Tata Kelola Keamanan Siber: Membangun Strategi dan Kerangka Akuntabilitas yang Efektif
Pernahkah Anda bertanya siapa yang bertanggung jawab jika perusahaan mengalami kebocoran data? Apakah sepenuhnya menjadi tanggung jawab tim IT, tim keamanan siber, atau justru manajemen perusahaan?
Pertanyaan ini penting karena insiden keamanan siber tidak hanya menimbulkan masalah teknis. Kebocoran data, serangan ransomware, dan gangguan layanan dapat memengaruhi operasional, keuangan, reputasi, serta kepercayaan pelanggan.
Sayangnya, masih ada organisasi yang menganggap keamanan siber hanya sebagai urusan teknis. Tim IT diminta memasang firewall, memperbarui antivirus, dan menjaga server tetap berjalan, tetapi belum tentu memiliki arahan yang jelas mengenai risiko apa yang harus diprioritaskan atau seberapa besar risiko yang dapat diterima perusahaan.
Di sinilah Cybersecurity Governance berperan.
Tata kelola keamanan siber membantu perusahaan menentukan arah strategi keamanan, membagi tanggung jawab, menetapkan kebijakan, serta memastikan bahwa investasi keamanan sesuai dengan kebutuhan bisnis.
Dengan tata kelola yang baik, keamanan siber tidak hanya menjadi pekerjaan tim teknis, tetapi menjadi bagian dari proses pengambilan keputusan perusahaan.
1. Apa Itu Cybersecurity Governance?
Cybersecurity Governance adalah cara organisasi mengarahkan, mengawasi, dan mempertanggungjawabkan pengelolaan keamanan siber.
Jika tim keamanan bertugas mendeteksi ancaman dan menangani kerentanan, tata kelola membantu menentukan tujuan yang ingin dicapai, pihak yang bertanggung jawab, serta mekanisme untuk memastikan pekerjaan tersebut berjalan dengan baik.
Sebagai contoh, sebuah perusahaan memiliki aplikasi yang menyimpan data pelanggan. Tim keamanan menemukan bahwa sistem tersebut membutuhkan peningkatan perlindungan akses.
Dari sisi teknis, tim dapat merekomendasikan penerapan Multi-Factor Authentication (MFA), pembatasan hak akses, dan pemantauan aktivitas login.
Namun, perusahaan juga perlu menjawab pertanyaan lain:
Siapa yang menyetujui anggaran untuk penerapan kontrol tersebut?
Siapa yang bertanggung jawab atas risiko jika perbaikan ditunda?
Kapan risiko harus dilaporkan kepada manajemen?
Bagaimana keberhasilan pengamanan diukur?
Siapa yang memastikan kebijakan diterapkan secara konsisten?
Pertanyaan tersebut berada dalam lingkup tata kelola keamanan siber.
Dengan kata lain, cybersecurity governance menghubungkan kebutuhan teknis dengan tujuan bisnis, manajemen risiko, dan akuntabilitas organisasi.
2. Mengapa Perusahaan Membutuhkan Tata Kelola Keamanan Siber?
Perusahaan dapat memiliki banyak perangkat keamanan, tetapi tetap menghadapi masalah jika pengelolaannya tidak terarah.
Misalnya, organisasi sudah menggunakan firewall, endpoint protection, dan sistem pemantauan log. Namun, tidak ada pihak yang bertanggung jawab memastikan bahwa peringatan kritis ditindaklanjuti atau bahwa kerentanan pada sistem penting diperbaiki sesuai prioritas.
Kondisi ini menunjukkan bahwa teknologi saja tidak cukup.
Memastikan keamanan sesuai dengan kebutuhan bisnis
Tidak semua sistem memiliki tingkat kepentingan yang sama.
Gangguan pada website informasi perusahaan mungkin tidak menimbulkan dampak sebesar gangguan pada sistem pembayaran, aplikasi utama, atau database pelanggan.
Melalui tata kelola, perusahaan dapat menentukan sistem mana yang harus diprioritaskan berdasarkan dampak bisnis dan tingkat risiko.
Pendekatan ini membantu tim keamanan menggunakan sumber daya secara lebih efektif.
Memperjelas tanggung jawab
Ketika terjadi masalah keamanan, ketidakjelasan tanggung jawab dapat memperlambat penanganan.
Misalnya, tim keamanan menemukan kerentanan pada aplikasi, tetapi tim pengembang belum memiliki jadwal perbaikan. Pada saat yang sama, pemilik aplikasi tidak mengetahui bahwa risiko tersebut membutuhkan keputusan manajemen.
Dengan pembagian peran yang jelas, setiap pihak mengetahui tugasnya, termasuk siapa yang harus menyetujui pengecualian dan siapa yang bertanggung jawab menerima risiko residual.
Membantu pengambilan keputusan investasi
Investasi keamanan siber sering kali harus bersaing dengan kebutuhan bisnis lainnya.
Manajemen membutuhkan informasi yang menjelaskan mengapa suatu kontrol diperlukan, risiko apa yang ingin dikurangi, dan apa konsekuensinya jika tindakan ditunda.
Tata kelola membantu menyajikan kebutuhan keamanan dalam bahasa bisnis sehingga keputusan investasi tidak hanya didasarkan pada kecanggihan teknologi.
Mendukung kepatuhan dan audit
Perusahaan mungkin memiliki kewajiban untuk melindungi data pribadi, memenuhi persyaratan kontrak, atau mengikuti standar keamanan tertentu.
Tata kelola membantu memastikan bahwa kewajiban tersebut diterjemahkan menjadi kebijakan, kontrol, bukti pelaksanaan, dan proses evaluasi yang dapat diperiksa.
Hal ini mempermudah perusahaan menunjukkan bagaimana risiko keamanan dikelola dan bagaimana tindak lanjut dilakukan.
3. Menentukan Peran dan Tanggung Jawab Keamanan Siber
Salah satu fondasi cybersecurity governance adalah pembagian tanggung jawab yang jelas.
Keamanan siber tidak seharusnya dibebankan sepenuhnya kepada satu departemen karena risiko dapat muncul dari berbagai aktivitas bisnis.
Berikut gambaran peran yang umum digunakan dalam organisasi.
Direksi dan manajemen senior
Direksi dan manajemen senior bertanggung jawab memberikan arahan strategis, memastikan sumber daya tersedia, dan mengawasi risiko keamanan yang signifikan.
Mereka tidak harus memahami setiap detail teknis, tetapi perlu mengetahui risiko utama yang dapat memengaruhi bisnis, efektivitas pengendalian, serta keputusan yang membutuhkan persetujuan mereka.
CISO atau pimpinan keamanan informasi
Chief Information Security Officer (CISO), jika posisi ini tersedia, membantu menyusun strategi keamanan, mengoordinasikan program pengamanan, dan melaporkan risiko kepada pihak yang berwenang.
Pada perusahaan yang lebih kecil, tanggung jawab serupa dapat dijalankan oleh kepala keamanan informasi atau personel yang ditunjuk sesuai struktur organisasi.
Yang penting, peran tersebut memiliki kewenangan, kompetensi, dan jalur pelaporan yang memadai.
Tim IT dan tim keamanan
Tim IT mengelola infrastruktur dan layanan teknologi, sedangkan tim keamanan berfokus pada pengelolaan kontrol, pemantauan ancaman, penilaian risiko, serta koordinasi respons insiden sesuai pembagian tugas.
Keduanya perlu bekerja sama. Tim keamanan tidak dapat mengelola risiko secara efektif jika tidak memahami arsitektur sistem, dan tim IT membutuhkan arahan yang jelas mengenai prioritas pengamanan.
Pemilik sistem dan pemilik bisnis
Pemilik sistem bertanggung jawab atas sistem atau aplikasi yang berada dalam cakupannya. Mereka perlu memahami tingkat kepentingan layanan, pengguna, ketergantungan operasional, dan konsekuensi jika sistem terganggu.
Pemilik bisnis juga berperan dalam menentukan prioritas berdasarkan kebutuhan operasional, bukan hanya berdasarkan tingkat keparahan teknis.
Tim risk, compliance, dan audit internal
Fungsi manajemen risiko membantu mengintegrasikan risiko siber ke dalam kerangka risiko perusahaan. Fungsi kepatuhan membantu memantau kewajiban yang relevan, sedangkan audit internal dapat memberikan penilaian independen terhadap desain dan efektivitas pengendalian sesuai mandatnya.
Pemisahan tanggung jawab ini penting agar fungsi yang menjalankan kontrol, mengelola risiko, dan mengevaluasi efektivitasnya tidak tercampur tanpa pengawasan yang memadai.
4. Membangun Kebijakan Keamanan Siber yang Efektif
Kebijakan merupakan salah satu alat utama untuk menerjemahkan strategi keamanan menjadi aturan yang dapat diterapkan.
Namun, kebijakan yang efektif bukan sekadar dokumen panjang yang disimpan di folder perusahaan. Kebijakan harus menjelaskan apa yang diwajibkan, siapa yang bertanggung jawab, dan bagaimana kepatuhan terhadap aturan tersebut dipantau.
Beberapa kebijakan yang umum dibutuhkan meliputi:
Information Security Policy
Menjelaskan komitmen, tujuan, prinsip, dan tanggung jawab umum organisasi dalam melindungi informasi.
Access Control Policy
Mengatur pemberian hak akses, penggunaan akun administrator, peninjauan akses, dan pencabutan akses ketika tidak lagi dibutuhkan.
Acceptable Use Policy
Menjelaskan penggunaan perangkat, jaringan, aplikasi, dan sumber daya teknologi perusahaan yang diperbolehkan.
Incident Response Policy
Menetapkan prinsip penanganan insiden, peran pihak terkait, jalur eskalasi, serta mekanisme komunikasi dan pelaporan.
Vulnerability and Patch Management Policy
Mengatur identifikasi, penilaian prioritas, perbaikan, serta pemantauan kerentanan pada sistem perusahaan.
Third-Party Security Policy
Menetapkan persyaratan keamanan bagi pemasok, penyedia layanan, dan pihak ketiga yang memiliki akses ke sistem atau data perusahaan.
Tidak semua organisasi membutuhkan dokumen terpisah untuk setiap topik. Perusahaan dapat menggabungkan kebijakan sesuai kompleksitas dan kebutuhannya, selama tanggung jawab serta persyaratannya tetap jelas.
Kebijakan juga perlu ditinjau secara berkala agar tetap sesuai dengan perubahan teknologi, ancaman, proses bisnis, dan regulasi.
5. Mengintegrasikan Cybersecurity Governance dengan Manajemen Risiko
Tata kelola keamanan siber perlu terhubung dengan manajemen risiko perusahaan.
Tanpa hubungan tersebut, tim keamanan mungkin berfokus pada banyak temuan teknis tanpa mengetahui mana yang paling penting bagi bisnis.
Langkah pertama adalah menentukan konteks organisasi dan aset yang perlu dilindungi. Setelah itu, perusahaan dapat mengidentifikasi skenario ancaman, menilai kemungkinan dan dampaknya, serta menentukan perlakuan risiko.
Sebagai contoh, tim keamanan menemukan kerentanan kritis pada server yang terhubung ke internet dan mendukung layanan utama perusahaan.
Tim teknis dapat menjelaskan kerentanan serta opsi perbaikannya. Pemilik layanan kemudian mengevaluasi dampak perubahan terhadap operasional. Jika perbaikan membutuhkan penghentian layanan atau biaya tambahan, keputusan dapat dieskalasikan kepada pihak yang memiliki kewenangan.
Apabila perbaikan ditunda, risiko yang masih tersisa harus didokumentasikan, dilengkapi kontrol kompensasi jika memungkinkan, dan disetujui oleh pihak yang berwenang sesuai kebijakan perusahaan.
Proses ini memastikan bahwa keputusan keamanan tidak dibuat hanya berdasarkan pertimbangan teknis, tetapi juga mempertimbangkan dampak bisnis dan akuntabilitas.
6. Menggunakan Framework untuk Membangun Tata Kelola
Perusahaan tidak perlu membuat kerangka cybersecurity governance dari nol. Beberapa framework dapat digunakan sebagai referensi untuk membangun pendekatan yang lebih terstruktur.
NIST Cybersecurity Framework (CSF) 2.0
NIST CSF 2.0 menyediakan enam fungsi utama untuk mengelola risiko keamanan siber, yaitu Govern, Identify, Protect, Detect, Respond, dan Recover.
Fungsi Govern secara khusus membantu organisasi menetapkan strategi, kebijakan, peran, pengawasan, dan ekspektasi pengelolaan risiko siber.
Sementara itu, fungsi lainnya membantu memastikan bahwa arah tata kelola didukung oleh kegiatan identifikasi aset, penerapan kontrol, deteksi ancaman, respons insiden, dan pemulihan layanan.
Framework ini dapat digunakan oleh organisasi dengan berbagai ukuran dan tingkat kematangan keamanan.
ISO/IEC 27001
ISO/IEC 27001 merupakan standar untuk sistem manajemen keamanan informasi atau Information Security Management System (ISMS).
Standar ini membantu organisasi membangun proses sistematis untuk mengelola risiko keamanan informasi, menetapkan kontrol yang sesuai, serta mengevaluasi dan memperbaiki sistem manajemen secara berkelanjutan.
ISO/IEC 27001 relevan bagi perusahaan yang membutuhkan pendekatan formal terhadap pengelolaan keamanan informasi dan ingin menunjukkan kesesuaian melalui proses sertifikasi yang berlaku.
COBIT
COBIT merupakan framework untuk tata kelola dan manajemen informasi serta teknologi perusahaan.
COBIT dapat membantu organisasi memperjelas hubungan antara tujuan bisnis, pengelolaan teknologi, tanggung jawab, dan mekanisme pengukuran kinerja.
Dalam konteks keamanan siber, COBIT dapat digunakan sebagai referensi untuk menyelaraskan pengelolaan keamanan dengan tata kelola teknologi secara lebih luas.
Ketiga framework tersebut memiliki cakupan berbeda. Perusahaan dapat menggunakan satu framework sebagai kerangka utama dan memanfaatkan referensi lainnya sesuai kebutuhan, tanpa harus menerapkan seluruhnya sekaligus.
7. Mengukur Keberhasilan Program Cybersecurity Governance
Bagaimana perusahaan mengetahui apakah tata kelola keamanan sibernya berjalan dengan baik?
Jawabannya bukan hanya dengan menghitung jumlah perangkat keamanan yang terpasang atau banyaknya kebijakan yang sudah dibuat.
Perusahaan perlu menggunakan indikator yang menunjukkan apakah risiko dikelola secara efektif, tanggung jawab dijalankan, dan masalah ditindaklanjuti.
Berikut beberapa contoh Key Performance Indicators (KPI) yang dapat digunakan.
| Area | Contoh KPI | Tujuan |
|---|---|---|
| Kebijakan | Persentase kebijakan prioritas yang ditinjau tepat waktu | Memastikan kebijakan tetap relevan |
| Risiko | Persentase risiko tinggi yang memiliki rencana perlakuan | Memantau pengelolaan risiko |
| Kerentanan | Persentase temuan prioritas yang diselesaikan sesuai SLA | Mengukur ketepatan waktu perbaikan |
| Akses | Persentase peninjauan hak akses yang selesai | Memastikan akses tetap sesuai kebutuhan |
| Insiden | Persentase tindakan perbaikan insiden yang selesai sesuai target | Memantau tindak lanjut insiden |
| Pihak ketiga | Persentase pemasok kritis yang telah dinilai risikonya | Mengelola risiko rantai pasok |
| Audit | Persentase temuan audit yang ditutup sesuai tenggat | Mengukur penyelesaian kelemahan kontrol |
| Kesadaran | Persentase karyawan yang menyelesaikan pelatihan wajib | Memantau pelaksanaan program edukasi |
Indikator tersebut perlu disesuaikan dengan tujuan organisasi. Jumlah kebijakan yang ditinjau, misalnya, tidak otomatis menunjukkan bahwa keamanan meningkat. Perusahaan juga perlu mengevaluasi kualitas kebijakan dan efektivitas penerapannya.
Target KPI sebaiknya memiliki definisi yang konsisten, sumber data yang jelas, pemilik indikator, dan jadwal pelaporan yang sesuai.
8. Membuat Mekanisme Pelaporan kepada Manajemen
Salah satu tantangan dalam tata kelola keamanan siber adalah menyampaikan informasi teknis kepada manajemen dengan cara yang relevan untuk pengambilan keputusan.
Laporan yang hanya berisi jumlah alert, alamat IP, atau daftar kerentanan mungkin berguna bagi tim teknis, tetapi belum tentu cukup untuk menjelaskan risiko bisnis.
Manajemen membutuhkan informasi mengenai dampak, prioritas, tren, dan keputusan yang diperlukan.
Laporan berkala dapat mencakup:
Risiko keamanan siber yang paling signifikan.
Status mitigasi risiko prioritas.
Kerentanan kritis yang belum diselesaikan.
Insiden penting dan dampaknya terhadap layanan.
Kesiapan pemulihan serta hasil pengujian backup.
Status kepatuhan dan temuan audit.
Kebutuhan anggaran atau keputusan yang membutuhkan persetujuan manajemen.
Sebagai contoh, daripada hanya melaporkan bahwa terdapat sepuluh kerentanan kritis, laporan dapat menjelaskan berapa banyak kerentanan yang memengaruhi sistem penting, mana yang sedang dieksploitasi secara aktif, berapa lama temuan tersebut belum diselesaikan, dan tindakan apa yang diperlukan.
Informasi seperti ini membantu manajemen menentukan prioritas dan meminta pertanggungjawaban pihak terkait secara lebih tepat.
9. Menghubungkan Governance dengan SOC dan Incident Response
Bagi perusahaan yang memiliki Security Operations Center (SOC), tata kelola keamanan siber membantu memastikan bahwa aktivitas pemantauan dan respons insiden berjalan sesuai tujuan serta kewenangan yang jelas.
SOC dapat mendeteksi aktivitas mencurigakan, melakukan triase alert, menginvestigasi indikasi serangan, dan mengeskalasi insiden. Namun, SOC tetap membutuhkan aturan tentang siapa yang dapat mengisolasi endpoint, siapa yang menyetujui penghentian layanan, dan kapan insiden harus dilaporkan kepada manajemen.
Sebagai contoh, jika SOC mendeteksi indikasi ransomware pada server penting, tim perlu mengikuti prosedur yang menetapkan jalur eskalasi dan kewenangan respons.
Tim keamanan dapat merekomendasikan isolasi sistem untuk membatasi penyebaran. Pemilik layanan dan pihak yang berwenang perlu dilibatkan sesuai prosedur, terutama jika tindakan tersebut dapat memengaruhi operasional kritis.
Setelah insiden ditangani, perusahaan perlu mengevaluasi penyebab, efektivitas respons, serta tindakan perbaikan yang dibutuhkan.
Dengan demikian, cybersecurity governance membantu menghubungkan deteksi teknis dengan keputusan operasional, komunikasi, dan akuntabilitas perusahaan.
10. Kesalahan yang Perlu Dihindari
Ada beberapa kesalahan yang dapat mengurangi efektivitas tata kelola keamanan siber.
Menganggap keamanan hanya tanggung jawab tim IT. Risiko keamanan dapat berasal dari proses bisnis, pihak ketiga, keputusan investasi, dan perilaku pengguna. Karena itu, tanggung jawab harus dibagi sesuai peran masing-masing.
Membuat kebijakan tanpa memastikan penerapannya. Dokumen yang lengkap tidak cukup jika karyawan tidak memahami aturan atau pelanggaran tidak ditindaklanjuti.
Tidak memiliki jalur eskalasi yang jelas. Temuan kritis dapat tertunda jika tidak ada aturan tentang siapa yang harus mengambil keputusan dan kapan risiko harus dilaporkan.
Mengukur keberhasilan hanya dari jumlah alat keamanan. Teknologi perlu dinilai berdasarkan kontribusinya terhadap pengurangan risiko, bukan sekadar keberadaan atau jumlah lisensi.
Tidak mengevaluasi risiko residual. Setelah kontrol diterapkan, perusahaan tetap perlu memastikan bahwa risiko yang tersisa dapat diterima oleh pihak yang berwenang.
Mengabaikan evaluasi berkala. Perubahan sistem, ancaman, struktur organisasi, dan regulasi dapat membuat kebijakan lama tidak lagi memadai.
Menghindari kesalahan tersebut membantu perusahaan membangun tata kelola yang benar-benar mendukung pengelolaan risiko, bukan hanya memenuhi kebutuhan dokumentasi.
Kesimpulan
Cybersecurity Governance membantu perusahaan memastikan bahwa keamanan siber dikelola secara terarah, memiliki penanggung jawab yang jelas, dan selaras dengan kebutuhan bisnis.
Penerapannya mencakup pembagian kewenangan, penyusunan kebijakan, pengelolaan risiko, pengendalian internal, pelaporan kepada manajemen, serta evaluasi efektivitas program keamanan.
Framework seperti NIST CSF 2.0, ISO/IEC 27001, dan COBIT dapat membantu organisasi menyusun pendekatan yang sesuai dengan ukuran, kompleksitas, dan kebutuhan operasionalnya.
Perusahaan tidak harus langsung membangun struktur keamanan yang rumit. Langkah awal dapat dimulai dengan menentukan pemilik risiko, memperjelas jalur eskalasi, menetapkan kebijakan prioritas, dan memilih indikator yang benar-benar menggambarkan efektivitas pengendalian.
Pada akhirnya, tata kelola keamanan siber yang baik bukan sekadar tentang siapa yang memasang teknologi keamanan. Yang lebih penting adalah bagaimana perusahaan membuat keputusan, mengelola risiko, dan memastikan bahwa setiap pihak menjalankan tanggung jawabnya untuk melindungi sistem, data, serta keberlangsungan bisnis.
