Serangan ransomware, kegagalan pusat data, gangguan jaringan, hingga kerusakan infrastruktur dapat membuat layanan digital berhenti meskipun organisasi telah memiliki berbagai kontrol keamanan.
Karena itu, keamanan siber tidak cukup hanya berfokus pada pencegahan serangan. Organisasi juga harus mampu mempertahankan layanan kritikal dan memulihkan sistem ketika gangguan benar-benar terjadi.
Kemampuan inilah yang dievaluasi melalui disaster recovery audit dan penilaian business continuity. Bagi pemerintahan, BUMN/BUMD, perbankan, serta organisasi dengan layanan kritikal, keduanya menjadi bagian penting dalam membangun ketahanan siber.
Apa Itu Disaster Recovery dan Business Continuity?
Business Continuity Plan (BCP) adalah rencana untuk memastikan fungsi dan proses bisnis kritikal tetap dapat berjalan ketika terjadi gangguan. Cakupannya dapat meliputi pelayanan kepada masyarakat, transaksi nasabah, komunikasi, operasional, hingga koordinasi dengan pihak ketiga.
Sementara itu, Disaster Recovery Plan (DRP) lebih berfokus pada pemulihan teknologi informasi, seperti aplikasi, server, database, jaringan, dan infrastruktur setelah insiden.
NIST mendefinisikan DRP sebagai rencana tertulis untuk memulihkan satu atau lebih sistem informasi. Dengan demikian, DRP dapat dipandang sebagai salah satu komponen penting dalam strategi business continuity.
Apa Perbedaan Business Continuity dan Disaster Recovery?
Perbedaannya terletak pada fokus utama.
Business continuity: memastikan proses dan layanan bisnis kritikal tetap berjalan.
Disaster recovery: memastikan sistem, data, dan infrastruktur TI dapat dipulihkan.
BCP: mencakup aspek manusia, proses, lokasi kerja, komunikasi, teknologi, dan pihak ketiga.
DRP: lebih banyak membahas backup, recovery, failover, disaster recovery site, aplikasi, dan infrastruktur.
Keduanya harus saling terhubung. Sistem mungkin berhasil dipulihkan, tetapi pemulihan tersebut belum tentu efektif apabila tidak sesuai dengan kebutuhan proses bisnis.
Mengapa BCP dan DRP Diperiksa dalam Audit Keamanan Siber?
NIST Cybersecurity Framework (CSF) 2.0 mengelompokkan pengelolaan risiko siber ke dalam enam fungsi, yaitu Govern, Identify, Protect, Detect, Respond, dan Recover. Fungsi Recover berfokus pada pemulihan aset dan operasi setelah insiden keamanan siber.
Artinya, ketahanan siber tidak hanya dinilai berdasarkan kemampuan mencegah dan mendeteksi serangan, tetapi juga kemampuan organisasi untuk kembali beroperasi.
Hal serupa tercermin dalam ISO 22301:2019 yang memberikan persyaratan sistem manajemen untuk membantu organisasi mempersiapkan, merespons, dan pulih dari gangguan.
Apa yang Diperiksa dalam Disaster Recovery Audit?
1. Business Impact Analysis
Auditor akan melihat apakah organisasi telah melakukan Business Impact Analysis (BIA) untuk menentukan:
proses dan layanan kritikal;
aplikasi serta infrastruktur pendukung;
dampak apabila layanan berhenti;
ketergantungan antarsistem;
prioritas pemulihan.
Hasil BIA menjadi dasar dalam menentukan strategi business continuity dan disaster recovery.
2. RTO dan RPO
Dua parameter penting dalam pemulihan adalah:
Recovery Time Objective (RTO), yaitu target waktu yang ditetapkan untuk memulihkan layanan setelah gangguan.
Recovery Point Objective (RPO), yaitu batas toleransi kehilangan data berdasarkan titik pemulihan yang dapat diterima.
Auditor perlu memastikan RTO dan RPO tidak hanya ditentukan oleh kemampuan teknologi, tetapi juga sesuai kebutuhan bisnis.
3. Backup dan Kemampuan Recovery
Memiliki backup belum berarti organisasi siap menghadapi bencana.
Audit dapat memeriksa frekuensi backup, lokasi penyimpanan, enkripsi, kontrol akses, retensi, monitoring keberhasilan backup, serta restore testing.
Hal terpenting adalah memastikan data benar-benar dapat dikembalikan saat dibutuhkan.
4. Infrastruktur Disaster Recovery
Auditor juga dapat mengevaluasi kesiapan:
secondary site atau disaster recovery center;
redundansi infrastruktur;
cloud recovery;
mekanisme failover;
konektivitas alternatif.
Strategi tersebut harus sesuai dengan tingkat kritikal sistem dan target pemulihan yang telah ditentukan.
5. Prosedur dan Tanggung Jawab
BCP dan DRP perlu menjelaskan kondisi aktivasi, jalur eskalasi, personel yang bertanggung jawab, prosedur komunikasi, hingga tahapan kembali ke kondisi normal.
Ketergantungan yang terlalu besar pada satu orang juga dapat menjadi risiko.
6. Ketergantungan Pihak Ketiga
Cloud provider, data center, jaringan telekomunikasi, dan vendor aplikasi dapat menjadi bagian kritikal dari layanan.
Karena itu, audit perlu melihat SLA, tanggung jawab vendor, mekanisme eskalasi, dan kesiapan alternatif apabila penyedia mengalami gangguan.
7. Pengujian BCP dan DRP
Dokumen yang lengkap belum membuktikan bahwa rencana dapat dijalankan.
Pengujian dapat berupa tabletop exercise, restore test, simulation, failover test, hingga pengujian pemulihan secara lebih menyeluruh.
NIST SP 800-34 juga menekankan evaluasi sistem dan operasi untuk menentukan kebutuhan serta prioritas contingency planning.
Dokumen yang Perlu Disiapkan Saat Audit
Beberapa bukti yang umumnya relevan meliputi:
Business Continuity Plan dan Disaster Recovery Plan;
Business Impact Analysis;
daftar sistem dan layanan kritikal;
RTO dan RPO;
prosedur dan log backup;
bukti restore test atau failover test;
daftar personel dan kontak darurat;
SLA vendor kritikal;
laporan DR drill;
corrective action dan tindak lanjut hasil pengujian.
Persiapan dokumen lain dapat dilihat pada Checklist Audit Keamanan Siber, sedangkan identifikasi risiko sebelum audit dapat diperdalam melalui artikel Cybersecurity Risk Assessment.
Temuan yang Sering Muncul dalam Disaster Recovery Audit
Beberapa kondisi yang perlu diwaspadai antara lain DRP tersedia tetapi tidak pernah diuji, RTO/RPO belum ditetapkan, backup tidak pernah diuji proses restore-nya, daftar kontak sudah tidak relevan, hingga sistem baru belum dimasukkan ke dalam rencana pemulihan.
Masalah lain adalah adanya hasil DR drill tanpa tindak lanjut. Padahal, pengujian seharusnya menghasilkan evaluasi dan perbaikan agar kesiapan organisasi terus meningkat.
Peran Audit KKS dalam Memperkuat Cyber Resilience
Audit Keamanan Siber dan Ketahanan Siber (KKS) dapat membantu organisasi menilai apakah kontrol keamanan dan mekanisme pemulihan sudah efektif, bukan sekadar tersedia dalam dokumen.
Melalui audit, organisasi dapat memperoleh gambaran mengenai gap kontrol, efektivitas BCP dan DRP, kesiapan sistem kritikal, kecukupan bukti pengujian, serta prioritas perbaikannya.
Penilaian ini juga dapat dikombinasikan dengan audit incident response untuk melihat kesiapan organisasi secara lebih menyeluruh dari tahap respons hingga pemulihan.
Tingkatkan Kesiapan melalui Cyber Security Services
Gangguan siber dapat terjadi kapan saja. Pertanyaan pentingnya bukan hanya apakah organisasi mampu mencegah serangan, tetapi seberapa cepat layanan kritikal dapat dipulihkan ketika insiden terjadi.
Melalui Cyber Security Services, organisasi dapat melakukan disaster recovery audit, evaluasi business continuity, assessment kontrol keamanan, hingga audit KKS secara independen.
Konsultasikan kebutuhan audit keamanan siber organisasi Anda bersama tim kami untuk mengidentifikasi gap, mengevaluasi kesiapan BCP dan DRP, serta memperkuat ketahanan operasional sebelum insiden terjadi.
