Ancaman siber tidak hanya berisiko menyebabkan gangguan sistem, tetapi juga dapat berdampak pada kerahasiaan data, keberlangsungan layanan, kepatuhan, hingga reputasi organisasi. Karena itu, pemerintahan, BUMN/BUMD, perbankan, dan organisasi lain perlu mengetahui risiko yang paling kritis sebelum menjalani audit keamanan.
Salah satu langkah yang dapat dilakukan adalah cybersecurity risk assessment. Proses ini membantu organisasi memahami aset yang perlu dilindungi, ancaman yang dihadapi, kerentanan yang tersedia, hingga kontrol keamanan yang perlu diperkuat.
Apa Itu Cybersecurity Risk Assessment?
Cybersecurity risk assessment adalah proses untuk mengidentifikasi, menganalisis, dan memprioritaskan risiko keamanan siber yang dapat memengaruhi aset, sistem, data, maupun operasional organisasi.
Menurut National Institute of Standards and Technology (NIST), risk assessment mencakup identifikasi dan estimasi risiko terhadap operasional serta aset organisasi dengan mempertimbangkan ancaman, kerentanan, dan mitigasi melalui kontrol keamanan.
Secara sederhana, tingkat risiko biasanya ditentukan dengan melihat dua faktor utama, yaitu kemungkinan terjadinya risiko (likelihood) dan besarnya dampak (impact). NIST juga menjelaskan risiko sebagai fungsi dari dampak merugikan dan kemungkinan terjadinya suatu peristiwa.
Mengapa Risk Assessment Penting Sebelum Audit Keamanan?
Audit keamanan berfokus pada evaluasi apakah pengendalian keamanan telah diterapkan dan berjalan secara memadai. Sementara itu, risk assessment membantu organisasi mengetahui lebih dahulu area mana yang memiliki risiko paling signifikan.
Dengan demikian, persiapan audit dapat lebih terarah. Organisasi tidak sekadar mengumpulkan dokumen atau mengecek konfigurasi sistem, tetapi memahami alasan suatu kontrol perlu menjadi prioritas.
Sebagai contoh, sebuah bank memiliki database berisi informasi nasabah. Jika autentikasi administrator masih hanya menggunakan kata sandi tanpa multi-factor authentication (MFA), organisasi dapat mengidentifikasi risiko penyalahgunaan kredensial, menilai dampaknya, kemudian memprioritaskan penguatan kontrol sebelum audit.
Untuk memahami audit secara lebih luas, baca juga Jasa Audit Keamanan Informasi.
Tahapan Cybersecurity Risk Assessment
Pelaksanaan cyber risk assessment dapat berbeda sesuai metodologi organisasi. Namun, secara umum prosesnya mencakup tahapan berikut.
Menentukan ruang lingkup assessment. Tentukan sistem, aplikasi, infrastruktur, unit kerja, data, serta proses bisnis yang akan dianalisis.
Mengidentifikasi aset kritis. Petakan aset seperti database, server, aplikasi utama, jaringan, layanan cloud, hingga data pribadi.
Mengidentifikasi ancaman dan kerentanan. Ancaman dapat berupa ransomware, phishing, credential theft, insider threat, atau serangan pihak ketiga. Kerentanan dapat berupa sistem belum diperbarui, konfigurasi tidak aman, hingga hak akses berlebihan.
Mengevaluasi kontrol yang tersedia. Tinjau kontrol seperti firewall, MFA, monitoring, backup, pengelolaan akses, dan prosedur respons insiden.
Menilai likelihood dan impact. Tentukan kemungkinan risiko terjadi serta dampaknya terhadap layanan, keuangan, kepatuhan, data, dan reputasi.
Menentukan tingkat dan prioritas risiko. Risiko dapat dikelompokkan menjadi rendah, sedang, tinggi, atau kritis sesuai metodologi organisasi.
Menyusun risk treatment plan. Tentukan tindakan mitigasi, penanggung jawab, target penyelesaian, dan risiko residual setelah kontrol diterapkan.
Hasil akhirnya biasanya dituangkan dalam risk register yang memberikan gambaran mengenai aset, ancaman, kerentanan, kontrol yang tersedia, tingkat risiko, serta rencana penanganannya.
Risk Assessment dan Security Audit, Apa Bedanya?
Meskipun saling berkaitan, keduanya tidak sama.
Cybersecurity risk assessment menjawab pertanyaan: “Risiko apa yang dapat terjadi dan mana yang harus diprioritaskan?”
Sementara security audit lebih berfokus menjawab: “Apakah kontrol keamanan telah diterapkan dan berjalan sebagaimana yang dipersyaratkan atau direncanakan?”
Karena itu, risk assessment dapat menjadi dasar penting untuk menentukan area berisiko tinggi yang perlu mendapatkan perhatian dalam persiapan maupun pelaksanaan audit.
Baca juga artikel Pengujian Keamanan Sistem Teknologi Informasi untuk memahami metode evaluasi keamanan lainnya.
Cybersecurity Risk Assessment dalam Persiapan Audit KKS
Bagi Penyelenggara Sistem Pembayaran, pelaku Pasar Uang dan Pasar Valuta Asing, serta pihak lain yang diatur dan diawasi Bank Indonesia, risiko siber juga berkaitan dengan ketentuan Keamanan Sistem Informasi dan Ketahanan Siber (KKS).
Bank Indonesia melalui PBI Nomor 2 Tahun 2024 mengatur KKS sebagai bagian dari upaya mitigasi risiko siber agar penyelenggara mampu membangun kemampuan yang antisipatif, adaptif, dan proaktif. Ketentuan tersebut kemudian diperkuat melalui PADG Nomor 24 Tahun 2024.
Dalam konteks tersebut, penilaian risiko membantu organisasi memahami eksposur risiko, mengevaluasi kontrol, serta menentukan prioritas perbaikan sebelum memasuki proses audit KKS.
Kapan Organisasi Perlu Melakukan Risk Assessment?
Cybersecurity risk assessment relevan dilakukan sebelum audit keamanan atau audit KKS, ketika terjadi perubahan besar pada sistem dan infrastruktur, saat migrasi ke cloud, setelah insiden keamanan, sebelum implementasi sistem kritis, atau ketika profil ancaman organisasi berubah.
Assessment juga perlu diperbarui secara berkala karena sistem, proses bisnis, teknologi, dan ancaman siber terus berkembang.
Persiapkan Audit dengan Cyber Security Services
Risk assessment yang baik membantu organisasi memahami risiko mana yang membutuhkan perhatian terlebih dahulu, sehingga investasi keamanan dan persiapan audit dapat dilakukan berdasarkan prioritas yang jelas.
Jika organisasi Anda sedang mempersiapkan audit keamanan siber atau audit KKS, Cyber Security Services dapat membantu melakukan evaluasi kesenjangan keamanan, efektivitas pengendalian, dan kesiapan organisasi menghadapi kebutuhan audit.
Konsultasikan kebutuhan Cyber Security Services untuk membantu organisasi membangun proses assessment dan audit keamanan yang lebih sistematis, terukur, dan sesuai kebutuhan bisnis maupun regulasi.
