Transformasi digital perbankan membuat layanan semakin cepat dan mudah diakses. Namun, bertambahnya aplikasi, API, cloud, perangkat, serta koneksi dengan pihak ketiga juga memperluas permukaan serangan siber.
Memiliki firewall, Security Operations Center (SOC), EDR, atau SIEM saja belum cukup. Bank perlu mengetahui apakah seluruh kontrol keamanan tersebut telah dikelola secara konsisten, terukur, dan mampu menghadapi perubahan ancaman.
Di sinilah cybersecurity maturity assessment diperlukan untuk mengetahui kondisi keamanan saat ini (current state), kesenjangan yang masih ada, hingga tingkat kematangan yang ingin dicapai (target maturity).
Apa Itu Cybersecurity Maturity Assessment?
Cybersecurity maturity assessment adalah proses terstruktur untuk menilai tingkat kematangan organisasi dalam mengelola risiko dan keamanan siber.
Assessment tidak hanya melihat apakah kontrol keamanan sudah tersedia, tetapi juga mengevaluasi bagaimana kebijakan, proses, teknologi, sumber daya manusia, pengawasan, dan perbaikan berkelanjutan telah diterapkan.
Berbeda dengan audit kepatuhan yang lebih banyak menjawab pertanyaan “apakah persyaratan sudah dipenuhi?”, maturity assessment menjawab pertanyaan “seberapa matang dan konsisten kemampuan keamanan siber organisasi?”
Sebagai referensi, NIST Cybersecurity Framework (CSF) 2.0 menggunakan Current Profile untuk menggambarkan kondisi yang sedang dicapai dan Target Profile untuk menentukan kondisi keamanan yang ingin diwujudkan. Perbandingan keduanya dapat digunakan untuk mengidentifikasi gap dan prioritas peningkatan.
Baca juga pembahasan mengenai Cybersecurity Framework.
Mengapa Cybersecurity Maturity Assessment Penting bagi Bank?
Bank mengelola transaksi dan data dengan tingkat kritikalitas tinggi. Gangguan pada sistem, pencurian kredensial, ransomware, fraud, maupun serangan terhadap pihak ketiga dapat berpengaruh langsung terhadap operasional dan kepercayaan nasabah.
Karena itu, keamanan siber harus dilihat sebagai kemampuan organisasi, bukan sekadar kumpulan perangkat keamanan.
Bagi Bank Umum, OJK telah menerbitkan SEOJK Nomor 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum. Regulasi tersebut antara lain mengatur penilaian risiko inheren, manajemen risiko keamanan siber, serta proses ketahanan siber.
OJK juga mengatur penilaian tingkat maturitas digital Bank Umum melalui SEOJK Nomor 24/SEOJK.03/2023 sebagai bagian dari kesiapan bank dalam mendukung transformasi digital.
Area yang Dinilai dalam Cybersecurity Maturity Assessment
Ruang lingkup assessment dapat disesuaikan dengan profil risiko dan framework yang digunakan. Secara umum, beberapa domain berikut perlu dievaluasi.
Governance dan Manajemen Risiko
Assessment menilai struktur tata kelola, kebijakan, tanggung jawab, pengawasan manajemen, risk register, serta keterkaitan antara risiko siber dan risiko perusahaan.
Protection dan Asset Management
Penilaian meliputi pengelolaan aset, identity and access management, perlindungan data, keamanan jaringan, endpoint security, vulnerability management, hingga security awareness.
Detection dan Monitoring
Bank perlu memiliki kemampuan mendeteksi aktivitas abnormal melalui logging, monitoring, SOC, threat detection, dan mekanisme eskalasi yang jelas.
Incident Response dan Recovery
Assessment juga mengevaluasi incident response plan, koordinasi antarunit, backup, disaster recovery, business continuity, pengujian pemulihan, dan proses lessons learned.
Area tersebut sejalan secara konseptual dengan NIST CSF 2.0 yang memiliki enam fungsi utama: Govern, Identify, Protect, Detect, Respond, dan Recover.
Bagaimana Menentukan Current State Cybersecurity Bank?
Menentukan current state tidak cukup hanya melalui wawancara. Kondisi aktual perlu dibuktikan melalui dokumen dan evidence implementasi.
Prosesnya dapat meliputi:
Document review, seperti kebijakan keamanan, risk register, laporan vulnerability assessment, log insiden, dan BCP/DRP.
Interview, untuk memahami bagaimana proses dijalankan oleh unit terkait.
Evidence verification, untuk memastikan kontrol benar-benar diterapkan.
Sampling, terhadap aktivitas atau kontrol tertentu.
Maturity scoring, untuk menentukan posisi setiap domain.
Prinsipnya, proses yang telah terdokumentasi belum tentu efektif. Demikian pula kontrol yang telah berjalan belum tentu dipantau dan diperbaiki secara konsisten.
Dari Current State Menuju Target Maturity
Setelah current state diketahui, langkah berikutnya bukan langsung mengejar tingkat maturity tertinggi.
Alurnya sebaiknya:
Current State → Gap Analysis → Risk Prioritization → Target Maturity → Improvement Roadmap
Menentukan Target Maturity
Target maturity perlu mempertimbangkan profil risiko, kritikalitas layanan, regulasi, ancaman siber, strategi bisnis, serta kemampuan sumber daya.
NIST CSF 2.0, misalnya, menggunakan empat Implementation Tiers: Partial, Risk Informed, Repeatable, dan Adaptive. Tiers tersebut memberikan konteks mengenai seberapa kuat praktik governance dan pengelolaan risiko siber diterapkan.
Metode atau skala maturity dapat berbeda pada setiap framework. Karena itu, skor sebaiknya digunakan sebagai dasar pengambilan keputusan, bukan sekadar target angka.
Mengubah Gap Menjadi Cybersecurity Roadmap
Hasil cybersecurity gap analysis perlu diterjemahkan menjadi rekomendasi yang dapat dilaksanakan.
Sebagai contoh, apabila identity and access management masih lemah, rekomendasi tidak berhenti pada “tingkatkan IAM”, tetapi dapat berupa:
menerapkan MFA pada akses kritis;
melakukan periodic access review;
memperkuat privileged access management;
meningkatkan monitoring akun dengan hak istimewa.
Roadmap kemudian dapat dibagi menjadi quick wins, perbaikan jangka menengah, serta program strategis berdasarkan risiko, biaya, dan kompleksitas implementasi.
Dengan demikian, output cybersecurity maturity assessment bukan hanya skor, tetapi juga gap, risiko, prioritas, rekomendasi, PIC, dan target perbaikan.
Kapan Bank Membutuhkan Independent Maturity Assessment?
Assessment independen dapat dipertimbangkan ketika bank ingin:
memperoleh baseline keamanan yang lebih objektif;
menyusun cybersecurity improvement roadmap;
mengevaluasi kesiapan setelah perubahan teknologi besar;
melakukan evaluasi pascainsiden;
mendapatkan assurance bagi manajemen; atau
mempersiapkan evaluasi ketahanan dan keamanan siber.
Pihak independen membantu bank memperoleh evaluasi berbasis evidence sekaligus mengurangi subjektivitas yang mungkin muncul dalam self-assessment.
Tingkatkan Maturity Keamanan Siber dengan Cyber Security Services
Cybersecurity maturity assessment membantu bank memahami posisi keamanan saat ini, menentukan kondisi yang ingin dicapai, serta memprioritaskan investasi keamanan berdasarkan risiko.
PT Integra Teknologi Solusi melalui Cyber Security Services dapat membantu organisasi melakukan assessment kondisi terkini, evaluasi kontrol, gap analysis, penentuan target maturity, hingga penyusunan roadmap peningkatan keamanan siber dan kebutuhan audit KKS (Keamanan Sistem Informasi dan Ketahanan Siber).
Konsultasikan kebutuhan Cyber Security Services organisasi Anda bersama tim kami untuk memperoleh assessment yang terstruktur, objektif, dan menghasilkan rekomendasi perbaikan yang dapat ditindaklanjuti.
