Manajemen Risiko Keamanan Siber: Dari Penilaian Ancaman hingga Mitigasi Risiko

Bayangkan sebuah perusahaan tiba-tiba tidak bisa mengakses seluruh file pentingnya karena terkena ransomware. Sistem operasional berhenti, pelanggan tidak bisa menggunakan layanan, dan tim IT harus bekerja keras untuk memulihkan data serta sistem yang terdampak.

Masalah seperti ini bukan sekadar persoalan teknis. Perusahaan juga bisa menghadapi kerugian finansial, gangguan operasional, kehilangan kepercayaan pelanggan, hingga masalah hukum jika data pribadi ikut terungkap.

Sayangnya, banyak organisasi baru serius memperhatikan keamanan siber setelah insiden terjadi. Padahal, sejumlah risiko sebenarnya dapat dikenali dan dikurangi sebelum berkembang menjadi masalah besar.

Di sinilah manajemen risiko keamanan siber berperan.

Manajemen risiko keamanan siber adalah proses untuk mengidentifikasi ancaman, memahami kelemahan sistem, menilai potensi dampak, dan menentukan langkah pengamanan yang paling tepat. Tujuannya bukan menjamin bahwa serangan siber tidak akan pernah terjadi, melainkan membantu perusahaan mengurangi kemungkinan serangan dan membatasi dampaknya.

Lalu, bagaimana cara perusahaan mengelola risiko keamanan siber? Apa saja yang perlu dinilai, dan bagaimana menentukan sistem mana yang harus diamankan terlebih dahulu?

Mari kita bahas secara bertahap.

1. Apa Itu Manajemen Risiko Keamanan Siber?

Secara sederhana, manajemen risiko keamanan siber membantu perusahaan menjawab tiga pertanyaan penting:

Apa yang bisa mengancam sistem dan data perusahaan?
Seberapa besar dampaknya jika ancaman tersebut berhasil?
Apa yang perlu dilakukan untuk mengurangi risiko tersebut?

Untuk memahami konsep ini, kita bisa menggunakan contoh sebuah perusahaan yang memiliki aplikasi berbasis web untuk melayani pelanggan.

Aplikasi tersebut menyimpan informasi akun pengguna dan terhubung dengan database perusahaan. Jika aplikasi memiliki kerentanan keamanan, penyerang mungkin dapat mengeksploitasinya untuk mengakses data tanpa izin.

Dalam situasi ini, perusahaan perlu mengidentifikasi aset yang harus dilindungi, memahami ancaman yang mungkin terjadi, menilai dampak insiden, dan menentukan pengamanan yang diperlukan.

Proses tersebut merupakan bagian dari manajemen risiko keamanan siber.

Hal penting yang perlu dipahami adalah bahwa risiko tidak selalu sama dengan ancaman. Ancaman merupakan sesuatu yang berpotensi menyebabkan kerugian, sedangkan risiko mempertimbangkan kemungkinan suatu kejadian dan konsekuensinya terhadap organisasi.

Karena sumber daya keamanan biasanya terbatas, perusahaan perlu memprioritaskan risiko yang paling signifikan daripada mencoba menangani semua masalah sekaligus.

2. Mengenali Aset, Ancaman, dan Kerentanan

Sebelum menilai risiko, perusahaan perlu memahami apa yang dimiliki dan apa yang harus dilindungi.

Ada tiga konsep dasar yang perlu dibedakan: aset, ancaman, dan kerentanan.

Aset: Apa yang perlu dilindungi?

Aset adalah sesuatu yang memiliki nilai bagi perusahaan dan perlu dijaga dari gangguan, kehilangan, atau akses yang tidak sah.

Contoh aset dalam lingkungan IT meliputi:

Database pelanggan dan informasi pribadi.
Server aplikasi dan database.
Website serta aplikasi bisnis.
Akun administrator dan kredensial akses.
Source code aplikasi.
Infrastruktur jaringan.
Backup dan sistem pemulihan.
Layanan cloud dan akun penyedia layanan.

Tidak semua aset memiliki tingkat kepentingan yang sama. Jika sistem absensi tidak tersedia selama satu jam, dampaknya mungkin relatif terbatas. Namun, jika sistem pembayaran atau layanan utama perusahaan berhenti beroperasi, konsekuensinya bisa jauh lebih besar.

Karena itu, perusahaan perlu memahami nilai bisnis dan ketergantungan operasional dari setiap aset.

Ancaman: Apa yang berpotensi menimbulkan insiden?

Ancaman merupakan kondisi, tindakan, atau kejadian yang dapat menyebabkan kerugian terhadap aset.

Dalam keamanan siber, ancaman dapat berasal dari berbagai sumber, misalnya:

Serangan phishing yang menipu karyawan agar menyerahkan kredensial.
Ransomware yang mengenkripsi data atau mengganggu sistem.
Penyalahgunaan hak akses oleh pengguna internal.
Eksploitasi kerentanan pada aplikasi atau server.
Pencurian kredensial administrator.
Gangguan layanan dari serangan Distributed Denial of Service (DDoS).
Kesalahan konfigurasi cloud yang membuka akses ke data sensitif.

Ancaman tidak selalu berasal dari penyerang eksternal. Kesalahan manusia, kegagalan perangkat, dan konfigurasi yang tidak tepat juga dapat menyebabkan insiden keamanan.

Kerentanan: Kelemahan apa yang dapat dimanfaatkan?

Kerentanan adalah kelemahan pada sistem, aplikasi, konfigurasi, atau proses yang dapat dimanfaatkan untuk menyebabkan dampak yang tidak diinginkan.

Contohnya adalah sistem yang belum mendapatkan patch keamanan, autentikasi yang lemah, hak akses yang terlalu luas, atau database yang dapat diakses dari jaringan yang tidak semestinya.

Sebagai ilustrasi, phishing merupakan salah satu ancaman, sedangkan penggunaan autentikasi yang lemah dapat menjadi salah satu kelemahan yang memperbesar dampak ketika kredensial berhasil dicuri.

Dengan memahami hubungan antara aset, ancaman, dan kerentanan, perusahaan dapat mulai mengidentifikasi skenario risiko yang perlu ditangani.

3. Bagaimana Cara Melakukan Penilaian Risiko Keamanan Siber?

Penilaian risiko atau cybersecurity risk assessment merupakan proses untuk menentukan risiko mana yang paling membutuhkan perhatian.

Proses ini tidak harus dimulai dengan perangkat lunak yang mahal. Perusahaan dapat memulainya menggunakan inventaris aset, wawancara dengan pemilik sistem, pemeriksaan konfigurasi, dan tabel penilaian risiko.

Berikut tahapan yang dapat digunakan.

Langkah 1: Identifikasi aset penting

Buat daftar sistem, aplikasi, data, dan layanan yang mendukung kegiatan bisnis.

Untuk setiap aset, catat informasi dasar seperti pemilik sistem, lokasi penyimpanan, jenis data yang diproses, pengguna yang memiliki akses, dan ketergantungannya terhadap layanan lain.

Langkah ini membantu perusahaan menghindari situasi ketika sistem penting tidak tercakup dalam program keamanan.

Langkah 2: Identifikasi ancaman dan kerentanan

Setelah aset diketahui, identifikasi bagaimana aset tersebut dapat mengalami gangguan.

Misalnya, server aplikasi internet-facing mungkin menghadapi risiko eksploitasi kerentanan, sedangkan akun email karyawan lebih rentan terhadap phishing dan pencurian kredensial.

Informasi dapat diperoleh melalui pemeriksaan konfigurasi, vulnerability assessment, hasil penetration testing yang berwenang, laporan insiden, dan intelijen ancaman yang relevan.

Temuan teknis tersebut perlu diterjemahkan ke dalam konteks bisnis. Kerentanan dengan tingkat keparahan tinggi belum tentu menjadi risiko bisnis tertinggi jika sistemnya tidak kritis dan tidak dapat diakses dari jalur serangan yang relevan. Sebaliknya, kelemahan yang terlihat sederhana dapat menjadi sangat penting jika memengaruhi layanan utama.

Langkah 3: Nilai kemungkinan dan dampak

Perusahaan perlu memperkirakan seberapa mungkin suatu skenario terjadi dan seberapa besar konsekuensinya.

Kemungkinan kejadian dapat dipengaruhi oleh paparan sistem terhadap internet, tingkat aktivitas ancaman, kemudahan eksploitasi, serta efektivitas pengendalian yang sudah ada.

Sementara itu, dampak dapat mencakup:

Kerugian finansial.
Gangguan layanan dan operasional.
Kebocoran data.
Sanksi atau kewajiban hukum.
Kerusakan reputasi.
Kehilangan informasi penting.
Gangguan terhadap pelanggan atau mitra bisnis.

Penilaian harus menggunakan kriteria yang konsisten agar risiko antarbagian dapat dibandingkan secara masuk akal.

Langkah 4: Tentukan prioritas risiko

Hasil penilaian digunakan untuk menentukan urutan penanganan.

Risiko dengan dampak sangat besar dan kemungkinan tinggi biasanya membutuhkan perhatian segera. Risiko lain dapat dijadwalkan sesuai tingkat kepentingannya, tenggat perbaikan, dan ketersediaan sumber daya.

Perusahaan juga perlu mempertimbangkan kewajiban hukum, keberadaan eksploitasi aktif, serta apakah suatu kelemahan memungkinkan penyerang mencapai sistem lain.

Langkah 5: Dokumentasikan hasil penilaian

Setiap risiko penting sebaiknya dicatat dalam risk register atau daftar risiko.

Dokumen ini dapat memuat aset yang terdampak, skenario ancaman, kelemahan yang ditemukan, tingkat risiko, kontrol yang sudah tersedia, pemilik risiko, rencana mitigasi, dan target penyelesaian.

Risk register membantu tim keamanan, IT, manajemen risiko, dan pimpinan menggunakan informasi yang sama saat menentukan keputusan.

4. Contoh Sederhana Risk Assessment

Agar lebih mudah dipahami, berikut contoh penilaian risiko pada sebuah perusahaan yang menjalankan aplikasi web untuk pelanggan.

Elemen	Contoh temuan
Aset	Aplikasi web dan database pelanggan
Ancaman	Penyerang mengeksploitasi kerentanan aplikasi
Kerentanan	Komponen aplikasi belum diperbarui
Dampak potensial	Akses tidak sah terhadap data pelanggan
Pengendalian saat ini	Firewall dan pencatatan log
Mitigasi	Patch, pengujian keamanan, pembatasan akses database, dan pemantauan
Pemilik risiko	Tim IT atau pemilik layanan terkait

Contoh tersebut menunjukkan bahwa keberadaan firewall saja belum tentu cukup. Perusahaan juga perlu mengelola kerentanan aplikasi, membatasi akses database, dan memastikan aktivitas yang mencurigakan dapat terdeteksi.

Untuk memberikan gambaran prioritas, perusahaan dapat menggunakan matriks risiko sederhana berdasarkan kemungkinan dan dampak.

Berikut contoh skala ilustratif dengan nilai 1 sampai 5:

Kemungkinan: 1 berarti sangat rendah dan 5 berarti sangat tinggi.
Dampak: 1 berarti sangat kecil dan 5 berarti sangat besar.

Skor risiko dihitung menggunakan rumus:

Skor risiko = Kemungkinan × Dampak

Misalnya, suatu skenario memiliki nilai kemungkinan 4 dan dampak 5. Skor risikonya adalah 20 dari maksimum 25.

Angka tersebut menunjukkan bahwa skenario itu layak mendapat perhatian tinggi jika kriteria internal perusahaan memang menempatkannya pada kategori tersebut.

Namun, skor numerik bukan ukuran universal. Perusahaan perlu menetapkan batas kategori, kriteria penilaian, dan aturan eskalasi sendiri. Untuk risiko yang menyangkut keselamatan, kewajiban hukum, atau dampak bisnis kritis, skor sederhana juga tidak boleh menjadi satu-satunya dasar keputusan.

5. Strategi Mitigasi Risiko Keamanan Siber

Setelah risiko dinilai dan diprioritaskan, perusahaan perlu menentukan bagaimana risiko tersebut akan ditangani.

Mitigasi risiko merupakan upaya untuk mengurangi kemungkinan terjadinya insiden, membatasi dampaknya, atau meningkatkan kemampuan organisasi dalam memulihkan layanan.

Ada beberapa pendekatan yang dapat digunakan.

Memperkuat kontrol akses

Tidak semua pengguna membutuhkan akses ke seluruh sistem dan data perusahaan.

Melalui prinsip least privilege, pengguna hanya diberikan hak akses yang diperlukan untuk menjalankan pekerjaannya.

Perusahaan juga dapat menerapkan Multi-Factor Authentication (MFA), terutama pada akun administrator, layanan yang dapat diakses melalui internet, dan sistem yang menangani informasi sensitif.

Hak akses perlu ditinjau secara berkala, terutama ketika karyawan pindah peran atau meninggalkan perusahaan.

Mengelola patch dan kerentanan

Sistem operasi, aplikasi, perangkat jaringan, dan komponen perangkat lunak perlu diperbarui sesuai proses manajemen perubahan yang berlaku.

Perusahaan sebaiknya memiliki inventaris aset, jadwal pemindaian kerentanan, klasifikasi tingkat keparahan, dan tenggat remediasi berdasarkan risiko.

Kerentanan yang diketahui sedang dieksploitasi secara aktif pada sistem yang terpapar mungkin memerlukan tindakan lebih cepat dibandingkan kelemahan dengan paparan dan dampak yang terbatas.

Jika patch belum dapat diterapkan, perusahaan perlu mengevaluasi kontrol kompensasi, membatasi paparan, dan mendokumentasikan risiko yang masih tersisa.

Meningkatkan keamanan email dan kesadaran karyawan

Phishing sering memanfaatkan kepercayaan dan kebiasaan pengguna. Karena itu, pengamanan teknis perlu disertai edukasi yang relevan.

Perusahaan dapat menerapkan filter email, MFA, perlindungan endpoint, serta pelatihan untuk membantu karyawan mengenali pesan mencurigakan.

Pelatihan sebaiknya tidak hanya dilakukan sekali. Program yang berkelanjutan dan mekanisme pelaporan email mencurigakan dapat membantu meningkatkan kemampuan organisasi dalam merespons ancaman.

Melindungi data dengan backup

Backup merupakan bagian penting dari strategi pemulihan, khususnya ketika perusahaan menghadapi ransomware, penghapusan data, atau kegagalan sistem.

Namun, memiliki backup saja tidak menjamin bahwa data dapat dipulihkan.

Perusahaan perlu menentukan data yang harus dicadangkan, frekuensi backup, masa retensi, dan target pemulihan. Salinan cadangan juga perlu dilindungi dari akses tidak sah dan, jika sesuai, dibuat terpisah atau immutable agar tidak mudah diubah oleh penyerang.

Pengujian pemulihan perlu dilakukan secara berkala untuk memastikan backup benar-benar dapat digunakan ketika dibutuhkan.

Menerapkan pemantauan keamanan

Log dari server, endpoint, firewall, aplikasi, dan sistem identitas dapat membantu tim keamanan mendeteksi aktivitas mencurigakan.

Perusahaan dapat menggunakan Security Information and Event Management (SIEM) untuk mengumpulkan dan mengorelasikan log dari berbagai sumber. Pada lingkungan yang lebih matang, kemampuan Extended Detection and Response (XDR) juga dapat membantu mengidentifikasi dan menyelidiki ancaman.

Akan tetapi, penggunaan alat saja tidak cukup. Organisasi perlu menentukan sumber log yang penting, aturan deteksi, pihak yang bertanggung jawab, dan prosedur eskalasi ketika peringatan muncul.

6. Memahami Risiko Residual dan Risiko yang Diterima

Setelah kontrol keamanan diterapkan, risiko biasanya tidak langsung hilang sepenuhnya.

Risiko yang masih tersisa setelah pengendalian diterapkan disebut residual risk atau risiko residual.

Misalnya, perusahaan telah menerapkan MFA dan pemantauan login untuk melindungi akun administrator. Kontrol tersebut dapat mengurangi risiko pencurian akun, tetapi belum tentu menghilangkan seluruh kemungkinan penyalahgunaan akses.

Perusahaan perlu menilai kembali risiko setelah mitigasi untuk mengetahui apakah tingkatnya sudah sesuai dengan batas toleransi yang ditetapkan.

Jika risiko masih terlalu tinggi, organisasi dapat menambahkan kontrol atau mengubah pendekatan mitigasinya.

Dalam kondisi tertentu, perusahaan dapat memutuskan untuk menerima risiko residual. Keputusan ini seharusnya dibuat oleh pihak yang memiliki kewenangan, berdasarkan informasi yang memadai, dan disertai alasan serta periode peninjauan yang jelas.

Risiko yang diterima bukan berarti diabaikan. Kondisinya tetap perlu dipantau, terutama jika terjadi perubahan ancaman, sistem, atau kebutuhan bisnis.

7. Empat Pilihan dalam Penanganan Risiko

Dalam praktik manajemen risiko, perusahaan dapat mempertimbangkan empat pendekatan utama.

Risk mitigation: Mengurangi kemungkinan atau dampak risiko melalui kontrol keamanan. Contohnya menerapkan MFA, melakukan patch, dan memperkuat pemantauan.

Risk avoidance: Menghindari aktivitas yang menghasilkan risiko yang tidak dapat diterima. Misalnya, menghentikan penggunaan sistem yang sudah tidak dapat diamankan dan menggantinya dengan solusi yang lebih sesuai.

Risk transfer atau sharing: Membagikan sebagian konsekuensi risiko melalui pengaturan kontraktual atau mekanisme lain, misalnya asuransi siber. Pendekatan ini tidak menghilangkan seluruh tanggung jawab organisasi, terutama terkait kewajiban hukum dan perlindungan data.

Risk acceptance: Menerima risiko residual setelah evaluasi yang sesuai. Keputusan harus mempertimbangkan potensi dampak dan kewenangan pihak yang menyetujuinya.

Tidak ada satu pendekatan yang selalu paling tepat. Pilihan penanganan harus disesuaikan dengan tingkat risiko, kebutuhan bisnis, biaya pengendalian, dan kewajiban yang berlaku.

8. Framework untuk Membantu Manajemen Risiko Siber

Perusahaan tidak harus membangun seluruh proses manajemen risiko dari nol. Ada sejumlah framework yang dapat dijadikan referensi.

NIST Cybersecurity Framework (CSF)

NIST CSF 2.0 menyediakan pendekatan untuk memahami, menilai, memprioritaskan, dan mengomunikasikan risiko keamanan siber.

Framework ini memiliki enam fungsi utama:

Govern: Menetapkan strategi, kebijakan, peran, dan pengawasan risiko siber.
Identify: Memahami aset, konteks bisnis, dan risiko yang relevan.
Protect: Menerapkan pengamanan untuk mengurangi risiko.
Detect: Mengidentifikasi kejadian atau aktivitas mencurigakan.
Respond: Menangani dan mengelola insiden keamanan.
Recover: Memulihkan layanan dan kemampuan operasional setelah insiden.

Keenam fungsi tersebut saling berkaitan. Perusahaan tidak cukup hanya berfokus pada pencegahan, karena kemampuan mendeteksi, merespons, dan memulihkan sistem juga menentukan dampak akhir suatu insiden.

ISO/IEC 27001

ISO/IEC 27001 merupakan standar untuk sistem manajemen keamanan informasi atau ISMS.

Standar ini membantu organisasi membangun pendekatan yang sistematis dalam menilai dan menangani risiko keamanan informasi, menetapkan kontrol, serta melakukan evaluasi dan perbaikan berkelanjutan.

ISO/IEC 27001 dapat menjadi pilihan bagi perusahaan yang ingin mengintegrasikan keamanan informasi ke dalam sistem manajemen organisasi.

FAIR

Factor Analysis of Information Risk (FAIR) merupakan pendekatan untuk menganalisis risiko informasi secara kuantitatif.

Pendekatan ini dapat membantu organisasi memperkirakan risiko dalam istilah finansial berdasarkan model dan asumsi yang digunakan.

FAIR berguna ketika perusahaan ingin membandingkan berbagai pilihan investasi keamanan dengan bahasa yang lebih mudah dipahami oleh manajemen bisnis. Namun, hasilnya bergantung pada kualitas data dan asumsi analisis.

Perusahaan dapat memilih satu atau beberapa referensi sesuai kebutuhan. Yang terpenting adalah menerapkannya secara konsisten dan menghubungkan hasil penilaian dengan keputusan bisnis.

9. Menghubungkan Manajemen Risiko dengan Incident Response

Penilaian risiko dan mitigasi sebaiknya dihubungkan dengan proses penanganan insiden.

Risiko menunjukkan apa yang berpotensi terjadi, sedangkan incident response menjelaskan bagaimana organisasi bertindak ketika indikasi atau insiden keamanan benar-benar muncul.

Sebagai contoh, jika ransomware merupakan salah satu risiko prioritas, perusahaan tidak cukup hanya memasang antivirus dan membuat backup. Organisasi juga perlu menentukan cara mengisolasi endpoint yang terinfeksi, menghubungi tim terkait, menjaga bukti digital, memulihkan layanan, dan mengomunikasikan insiden kepada pihak yang berwenang sesuai kebutuhan.

Proses penanganan insiden umumnya mencakup persiapan, deteksi dan analisis, penanganan insiden, pemulihan, serta evaluasi setelah kejadian.

Hasil evaluasi insiden perlu digunakan kembali dalam manajemen risiko. Jika suatu kontrol gagal atau penyerang menggunakan teknik yang belum dipertimbangkan sebelumnya, perusahaan perlu memperbarui penilaian dan memperbaiki pengendalian.

Dengan pendekatan ini, manajemen risiko menjadi proses yang terus berkembang, bukan sekadar dokumen yang dibuat sekali lalu dilupakan.

10. Kesalahan yang Perlu Dihindari

Ada beberapa kesalahan umum yang dapat membuat manajemen risiko keamanan siber kurang efektif.

Menganggap semua kerentanan memiliki prioritas yang sama. Perusahaan perlu mempertimbangkan tingkat keparahan, paparan sistem, kemungkinan eksploitasi, dan dampak bisnis sebelum menentukan urutan perbaikan.

Berfokus pada teknologi tanpa memahami proses bisnis. Sistem keamanan yang canggih belum tentu melindungi aset yang paling penting jika organisasi tidak memahami ketergantungan operasional dan data yang harus dijaga.

Menganggap backup sebagai satu-satunya perlindungan ransomware. Backup membantu pemulihan, tetapi pencegahan, pembatasan akses, deteksi, dan respons tetap diperlukan.

Tidak memiliki pemilik risiko yang jelas. Jika tidak ada pihak yang bertanggung jawab, temuan keamanan dapat tertunda tanpa keputusan yang tegas.

Tidak mengevaluasi risiko setelah perubahan sistem. Implementasi aplikasi baru, perubahan konfigurasi, migrasi cloud, atau penambahan integrasi dapat menciptakan risiko baru yang perlu dinilai.

Menganggap risiko selesai setelah kontrol dipasang. Kontrol harus diuji dan dipantau untuk memastikan efektivitasnya tetap terjaga.

Kesimpulan

Manajemen risiko keamanan siber membantu perusahaan memahami ancaman yang dihadapi, menentukan sistem dan data yang paling penting, serta memilih pengamanan berdasarkan tingkat risiko.

Prosesnya dimulai dari identifikasi aset, ancaman, dan kerentanan, dilanjutkan dengan penilaian kemungkinan serta dampak, penentuan prioritas, implementasi mitigasi, dan evaluasi risiko residual.

Langkah tersebut perlu didukung oleh pengendalian teknis, kebijakan yang jelas, pemilik risiko yang bertanggung jawab, serta kemampuan mendeteksi, merespons, dan memulihkan insiden.

Framework seperti NIST Cybersecurity Framework, ISO/IEC 27001, dan FAIR dapat membantu organisasi membangun pendekatan yang lebih terstruktur sesuai kebutuhan masing-masing.

Pada akhirnya, tujuan manajemen risiko bukan membuat perusahaan bebas dari semua ancaman. Tujuannya adalah membantu organisasi membuat keputusan keamanan yang lebih tepat, menggunakan sumber daya secara efektif, dan mengurangi kemungkinan gangguan yang dapat memengaruhi bisnis.