Audit keamanan siber sering kali menjadi tantangan bukan karena organisasi sama sekali tidak memiliki kontrol keamanan, tetapi karena dokumen, implementasi, dan bukti pelaksanaannya belum siap diperiksa.
Kebijakan mungkin sudah tersedia, tetapi kapan terakhir diperbarui? Vulnerability assessment sudah dilakukan, tetapi apakah temuannya sudah diremediasi? Prosedur incident response sudah dibuat, tetapi apakah pernah diuji?
Di sinilah cybersecurity audit readiness menjadi penting. Organisasi perlu memastikan bahwa kontrol keamanan tidak hanya terdokumentasi, tetapi benar-benar diterapkan dan memiliki evidence yang dapat diverifikasi.
Bagi perbankan, BUMN/BUMD, instansi pemerintah, perusahaan fintech, dan organisasi dengan tuntutan kepatuhan tinggi, kesiapan tersebut dapat membantu proses audit berjalan lebih terstruktur sekaligus mengurangi temuan yang sebenarnya dapat diselesaikan lebih awal.
Apa Itu Cybersecurity Audit Readiness?
Cybersecurity audit readiness adalah tingkat kesiapan organisasi untuk menghadapi pemeriksaan keamanan siber berdasarkan regulasi, standar, atau kriteria audit tertentu.
Kesiapan audit idealnya memiliki lima komponen:
Requirement → Control → Implementation → Evidence → Responsible Owner
Artinya, memiliki dokumen kebijakan saja belum cukup. Organisasi harus mampu menunjukkan bahwa kontrol tersebut dijalankan secara konsisten.
Contohnya, dalam pengelolaan akses pengguna, auditor tidak hanya membutuhkan SOP access control. Bukti seperti persetujuan pemberian akses, daftar privileged account, hasil user access review, dan log aktivitas juga dapat diperlukan.
Mengapa Cybersecurity Audit Readiness Penting?
Persiapan sebelum audit memberikan kesempatan kepada organisasi untuk menemukan gap sebelum ditemukan oleh auditor.
Beberapa manfaatnya antara lain:
mengidentifikasi kontrol yang belum diterapkan secara efektif;
memastikan dokumen dan kebijakan masih relevan;
mengumpulkan audit evidence secara terstruktur;
menyelesaikan temuan keamanan yang belum diremediasi;
memperjelas PIC setiap kontrol;
mempercepat proses penyediaan data kepada auditor.
Bagi bank umum, misalnya, POJK No. 11/POJK.03/2022 mencakup kewajiban terkait ketahanan dan keamanan siber, termasuk identifikasi aset, ancaman dan kerentanan, perlindungan aset, deteksi insiden, pemulihan, penilaian maturitas, serta pengujian keamanan siber.
Checklist Cybersecurity Audit Readiness
Sebelum pemeriksaan dilakukan, berikut area yang sebaiknya diperiksa.
1. Tentukan Scope dan Kriteria Audit
Pastikan organisasi memahami:
sistem dan aplikasi yang diperiksa;
unit kerja yang masuk ruang lingkup;
periode pemeriksaan;
regulasi atau framework yang digunakan;
infrastruktur dan pihak ketiga yang relevan.
Scope yang jelas mencegah tim menghabiskan waktu mengumpulkan bukti yang tidak diperlukan.
2. Petakan Regulasi dan Security Control
Identifikasi requirement yang berlaku, misalnya ISO/IEC 27001, regulasi OJK, ketentuan Bank Indonesia, kebijakan internal, atau framework keamanan lainnya.
Untuk pihak yang berada dalam ruang lingkupnya, PBI No. 2 Tahun 2024 tentang Keamanan Sistem Informasi dan Ketahanan Siber (KKS) mengatur area tata kelola, identifikasi risiko, proteksi, deteksi, respons, pemulihan, pengawasan, hingga kolaborasi.
Pelajari juga siapa yang wajib melakukan Audit KKS berdasarkan PBI 2/2024.
3. Review Kebijakan dan SOP Keamanan
Periksa apakah kebijakan:
telah disetujui pihak berwenang;
memiliki versi dan tanggal review;
memiliki pemilik dokumen;
sesuai dengan praktik aktual.
Dokumen dapat mencakup information security policy, access control, incident management, backup, vulnerability management, change management, dan keamanan pihak ketiga.
4. Perbarui Asset dan Risk Assessment
Pastikan inventaris server, aplikasi, endpoint, database, perangkat jaringan, cloud, serta aset informasi kritis telah diperbarui.
Selanjutnya, cek apakah risiko dari aset tersebut telah masuk dalam risk register dan memiliki rencana penanganan yang jelas.
5. Review Identity and Access Management
Periksa proses:
pembuatan dan penghentian akun;
perubahan hak akses;
privileged access;
MFA;
segregation of duties;
periodic access review.
Red flag yang perlu dihindari antara lain akun pegawai yang sudah keluar tetapi masih aktif atau hak akses yang tidak pernah dievaluasi.
6. Periksa Vulnerability dan Patch Management
Pastikan hasil vulnerability assessment maupun penetration testing tidak berhenti pada laporan.
Alurnya seharusnya:
Identify → Prioritize → Remediate → Retest → Close
Organisasi dapat mempelajari lebih lanjut tentang perbedaan penetration testing dan vulnerability assessment untuk menentukan jenis pengujian yang sesuai.
7. Verifikasi Logging dan Security Monitoring
Auditor dapat mengevaluasi apakah aktivitas sistem dicatat, dipantau, dianalisis, dan ditindaklanjuti.
Memiliki SIEM atau alat monitoring saja belum cukup apabila alert tidak memiliki proses eskalasi dan bukti tindak lanjut.
8. Uji Incident Response dan Recovery
Pastikan tersedia:
incident response plan;
escalation matrix;
incident register;
hasil simulasi atau tabletop exercise;
evaluasi dan tindak lanjut.
PBI No. 2 Tahun 2024 juga mencakup penyusunan rencana serta simulasi penanganan dan pemulihan insiden siber bagi pihak yang termasuk ruang lingkup ketentuan tersebut.
9. Pastikan Backup dan Disaster Recovery Teruji
Backup tersedia berbeda dengan backup terbukti dapat dipulihkan.
Siapkan bukti seperti log backup, hasil restore test, DR test, pencapaian RTO/RPO, serta corrective action dari hasil pengujian.
10. Rapikan Audit Evidence
Susun repository dengan struktur sederhana:
Domain → Control → Requirement → Evidence → PIC → Status
Evidence dapat berupa log, screenshot konfigurasi, approval, tiket, laporan pengujian, notulen rapat, hingga hasil remediasi.
Tanda Organisasi Belum Audit Ready
Beberapa red flag yang perlu mendapat perhatian adalah:
kebijakan tidak sesuai kondisi aktual;
PIC kontrol tidak jelas;
evidence tersebar di banyak unit;
risk assessment belum diperbarui;
temuan vulnerability belum ditutup;
incident response belum pernah diuji;
backup belum pernah diuji pemulihannya;
temuan audit sebelumnya masih terbuka.
Jika beberapa kondisi tersebut masih ditemukan, melakukan cybersecurity readiness assessment sebelum audit formal dapat menjadi langkah yang lebih efektif.
Persiapkan Audit Keamanan Siber Secara Terstruktur
Cybersecurity audit readiness bukan kegiatan mengumpulkan dokumen sesaat sebelum auditor datang. Kesiapan yang baik membutuhkan keselarasan antara requirement, kontrol, implementasi, dan evidence.
Melalui Cyber Security Services PT Integra Teknologi Solusi, organisasi dapat melakukan evaluasi kontrol keamanan, gap assessment, penetration testing, Audit KKS, hingga penyusunan rekomendasi dan rencana remediasi.
Pelajari juga bagaimana cybersecurity audit membantu bank mengevaluasi kontrol hingga menyusun rencana perbaikan.
Konsultasikan kebutuhan audit keamanan siber dan Audit KKS bersama Integra Teknologi Solusi untuk mengetahui gap sebelum menjadi temuan dalam pemeriksaan.
