Organisasi dapat memiliki firewall, antivirus, sistem monitoring, hingga berbagai kebijakan keamanan informasi. Namun, banyaknya kontrol tidak otomatis menunjukkan bahwa keamanan siber sudah memadai.
Masalahnya, kontrol yang terdokumentasi belum tentu diterapkan secara konsisten. Teknologi yang sebelumnya efektif pun dapat menjadi tidak memadai ketika sistem, ancaman, regulasi, atau proses bisnis berubah.
Di sinilah cybersecurity gap assessment dibutuhkan. Assessment ini membantu organisasi mengetahui kondisi keamanan saat ini, menemukan kesenjangan kontrol, serta menentukan perbaikan yang harus diprioritaskan.
Apa Itu Cybersecurity Gap Assessment?
Cybersecurity gap assessment adalah proses membandingkan kondisi keamanan siber yang berjalan saat ini (current state) dengan kondisi yang ingin atau harus dicapai (target state).
Target tersebut dapat mengacu pada standar, regulasi, kebijakan internal, kebutuhan bisnis, maupun framework keamanan seperti NIST Cybersecurity Framework (CSF).
Secara sederhana, prosesnya dapat digambarkan sebagai:
Current State → Gap → Risiko → Rekomendasi → Target State
NIST Cybersecurity Framework 2.0 sendiri mengelompokkan pengelolaan risiko keamanan siber ke dalam enam fungsi, yaitu Govern, Identify, Protect, Detect, Respond, dan Recover. Kerangka ini dapat membantu organisasi melihat keamanan siber secara menyeluruh, bukan hanya dari sisi teknologi.
Mengapa Cybersecurity Gap Assessment Penting?
Transformasi digital meningkatkan ketergantungan organisasi terhadap aplikasi, jaringan, cloud, data, dan penyedia layanan pihak ketiga. Perubahan tersebut juga dapat menambah eksposur terhadap risiko siber.
Cybersecurity gap assessment membantu organisasi:
mengetahui kontrol yang belum tersedia;
menemukan kontrol yang sudah ada tetapi belum efektif;
mengetahui kesenjangan antara kebijakan dan implementasi;
menentukan risiko dari setiap gap;
memprioritaskan investasi keamanan;
mempersiapkan audit atau compliance assessment; dan
menyusun roadmap peningkatan keamanan siber.
Dengan demikian, organisasi tidak hanya mengetahui apa yang kurang, tetapi juga mana yang harus diperbaiki terlebih dahulu.
Area yang Dinilai dalam Cybersecurity Gap Assessment
Ruang lingkup assessment dapat disesuaikan dengan karakteristik organisasi. Namun, beberapa area berikut umumnya perlu dievaluasi.
1. Tata Kelola dan Manajemen Risiko
Assessment mengevaluasi strategi keamanan siber, kebijakan, pembagian tanggung jawab, risk assessment, pelaporan kepada manajemen, hingga keterlibatan pimpinan.
2. Perlindungan Aset dan Data
Penilaian dapat mencakup inventaris aset, klasifikasi informasi, backup, enkripsi, perlindungan data, serta pengelolaan konfigurasi sistem.
3. Identity and Access Management
Kontrol seperti multi-factor authentication (MFA), privileged access, segregasi tugas, pengelolaan akun, serta evaluasi hak akses secara berkala perlu diperiksa.
4. Vulnerability dan Security Monitoring
Organisasi perlu mengevaluasi vulnerability management, patch management, endpoint security, logging, monitoring, serta kemampuan mendeteksi aktivitas yang tidak normal.
5. Incident Response dan Recovery
Assessment juga melihat apakah organisasi memiliki incident response plan, mekanisme eskalasi, simulasi penanganan insiden, disaster recovery, dan pengujian pemulihan layanan.
6. Risiko Pihak Ketiga
Vendor yang memiliki akses ke data atau sistem dapat menambah risiko. Karena itu, persyaratan keamanan, akses vendor, SLA, dan mekanisme pelaporan insiden perlu dievaluasi.
Bagaimana Proses Cybersecurity Gap Assessment Dilakukan?
1. Menentukan Scope dan Kriteria
Organisasi terlebih dahulu menentukan sistem, proses bisnis, unit, regulasi, dan framework yang akan digunakan sebagai baseline.
2. Mengumpulkan Evidence
Assessor memeriksa kebijakan, SOP, risk register, konfigurasi, log, laporan insiden, bukti monitoring, serta dokumen pendukung lainnya.
3. Melakukan Interview dan Walkthrough
Tahap ini memastikan bahwa prosedur yang tertulis benar-benar dijalankan dalam aktivitas operasional.
4. Menilai Current State
Setiap kontrol kemudian dapat dikategorikan, misalnya menjadi:
implemented;
partially implemented; atau
not implemented.
5. Mengidentifikasi Gap dan Risiko
Kondisi aktual dibandingkan dengan target. Gap kemudian dianalisis berdasarkan dampak, kemungkinan risiko, kritikalitas sistem, dan persyaratan kepatuhan.
6. Menyusun Remediation Plan
Temuan sebaiknya tidak berhenti sebagai daftar kekurangan. Organisasi perlu menentukan quick wins, perbaikan jangka pendek, menengah, hingga target jangka panjang.
Contoh Temuan Cybersecurity Gap Assessment
Misalnya, sebuah organisasi telah memiliki kebijakan penggunaan MFA, tetapi implementasinya baru mencakup administrator.
Gap-nya adalah akun pengguna yang mengakses sistem kritikal belum seluruhnya menggunakan MFA. Risiko yang muncul adalah meningkatnya kemungkinan pengambilalihan akun ketika kredensial bocor.
Rekomendasinya dapat berupa perluasan MFA berdasarkan tingkat kritikalitas aplikasi dan risiko pengguna.
Contoh lain adalah organisasi melakukan backup setiap hari, tetapi belum pernah melakukan restoration test. Dalam kondisi tersebut, proses backup memang tersedia, tetapi efektivitas pemulihannya belum terbukti.
Hubungan Cybersecurity Gap Assessment dengan Audit KKS
Bagi pihak yang berada dalam cakupan pengaturan Bank Indonesia, assessment juga dapat mendukung kesiapan penerapan Keamanan Sistem Informasi dan Ketahanan Siber (KKS).
PBI Nomor 2 Tahun 2024 mengatur KKS bagi penyelenggara sistem pembayaran, pelaku pasar uang dan pasar valuta asing, serta pihak lain yang diatur dan diawasi Bank Indonesia. Ruang lingkupnya antara lain mencakup tata kelola, identifikasi dan asesmen risiko, proteksi, deteksi, respons, serta pemulihan.
Ketentuan pelaksanaannya kemudian diperinci melalui PADG Nomor 24 Tahun 2024.
Cybersecurity gap assessment dapat membantu memetakan kesiapan sebelum audit:
Gap Assessment → Remediation → Readiness → Audit KKS
Namun, gap assessment bukan pengganti audit formal karena tujuan dan tingkat assurance keduanya berbeda.
Kapan Organisasi Perlu Melakukan Gap Assessment?
Cybersecurity gap assessment terutama relevan ketika organisasi akan menghadapi audit, mengadopsi regulasi baru, melakukan transformasi sistem atau cloud, mengalami insiden siber, atau belum pernah mengevaluasi efektivitas kontrol secara menyeluruh.
Assessment juga dapat dilakukan secara berkala agar peningkatan cybersecurity posture dapat diukur dari waktu ke waktu.
Temukan Gap Keamanan dengan Cyber Security Services
Mengetahui adanya kelemahan merupakan langkah awal. Tantangan berikutnya adalah menentukan tingkat risiko, prioritas perbaikan, serta memastikan remediation benar-benar meningkatkan keamanan organisasi.
Melalui Cyber Security Services, organisasi dapat memperoleh dukungan dalam cybersecurity gap assessment, risk assessment, evaluasi kontrol, readiness assessment, hingga audit KKS.
Anda juga dapat mempelajari layanan Audit Keamanan Informasi untuk mengevaluasi kebijakan, prosedur, kontrol, dan risiko keamanan informasi secara lebih komprehensif.
Ingin mengetahui kesenjangan kontrol keamanan siber di organisasi Anda? Konsultasikan kebutuhan Cybersecurity Gap Assessment atau Audit KKS melalui Cyber Security Services untuk memetakan risiko dan menyusun prioritas perbaikan secara lebih terarah.
