Organisasi dapat memiliki firewall, antivirus, multifactor authentication, hingga Security Operations Center (SOC), tetapi apakah itu berarti keamanan informasinya sudah matang?
Belum tentu. Teknologi hanyalah salah satu bagian dari keamanan. Organisasi juga perlu memastikan tata kelola, manajemen risiko, prosedur, sumber daya manusia, kemampuan mendeteksi ancaman, hingga respons terhadap insiden berjalan secara konsisten.
Di sinilah security maturity assessment dibutuhkan. Assessment ini membantu organisasi mengetahui kondisi keamanan saat ini, menemukan kesenjangan, menentukan target, dan menyusun prioritas peningkatan keamanan secara terukur.
Apa Itu Security Maturity Assessment?
Security maturity assessment adalah proses untuk menilai tingkat kematangan tata kelola, proses, kontrol, SDM, dan teknologi keamanan organisasi. Hasilnya memberikan gambaran tentang current state, target yang ingin dicapai, serta gap yang perlu diperbaiki.
Konsep ini sejalan dengan NIST Cybersecurity Framework (CSF) 2.0. NIST menggunakan Current Profile dan Target Profile untuk membantu organisasi membandingkan kondisi keamanan saat ini dengan hasil keamanan yang ingin dicapai sehingga gap dapat diidentifikasi dan diprioritaskan.
Dengan demikian, assessment bukan sekadar menghasilkan skor, tetapi menjawab tiga pertanyaan penting:
Seberapa matang keamanan organisasi saat ini?
Seberapa matang seharusnya organisasi?
Apa yang perlu dilakukan untuk menutup kesenjangan tersebut?
Mengapa Tingkat Kematangan Keamanan Perlu Diukur?
Tanpa pengukuran yang objektif, organisasi dapat mengalokasikan investasi cybersecurity ke area yang kurang tepat.
Misalnya, perusahaan membeli berbagai teknologi keamanan baru, tetapi belum memiliki proses incident response yang teruji. Dalam kondisi seperti ini, penambahan teknologi belum tentu menyelesaikan risiko utama.
Melalui security maturity assessment, organisasi dapat:
mengetahui kondisi keamanan secara objektif;
menemukan kelemahan pada proses dan kontrol keamanan;
menentukan prioritas investasi cybersecurity;
mengukur perkembangan keamanan dari waktu ke waktu;
mendukung kebutuhan audit dan kepatuhan;
meningkatkan kesiapan menghadapi insiden siber.
Assessment juga membantu manajemen melihat cybersecurity dari perspektif risiko bisnis, bukan hanya persoalan teknis TI.
Area yang Dinilai dalam Security Maturity Assessment
Ruang lingkup assessment dapat berbeda sesuai profil risiko dan framework yang digunakan. Namun, beberapa area berikut umumnya menjadi perhatian.
Tata Kelola dan Manajemen Risiko
Assessment melihat apakah organisasi telah memiliki strategi, kebijakan, peran, tanggung jawab, mekanisme pengawasan, serta proses identifikasi dan pengelolaan risiko siber.
Proteksi dan Kontrol Keamanan
Area ini dapat mencakup pengelolaan akses, keamanan jaringan, perlindungan endpoint, keamanan data, vulnerability management, hingga identity and access management.
Deteksi dan Monitoring
Organisasi perlu memiliki kemampuan mendeteksi aktivitas mencurigakan, memonitor sistem, menganalisis security event, dan mengidentifikasi potensi serangan.
Respons dan Pemulihan
Penilaian juga mencakup incident response, business continuity, disaster recovery, simulasi insiden, dan mekanisme pemulihan layanan.
NIST CSF 2.0 sendiri mengelompokkan outcome cybersecurity dalam enam fungsi utama, yaitu Govern, Identify, Protect, Detect, Respond, dan Recover. Framework tersebut dapat digunakan organisasi dari berbagai ukuran maupun sektor untuk memahami dan memprioritaskan risiko cybersecurity.
Bagaimana Tingkat Security Maturity Diukur?
Maturity model dapat berbeda antarframework. Sebagai ilustrasi sederhana, organisasi dapat menggambarkan perkembangan kematangannya dalam beberapa tingkatan:
Level 1: Initial
Aktivitas keamanan masih bersifat ad hoc dan sangat bergantung pada individu.
Level 2: Developing
Sebagian proses sudah dilakukan, tetapi penerapannya belum konsisten.
Level 3: Defined
Kebijakan, prosedur, dan kontrol telah terdokumentasi dan diterapkan secara lebih konsisten.
Level 4: Managed
Kinerja keamanan mulai diukur, dimonitor, dan digunakan sebagai dasar pengambilan keputusan.
Level 5: Optimized
Proses keamanan terus dievaluasi dan ditingkatkan mengikuti perubahan risiko, teknologi, serta ancaman.
Skala tersebut merupakan ilustrasi. Framework tertentu dapat menggunakan jumlah maupun istilah maturity level yang berbeda. Sebagai contoh, NIST CSF menggunakan empat Implementation Tiers, yaitu Partial, Risk Informed, Repeatable, dan Adaptive.
Tahapan Security Maturity Assessment
1. Menentukan Ruang Lingkup
Tentukan sistem, unit kerja, proses bisnis, aset informasi, regulasi, dan framework yang akan digunakan.
2. Mengumpulkan Data dan Evidence
Assessment dapat dilakukan melalui wawancara, review kebijakan, pemeriksaan dokumen, observasi, kuesioner, dan pengujian bukti implementasi.
3. Menentukan Current Maturity
Setiap domain keamanan dinilai untuk mengetahui posisi organisasi saat ini.
4. Menentukan Target Maturity
Target sebaiknya mempertimbangkan profil risiko, kritikalitas sistem, regulasi, kebutuhan bisnis, dan kemampuan organisasi.
Tidak semua area harus dipaksakan mencapai level tertinggi.
5. Melakukan Gap Analysis
Current maturity kemudian dibandingkan dengan target untuk menentukan area yang membutuhkan peningkatan.
6. Menyusun Improvement Roadmap
Temuan diprioritaskan berdasarkan tingkat risiko, dampak bisnis, urgensi, dan kebutuhan sumber daya.
Output idealnya mencakup maturity score, gap analysis, rekomendasi, quick wins, prioritas risiko, serta remediation roadmap.
Security Maturity Assessment dalam Konteks KKS
Bagi organisasi tertentu di sektor keuangan, maturity assessment juga berkaitan dengan penerapan Keamanan Sistem Informasi dan Ketahanan Siber (KKS).
PADG Bank Indonesia Nomor 24 Tahun 2024 mengatur penerapan KKS pada area tata kelola, pencegahan, serta penanganan. Regulasi tersebut juga mengatur kewajiban laporan tahunan yang mencakup tingkat kematangan KKS bagi Penyelenggara sesuai ketentuan yang berlaku.
Dalam pedoman pelaporannya, Bank Indonesia menyebut asesmen mandiri tingkat kematangan KKS dilakukan terhadap penerapan KKS pada area tata kelola, pencegahan, dan penanganan.
Dari Maturity Score Menuju Roadmap Perbaikan
Kesalahan yang sering terjadi adalah menjadikan nilai maturity sebagai tujuan akhir.
Padahal, nilai terbesar dari assessment terletak pada apa yang dilakukan setelah skor diperoleh.
Organisasi perlu mengubah hasil assessment menjadi:
Current State → Gap → Target State → Prioritas Risiko → Roadmap Perbaikan
Jika organisasi membutuhkan evaluasi yang lebih komprehensif, assessment dapat dikombinasikan dengan layanan Audit Keamanan Informasi untuk mengevaluasi kebijakan, prosedur, kontrol keamanan, dan risiko secara lebih menyeluruh.
Tingkatkan Kematangan Keamanan dengan Cyber Security Services
Security maturity assessment membantu pemerintahan, BUMN/BUMD, perbankan, dan organisasi lainnya memahami seberapa matang kemampuan keamanan mereka saat ini serta area mana yang harus menjadi prioritas peningkatan.
Melalui Cyber Security Services, organisasi dapat melakukan assessment terhadap current maturity, mengidentifikasi security gap, menentukan target maturity, serta menyusun remediation roadmap yang sesuai dengan risiko dan kebutuhan bisnis.
Untuk organisasi yang memiliki kebutuhan regulasi KKS, assessment juga dapat disesuaikan untuk membantu evaluasi kesiapan Keamanan Sistem Informasi dan Ketahanan Siber.
Konsultasikan kebutuhan security maturity assessment, audit keamanan informasi, atau audit KKS bersama tim Cyber Security Services untuk mendapatkan evaluasi keamanan yang lebih sistematis, objektif, dan dapat ditindaklanjuti.
