Elemen-elemen yang termasuk dalam kategori ini adalah Manajemen Aset (Asset Management), Penilaian Risiko (Risk Assessment), dan Berbagi Informasi (Information Sharing).
Tingkatan kematangan ini membantu organisasi dalam mengelola aset, menilai risiko, dan berbagi informasi untuk meningkatkan ketahanan terhadap ancaman keamanan siber. Berikut adalah penjelasan rinci untuk setiap elemen dan bagaimana mereka berkembang dari level A (Informal Arrangements) hingga E (Optimised).
1. Manajemen Aset (Asset Management)
Manajemen aset dalam keamanan siber mencakup identifikasi, klasifikasi, dan pengelolaan data, perangkat, sistem, dan fasilitas yang mendukung operasional organisasi.
| Tingkat Kematangan | Deskripsi |
| Level A – Informal Arrangements | Tidak ada inventaris formal terkait sistem, ketergantungan antar sistem, atau antarmuka yang digunakan. Organisasi tidak memiliki pemetaan aset yang jelas. |
| Level B – Defined | Pengelolaan aset dilakukan secara ad-hoc, tetapi belum terstruktur atau diformalkan dalam sistem organisasi. |
| Level C – Managed | Semua sistem kritis dan antarmuka telah teridentifikasi dan terdokumentasi dengan baik. Terdapat kejelasan mengenai kepemilikan aset dalam organisasi. |
| Level D – Assured | Hubungan antar sistem dan interdependensinya sudah dipahami dengan baik. Organisasi melakukan tinjauan dan pembaruan secara berkala untuk memastikan bahwa semua aset dikelola dengan baik. |
| Level E – Optimised | Pembaruan inventaris aset dilakukan secara otomatis seiring dengan perubahan lingkungan dan teknologi. Organisasi memiliki proses otomatisasi dalam pemantauan dan pemeliharaan sistem aset. |
Analisis Pakar:
Manajemen aset yang baik sangat penting dalam keamanan siber. Tanpa inventaris aset yang jelas, organisasi tidak akan tahu apa yang harus dilindungi. Peralihan dari Level A ke Level E menunjukkan transisi dari pengelolaan aset yang tidak terdokumentasi menjadi otomatisasi penuh dalam pemantauan aset.
2. Penilaian Risiko (Risk Assessment)
Penilaian risiko bertujuan untuk mengidentifikasi dan memahami ancaman keamanan siber yang dapat memengaruhi operasi organisasi, aset, serta individu yang terlibat.
| Tingkat Kematangan | Deskripsi |
| Level A – Informal Arrangements | Tidak ada proses atau dokumentasi terkait penilaian risiko keamanan siber. Organisasi beroperasi tanpa pemahaman risiko yang jelas. |
| Level B – Defined | Penilaian risiko dilakukan secara ad-hoc, tetapi tidak memiliki struktur yang jelas atau dokumentasi formal. |
| Level C – Managed | Proses penilaian risiko telah disetujui oleh manajemen organisasi dan digunakan sebagai dasar dalam menentukan kebutuhan keamanan siber. |
| Level D – Assured | Penilaian risiko diterapkan secara konsisten di seluruh organisasi. Risiko yang telah diidentifikasi divalidasi oleh otoritas eksternal. Organisasi juga mengintegrasikan penilaian risiko keamanan dengan penilaian risiko keselamatan. |
| Level E – Optimised | Organisasi melakukan tinjauan dan pembaruan risiko secara berkelanjutan, serta menghubungkan risiko dengan ancaman terbaru. Risiko dalam sistem yang saling bergantung (system-of-systems) telah dianalisis dengan baik. |
Analisis Pakar:
Banyak organisasi berhenti di Level B atau C, di mana penilaian risiko masih belum sepenuhnya terintegrasi dengan operasi bisnis. Untuk mencapai Level E, organisasi harus memiliki pendekatan yang terus diperbarui dan responsif terhadap ancaman yang berkembang. Integrasi antara penilaian risiko keamanan dan risiko keselamatan juga menjadi langkah penting, terutama dalam industri penerbangan dan infrastruktur kritis.
3. Berbagi Informasi (Information Sharing)
Organisasi harus dapat mengumpulkan dan berbagi informasi terkait ancaman siber, kerentanan, dan insiden baik secara internal maupun dengan pihak eksternal.
| Tingkat Kematangan | Deskripsi |
| Level A – Informal Arrangements | Tidak ada, atau sangat terbatas, berbagi informasi terkait keamanan siber dalam organisasi. Informasi tidak disebarkan ke tim atau pemangku kepentingan yang membutuhkannya. |
| Level B – Defined | Organisasi mulai mengumpulkan informasi tentang ancaman dan kerentanan, tetapi berbagi informasi masih bersifat informal dan hanya dilakukan jika dianggap perlu. |
| Level C – Managed | Tren ancaman mulai diidentifikasi. Berbagi informasi dilakukan berdasarkan proses formal yang terhubung dengan penilaian risiko, manajemen kerentanan, serta respons dan pemulihan insiden. Informasi risiko dibagikan secara aktif antara tim keselamatan dan tim keamanan. |
| Level D – Assured | Organisasi berbagi intelijen ancaman dan informasi kerentanan secara teratur untuk semua sistem kritis. Proses berbagi informasi bersifat luas, konsisten, dan efektif antara semua pemangku kepentingan yang relevan. |
| Level E – Optimised | Berbagi informasi telah menjadi bagian dari budaya organisasi dan dilakukan secara proaktif. Organisasi juga menunjukkan kepemimpinan dalam mendorong kolaborasi berbasis industri untuk berbagi intelijen ancaman secara lebih luas. |
Analisis Pakar:
Dalam keamanan siber, berbagi informasi adalah faktor kunci dalam deteksi dan mitigasi ancaman yang lebih efektif. Organisasi yang berada di Level A atau B sering kali beroperasi dalam isolasi, sehingga lebih rentan terhadap serangan. Level D dan E menunjukkan organisasi yang telah memiliki mekanisme berbagi informasi yang solid, sehingga mampu bereaksi cepat terhadap ancaman yang terus berkembang.
Kesimpulan: Peran Identifikasi dalam Keamanan Siber
Kategori “Identify” dalam model maturitas keamanan siber bertujuan untuk memastikan bahwa organisasi dapat:
- Memahami aset yang perlu dilindungi melalui manajemen aset yang terstruktur.
- Mengidentifikasi dan mengevaluasi risiko yang dapat mengancam operasi bisnis.
- Berbagi informasi tentang ancaman dan insiden untuk meningkatkan ketahanan organisasi secara keseluruhan.
Tingkat kematangan yang lebih tinggi dalam tiga elemen ini akan memungkinkan organisasi membangun pertahanan yang lebih efektif terhadap ancaman siber.
| Perjalanan menuju kematangan keamanan siber: |
| Level A & B → Organisasi masih reaktif dan belum memiliki dokumentasi formal. |
| Level C → Organisasi mulai menerapkan sistem yang lebih terstruktur dan formal. |
| Level D & E → Organisasi telah mencapai kematangan dalam mengelola aset, risiko, dan berbagi informasi secara proaktif. |
Bagi organisasi yang ingin meningkatkan keamanan sibernya, langkah utama yang perlu dilakukan adalah bergerak dari Level B ke Level C terlebih dahulu, sebelum mengoptimalkan strategi ke Level D dan E.
Comments are closed