Digitalisasi perbankan membuat layanan semakin terhubung. Mobile banking, API, cloud, sistem pembayaran, layanan pihak ketiga, hingga akses ke sistem kritikal meningkatkan efisiensi, tetapi juga memperluas risiko keamanan siber.
Memiliki firewall, antivirus, SIEM, atau melakukan penetration testing belum otomatis memastikan keamanan bank sudah memadai. Bank tetap perlu mengetahui apakah kontrol yang diterapkan benar-benar efektif dan sesuai dengan risiko yang dihadapi.
Di sinilah jasa cybersecurity assessment dibutuhkan. Assessment membantu bank melihat kondisi keamanan secara menyeluruh, mengidentifikasi gap, menentukan tingkat risiko, serta menyusun prioritas perbaikan.
Apa Itu Cybersecurity Assessment?
Cybersecurity assessment adalah proses evaluasi terstruktur terhadap kondisi keamanan siber organisasi yang mencakup aspek people, process, technology, dan governance.
Assessment dapat mengevaluasi antara lain:
tata kelola dan manajemen risiko siber;
pengelolaan aset dan kerentanan;
identity and access management;
keamanan jaringan, aplikasi, dan infrastruktur;
perlindungan data;
security monitoring;
incident response dan recovery; serta
risiko keamanan pihak ketiga.
Hasilnya bukan hanya daftar kelemahan, tetapi gambaran hubungan antara kondisi saat ini, gap, risiko, prioritas, dan rencana perbaikan.
Cybersecurity Assessment Berbeda dengan Penetration Testing
Penetration testing berfokus pada pengujian teknis untuk mengetahui apakah kerentanan tertentu dapat dieksploitasi.
Sementara itu, cybersecurity assessment memiliki cakupan lebih luas. Assessment dapat mengevaluasi kebijakan, proses, penerapan kontrol, risiko, kesiapan respons insiden, hingga tingkat kematangan keamanan siber.
Cybersecurity audit juga memiliki karakteristik berbeda karena pemeriksaannya dilakukan berdasarkan kriteria audit tertentu untuk menilai kesesuaian serta efektivitas kontrol.
Baca juga pembahasan tentang Cybersecurity Audit untuk Bank.
Kapan Bank Membutuhkan Jasa Cybersecurity Assessment?
Assessment tidak harus menunggu sampai serangan siber terjadi. Beberapa kondisi berikut dapat menjadi indikator bahwa bank perlu melakukan evaluasi keamanan yang lebih menyeluruh.
1. Kondisi Keamanan Belum Terukur secara Objektif
Bank mungkin telah menggunakan berbagai security tools, tetapi belum memiliki gambaran terpadu mengenai efektivitas kontrol tersebut.
Cybersecurity assessment membantu memberikan baseline sehingga manajemen dapat mengetahui area yang sudah memadai dan area yang masih membutuhkan peningkatan.
2. Terjadi Perubahan Besar pada Teknologi
Assessment perlu dipertimbangkan ketika bank melakukan:
migrasi cloud;
implementasi aplikasi atau layanan digital baru;
perubahan arsitektur jaringan;
integrasi API;
modernisasi sistem kritikal; atau
integrasi dengan fintech dan pihak ketiga.
Perubahan tersebut dapat menciptakan attack surface baru yang belum tercakup dalam kontrol sebelumnya.
3. Setelah Terjadi Insiden Siber
Ransomware, kebocoran data, unauthorized access, malware, atau account compromise dapat menunjukkan adanya kelemahan yang lebih luas.
Assessment membantu bank tidak hanya melihat penyebab langsung insiden, tetapi juga menilai kelemahan pada proses deteksi, respons, pemulihan, maupun tata kelolanya.
4. Temuan Audit Terus Berulang
Repeated findings dapat menunjukkan bahwa tindakan perbaikan sebelumnya belum menyelesaikan akar masalah.
Cybersecurity assessment dapat membantu mengevaluasi kembali kontrol dan menyusun remediation berdasarkan tingkat risiko, bukan sekadar menutup temuan secara administratif.
5. Bank Perlu Mengetahui Tingkat Maturitas Keamanan Siber
Bagi bank umum, hal ini juga berkaitan dengan regulasi OJK.
SEOJK Nomor 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum mengatur antara lain penilaian risiko inheren keamanan siber dan tingkat maturitas keamanan siber. Penilaian risiko inheren memperhatikan faktor teknologi, produk bank, karakteristik organisasi, serta rekam jejak insiden siber.
Assessment dapat membantu bank mendapatkan pemetaan kondisi sebelum menentukan program peningkatan keamanan secara lebih terukur.
6. Bank Perlu Meningkatkan Kesiapan KKS
Untuk pihak yang termasuk dalam cakupan pengaturan Bank Indonesia, PBI Nomor 2 Tahun 2024 mengatur Keamanan Sistem Informasi dan Ketahanan Siber (KKS).
Kerangka KKS mencakup tata kelola, identifikasi dan asesmen risiko, proteksi, deteksi, respons, serta pemulihan.
Karena itu, cybersecurity assessment juga dapat digunakan untuk membantu melihat gap kontrol dan kesiapan sebelum pelaksanaan evaluasi atau Audit KKS.
Baca juga: Siapa yang Wajib Melakukan Audit KKS?
Bagaimana Proses Cybersecurity Assessment Dilakukan?
Secara umum, proses assessment dapat dilakukan melalui enam tahap:
Menentukan scope dan kriteria assessment, termasuk sistem, proses, unit, serta regulasi atau framework yang digunakan.
Mengumpulkan evidence, seperti kebijakan, SOP, risk register, log, konfigurasi, dan laporan insiden.
Melakukan wawancara dan walkthrough dengan pemilik proses.
Mengevaluasi penerapan dan efektivitas kontrol.
Melakukan gap dan risk analysis berdasarkan likelihood, impact, serta criticality.
Menyusun laporan dan remediation roadmap berdasarkan prioritas risiko.
Pendekatan tersebut membantu membedakan antara kontrol yang sekadar terdokumentasi dengan kontrol yang benar-benar diterapkan dan efektif.
Apa Output Cybersecurity Assessment?
Jasa cybersecurity assessment yang komprehensif dapat menghasilkan:
executive summary;
current cybersecurity posture;
maturity assessment;
control gap matrix;
daftar temuan dan evidence;
risk rating;
rekomendasi perbaikan;
remediation roadmap; dan
management action plan.
Output tersebut membantu manajemen menjawab tiga pertanyaan penting: di mana posisi keamanan saat ini, risiko apa yang paling penting, dan apa yang harus diperbaiki terlebih dahulu?
Perkuat Keamanan Siber Bank dengan Cyber Security Services
Cybersecurity assessment sebaiknya tidak berhenti pada checklist compliance. Assessment perlu menghasilkan gambaran objektif mengenai efektivitas kontrol, risiko yang masih tersisa, serta prioritas peningkatan keamanan.
Melalui Cyber Security Services PT Integra Teknologi Solusi, organisasi perbankan dapat memperoleh dukungan dalam cybersecurity assessment, evaluasi kontrol, identifikasi gap dan risiko, Audit KKS, hingga penyusunan rekomendasi serta roadmap perbaikan.
Untuk kebutuhan pemeriksaan keamanan yang lebih luas, pelajari juga Audit Security Services.
Konsultasikan kebutuhan Cybersecurity Assessment atau Audit KKS bersama tim Integra untuk membantu membangun keamanan dan ketahanan siber yang lebih terukur.
