Digitalisasi perbankan meningkatkan ketergantungan terhadap aplikasi, jaringan, data, layanan cloud, dan integrasi dengan pihak ketiga. Di sisi lain, semakin kompleks lingkungan teknologi, semakin besar pula kemungkinan munculnya kesenjangan antara kontrol keamanan yang seharusnya diterapkan dan kondisi aktual di lapangan.
Risiko tersebut tidak dapat dianggap kecil. IBM Cost of a Data Breach Report 2025 mencatat rata-rata biaya pelanggaran data secara global mencapai USD4,44 juta.
Karena itu, bank perlu mengetahui bukan hanya apakah kontrol keamanan tersedia, tetapi juga apakah kontrol tersebut sudah memadai dan efektif. Salah satu pendekatan yang dapat digunakan adalah security gap analysis.
Apa Itu Security Gap Analysis?
Security gap analysis adalah proses sistematis untuk membandingkan kondisi keamanan siber saat ini (current state) dengan kondisi yang diharapkan (target state).
Secara sederhana, prosesnya dapat digambarkan sebagai:
Current State → Target State → Gap → Risk → Improvement Plan
Gap tidak selalu berarti kontrol keamanan belum tersedia sama sekali. Dalam beberapa kasus, kontrol sudah ada, tetapi belum terdokumentasi, tidak dijalankan secara konsisten, belum diuji, atau belum sesuai dengan tingkat risiko organisasi.
Misalnya, bank telah memiliki proses user access management, tetapi belum melakukan peninjauan akses pengguna secara periodik. Kondisi ini dapat menjadi security gap karena akses yang sudah tidak diperlukan berpotensi tetap aktif.
Mengapa Security Gap Analysis Penting bagi Perbankan?
Bank mengelola sistem transaksi, informasi nasabah, infrastruktur kritikal, serta layanan digital yang harus tersedia secara berkelanjutan. Kesenjangan keamanan pada salah satu area tersebut dapat meningkatkan risiko gangguan operasional maupun insiden siber.
Bagi pihak yang termasuk cakupan pengaturan Bank Indonesia, PBI Nomor 2 Tahun 2024 mengatur Keamanan Sistem Informasi dan Ketahanan Siber (KKS), termasuk tata kelola, identifikasi risiko, proteksi, deteksi, respons, serta pemulihan.
Ketentuan pelaksanaannya diperinci melalui PADG Nomor 24 Tahun 2024, yang antara lain mengatur asesmen risiko siber, pengujian penanganan insiden, serta penyampaian tingkat kematangan KKS.
Security gap analysis dapat membantu organisasi:
menemukan kelemahan sebelum berkembang menjadi insiden;
mengevaluasi efektivitas kontrol keamanan;
menentukan prioritas berdasarkan risiko;
mempersiapkan kebutuhan audit dan kepatuhan;
menyusun roadmap peningkatan keamanan; dan
memberikan gambaran kondisi keamanan kepada manajemen.
Apa Saja yang Dinilai dalam Security Gap Analysis?
Ruang lingkup cybersecurity gap assessment dapat disesuaikan dengan profil risiko, regulasi, framework, dan kebutuhan organisasi.
Beberapa area yang umum dievaluasi antara lain:
tata kelola dan kebijakan keamanan;
cybersecurity risk management;
asset management;
identity dan access management;
network dan infrastructure security;
application dan data security;
vulnerability dan patch management;
logging serta security monitoring;
incident response;
business continuity dan disaster recovery;
third-party security; dan
security awareness.
Dengan cakupan tersebut, assessment tidak hanya menilai aspek teknologi, tetapi juga people, process, dan governance.
Bagaimana Proses Security Gap Analysis Dilakukan?
1. Menentukan Scope dan Kriteria Assessment
Organisasi menentukan sistem, proses, unit kerja, aset, dan kontrol keamanan yang akan dinilai.
Kriteria target dapat berasal dari regulasi, standar keamanan, kebijakan internal, risk appetite, maupun framework keamanan yang digunakan organisasi.
2. Memetakan Current State
Tim assessment mengumpulkan bukti melalui document review, wawancara, observasi, walkthrough, sampling, atau verifikasi teknis sesuai kebutuhan.
Tujuannya adalah mengetahui bagaimana kontrol benar-benar diterapkan, bukan sekadar bagaimana proses dituliskan dalam kebijakan.
3. Membandingkan dengan Target State
Kondisi aktual kemudian dibandingkan dengan kondisi yang seharusnya dicapai.
Contohnya:
Target: vulnerability kritikal harus diperbaiki berdasarkan SLA tertentu.
Current state: vulnerability assessment telah dilakukan, tetapi belum ada SLA remediation berdasarkan tingkat severity.
Gap: penyelesaian vulnerability belum dikelola berdasarkan tingkat risiko.
4. Menilai Risiko dan Prioritas
Tidak semua temuan mempunyai tingkat urgensi yang sama.
Penilaian dapat mempertimbangkan likelihood, dampak bisnis, criticality aset, regulatory impact, serta exposure terhadap ancaman.
Dengan demikian, organisasi dapat membedakan temuan critical, high, medium, dan low.
Dari Temuan Menuju Improvement Plan
Daftar temuan saja belum cukup. Nilai utama dari security gap analysis justru muncul ketika hasil assessment diterjemahkan menjadi tindakan perbaikan yang dapat dijalankan.
Tetapkan Remediation Action yang Spesifik
Rekomendasi seperti “tingkatkan keamanan akses” terlalu umum.
Improvement plan sebaiknya lebih konkret, misalnya:
“Melaksanakan privileged access review secara periodik, mendokumentasikan hasil review, serta memperoleh approval dari pemilik sistem.”
Tentukan PIC dan Target Penyelesaian
Perbaikan dapat dikelompokkan menjadi:
quick wins, untuk tindakan yang dapat segera dilaksanakan;
short term, untuk prioritas berisiko tinggi;
medium term, untuk perubahan proses atau teknologi;
long term, untuk peningkatan strategis dan maturity.
Tentukan Evidence of Closure
Setiap remediation sebaiknya mempunyai bukti penyelesaian, seperti kebijakan terbaru, konfigurasi sistem, laporan review, ticket, hasil pengujian, atau audit trail.
Dengan pendekatan ini, progress perbaikan dapat dimonitor dan diverifikasi.
Contoh Security Gap dan Improvement Plan
Misalnya ditemukan bahwa incident response procedure sudah tersedia, tetapi belum pernah diuji.
Risikonya, efektivitas koordinasi antarunit ketika insiden siber benar-benar terjadi belum dapat dipastikan.
Improvement plan dapat berupa pelaksanaan tabletop exercise atau simulasi insiden secara periodik, dokumentasi hasil pengujian, pencatatan lessons learned, serta pemantauan tindak lanjut.
Contoh lain adalah privileged account yang belum direview secara berkala. Perbaikannya dapat berupa penerapan periodic access review dengan PIC, jadwal, approval, dan evidence yang jelas.
Security Gap Analysis dan Security Audit, Apa Bedanya?
Security gap analysis berfokus pada perbedaan antara kondisi saat ini dan kondisi target serta langkah yang diperlukan untuk menutup kesenjangan.
Sementara itu, security audit lebih berfokus pada pengujian kesesuaian dan efektivitas kontrol berdasarkan kriteria audit tertentu.
Keduanya dapat saling melengkapi. Gap analysis dapat digunakan sebagai readiness assessment sebelum audit, sedangkan temuan audit dapat menjadi dasar penyusunan remediation dan cybersecurity improvement plan.
Baca juga: Audit Security Services: Panduan Lengkap Audit Keamanan Siber Perusahaan.
Tingkatkan Keamanan Siber melalui Cyber Security Services
Security gap analysis membantu bank bergerak dari sekadar mengetahui kelemahan menuju program perbaikan keamanan yang terukur. Assessment yang baik harus mampu menghubungkan temuan, risiko, rekomendasi, prioritas, PIC, target waktu, hingga evidence penyelesaian.
Jika organisasi Anda membutuhkan security gap assessment, audit security services, maupun audit KKS, Cyber Security Services PT Integra Teknologi Solusi dapat membantu mengevaluasi kondisi keamanan, mengidentifikasi gap, menilai risiko, serta menyusun improvement plan sesuai kebutuhan organisasi.
Konsultasikan kebutuhan Cyber Security Services dan audit KKS untuk membangun keamanan serta ketahanan siber yang lebih terukur dan berkelanjutan.
