Transformasi digital membuat layanan perbankan semakin bergantung pada aplikasi, jaringan, pusat data, cloud, API, hingga penyedia teknologi pihak ketiga. Ketergantungan tersebut memberikan kemudahan bagi nasabah, tetapi sekaligus memperluas risiko ketika serangan siber berhasil menembus pertahanan.
Karena itu, bank tidak cukup hanya memiliki firewall, antivirus, SOC, atau melakukan penetration testing. Pertanyaan yang lebih penting adalah: apakah bank mampu tetap menjalankan layanan kritikal, merespons insiden, dan memulihkan operasional ketika serangan benar-benar terjadi?
Kemampuan tersebut dapat diukur melalui cyber resilience assessment.
Apa Itu Cyber Resilience Assessment?
Cyber resilience assessment adalah proses untuk mengevaluasi kemampuan organisasi dalam mengantisipasi, menghadapi, mendeteksi, merespons, serta pulih dari insiden siber.
Assessment tidak hanya melihat teknologi keamanan. Evaluasi juga mencakup tata kelola, sumber daya manusia, manajemen risiko, incident response, business continuity, disaster recovery, hingga kesiapan pihak ketiga.
Sederhananya, cybersecurity berusaha mencegah serangan, sedangkan cyber resilience memastikan organisasi tetap mampu beroperasi dan pulih ketika pertahanan tidak sepenuhnya berhasil.
Untuk memahami fondasi pengelolaan risiko keamanan, baca juga pembahasan mengenai Cybersecurity Framework.
Mengapa Cyber Resilience Penting bagi Perbankan?
Gangguan siber di lingkungan bank dapat berdampak langsung pada layanan kepada nasabah. Contohnya, ransomware dapat membuat aplikasi tidak tersedia, serangan DDoS mengganggu kanal digital, atau kompromi akun privileged memberikan penyerang akses ke sistem kritikal.
Cyber resilience assessment membantu bank mengetahui apakah kontrol yang tersedia benar-benar mampu menghadapi kondisi tersebut.
Assessment juga semakin relevan dari sisi regulasi. SEOJK Nomor 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum mengatur proses ketahanan siber yang meliputi identifikasi aset, ancaman, dan kerentanan; pelindungan aset; deteksi insiden; serta penanggulangan dan pemulihan insiden. OJK juga mengatur penilaian tingkat maturitas keamanan siber secara tahunan.
Sementara itu, bagi penyelenggara yang termasuk lingkup pengaturan Bank Indonesia, PADG Nomor 24 Tahun 2024 mengatur penerapan keamanan sistem informasi dan ketahanan siber berdasarkan klasifikasi penyelenggara.
Apa Saja yang Dinilai dalam Cyber Resilience Assessment?
1. Tata Kelola dan Manajemen Risiko Siber
Assessment mengevaluasi apakah strategi dan kebijakan keamanan sudah didukung struktur tanggung jawab yang jelas.
Aspek yang diperiksa dapat mencakup:
kebijakan keamanan siber;
cyber risk register;
peran Direksi dan manajemen;
risk appetite;
pengelolaan risiko vendor.
2. Identifikasi dan Perlindungan Aset Kritikal
Bank perlu mengetahui sistem, aplikasi, data, dan infrastruktur mana yang paling penting bagi operasional.
Assessment kemudian mengevaluasi kontrol seperti identity and access management, privileged access, patch management, network security, encryption, dan vulnerability management.
3. Kemampuan Mendeteksi Serangan
Memiliki SOC atau SIEM belum otomatis berarti bank mampu mendeteksi serangan secara efektif.
Assessment perlu melihat kualitas monitoring, log management, alert handling, use case detection, threat intelligence, serta mekanisme eskalasi insiden.
4. Incident Response
Cyber resilience sangat ditentukan oleh kemampuan organisasi bertindak ketika insiden terjadi.
Evaluasi dapat mencakup:
incident response plan;
klasifikasi dan eskalasi insiden;
cyber incident playbook;
koordinasi lintas unit;
komunikasi dengan pihak ketiga;
forensic readiness.
5. Business Continuity dan Disaster Recovery
Assessment juga menguji apakah layanan kritikal dapat tetap tersedia atau dipulihkan sesuai target.
Area yang diperiksa meliputi BCP, DRP, sistem backup, Recovery Time Objective (RTO), Recovery Point Objective (RPO), serta hasil pengujian pemulihan.
Bagaimana Proses Cyber Resilience Assessment Dilakukan?
Secara umum, proses assessment dapat dilakukan melalui enam tahap:
Menentukan ruang lingkup berdasarkan proses bisnis, layanan, aplikasi, data, infrastruktur, dan vendor kritikal.
Meninjau dokumen dan kontrol, seperti kebijakan keamanan, SOP, risk register, BCP, DRP, dan incident response plan.
Melakukan wawancara dan validasi bukti untuk memastikan kontrol tidak hanya tersedia di dokumen, tetapi diterapkan.
Melakukan pengujian, misalnya vulnerability assessment, penetration testing, tabletop exercise, phishing simulation, atau simulasi insiden.
Melakukan gap dan maturity assessment untuk mengetahui kondisi saat ini serta kelemahannya.
Menyusun remediation roadmap berdasarkan risiko, dampak bisnis, prioritas, dan target penyelesaian.
OJK sendiri mengatur pengujian keamanan siber berdasarkan analisis kerentanan serta pengujian berdasarkan skenario. Pengujian berbasis skenario dilakukan secara berkala paling sedikit satu kali dalam satu tahun untuk memvalidasi proses penanggulangan dan pemulihan insiden. Bank juga dapat menggunakan pihak ketiga dalam melakukan pengujian dengan memperhatikan ketentuan yang berlaku.
Baca juga: Cara Kerja Penetration Testing untuk memahami salah satu metode pengujian teknis yang dapat mendukung assessment.
Cyber Resilience Assessment Bukan Sekadar Penetration Testing
Penetration testing berfokus mencari dan mengeksploitasi kerentanan teknis. Cyber resilience assessment memiliki ruang lingkup lebih luas karena mengevaluasi people, process, technology, governance, incident response, serta kemampuan pemulihan.
Dengan demikian, penetration testing dapat menjadi salah satu input cyber resilience assessment, tetapi tidak dapat menggantikan assessment secara keseluruhan.
Pelajari juga perbedaan Vulnerability Assessment dan Penetration Testing untuk menentukan jenis pengujian yang tepat.
Apa Output Cyber Resilience Assessment?
Assessment yang baik seharusnya menghasilkan lebih dari sekadar skor. Bank dapat memperoleh:
maturity level;
daftar gap dan kelemahan kontrol;
tingkat risiko;
hasil pengujian;
rekomendasi perbaikan;
prioritas quick wins;
remediation roadmap dan management action plan.
Hasil tersebut membantu manajemen menentukan investasi keamanan berdasarkan risiko yang paling signifikan.
Tingkatkan Ketahanan Siber melalui Cyber Security Services
Serangan siber tidak selalu dapat dicegah sepenuhnya. Karena itu, bank perlu memastikan organisasi memiliki kemampuan untuk mendeteksi, merespons, mempertahankan layanan, dan pulih secara cepat ketika insiden terjadi.
Melalui Cyber Security Services, organisasi dapat melakukan cyber resilience assessment, audit keamanan informasi, pengujian kontrol, maturity assessment, hingga audit KKS secara lebih terstruktur dan independen.
Jika organisasi Anda ingin mengetahui gap keamanan dan tingkat kesiapan menghadapi serangan siber, konsultasikan kebutuhan Cyber Security Services bersama PT Integra Teknologi Solusi. Assessment yang tepat dapat membantu menentukan prioritas perbaikan sekaligus memperkuat ketahanan siber secara berkelanjutan.
Pelajari juga layanan Audit Keamanan Informasi sebagai bagian dari evaluasi keamanan organisasi.
