memperbaiki proses secara berkelanjutan, bukan sekadar menyelesaikan temuan untuk memenuhi tenggat audit.
9. Mengukur Kinerja Program Kepatuhan
Perusahaan dapat menggunakan KPI untuk memantau efektivitas program kepatuhan keamanan siber.
Contoh indikator yang dapat dipertimbangkan meliputi:
| Indikator | Tujuan pengukuran |
|---|---|
| Persentase persyaratan yang telah dinilai | Memantau cakupan penilaian kepatuhan |
| Persentase kesenjangan prioritas yang ditangani | Mengukur kemajuan perbaikan |
| Persentase bukti kontrol yang tersedia dan valid | Memantau kesiapan audit |
| Persentase temuan audit yang selesai sesuai tenggat | Mengukur ketepatan waktu tindak lanjut |
| Persentase kebijakan yang ditinjau tepat waktu | Memantau pemeliharaan kebijakan |
| Persentase pemasok kritis yang dinilai | Memantau cakupan penilaian pihak ketiga |
Indikator tersebut perlu memiliki definisi, sumber data, pemilik, dan periode pengukuran yang jelas.
Perusahaan juga perlu menghindari penggunaan angka kepatuhan sebagai satu-satunya ukuran keamanan. Tingginya persentase kontrol yang dinyatakan terpenuhi tidak otomatis berarti seluruh risiko penting telah dikelola secara efektif.
10. Kesalahan yang Perlu Dihindari
Ada beberapa kesalahan umum yang dapat menghambat program cybersecurity compliance.
Menganggap sertifikasi menjamin keamanan sepenuhnya. Sertifikasi menunjukkan kesesuaian terhadap ruang lingkup dan kriteria tertentu, bukan jaminan bahwa serangan atau insiden tidak akan terjadi.
Membuat dokumen hanya untuk auditor. Kebijakan dan prosedur harus digunakan dalam kegiatan operasional, bukan sekadar disiapkan menjelang pemeriksaan.
Mengabaikan ruang lingkup. Perusahaan perlu memastikan bahwa sistem dan proses yang relevan benar-benar tercakup dalam penilaian.
Mengumpulkan bukti tanpa mengevaluasi efektivitas kontrol. Bukti perlu menunjukkan pelaksanaan dan, jika relevan, efektivitas kontrol sesuai kriteria yang digunakan.
Menunda tindak lanjut temuan. Temuan berisiko tinggi perlu ditangani sesuai prioritas dan tenggat yang ditetapkan.
Menganggap semua standar dan regulasi sama. Setiap standar memiliki tujuan, ruang lingkup, dan mekanisme penilaian yang berbeda. Perusahaan perlu memahami perbedaannya sebelum menentukan program kepatuhan.
Kesimpulan
Kepatuhan keamanan siber membantu perusahaan memastikan bahwa pengelolaan keamanan informasi sesuai dengan peraturan, standar, dan kewajiban yang relevan.
Prosesnya dimulai dengan menentukan ruang lingkup, mengidentifikasi persyaratan, melakukan gap assessment, menerapkan kontrol, mengumpulkan bukti, dan mengevaluasi hasil secara berkala.
Standar seperti ISO/IEC 27001, framework NIST CSF, PCI DSS, serta laporan SOC 2 memiliki fungsi yang berbeda dan perlu dipilih sesuai kebutuhan organisasi. Di Indonesia, perusahaan juga perlu memperhatikan regulasi yang relevan, termasuk ketentuan mengenai pelindungan data pribadi dan penyelenggaraan sistem elektronik.
Audit membantu mengevaluasi kesesuaian dan menemukan kesenjangan, sedangkan tindakan korektif memastikan bahwa temuan tersebut benar-benar ditangani.
Pada akhirnya, program kepatuhan yang efektif bukan sekadar upaya mendapatkan sertifikat atau memperoleh hasil audit yang baik. Tujuannya adalah membangun proses keamanan yang konsisten, dapat dibuktikan, dan mampu mendukung perlindungan informasi serta keberlangsungan bisnis.
