Model maturitas keamanan siber bukan hanya alat untuk menilai kekuatan dan kelemahan organisasi, tetapi juga sebagai panduan dalam menentukan area yang perlu ditingkatkan. Dengan kata lain, model ini tidak sekadar mengukur, tetapi juga membantu organisasi dalam menetapkan roadmap peningkatan keamanan siber.

Secara umum, Level C – Managed dianggap sebagai tingkat keamanan minimum yang harus dicapai oleh penyedia layanan navigasi udara atau Air Navigation Service Provider (ANSP). Pada level ini, proses keamanan siber sudah terdokumentasi dengan baik dan diterapkan secara konsisten di seluruh organisasi.

Namun, target maturitas setiap organisasi sebaiknya ditentukan berdasarkan faktor-faktor spesifik, seperti:

• Tujuan bisnis organisasi: Seberapa jauh keamanan siber harus mendukung keberlanjutan operasional?
• Lingkungan ancaman dan risiko keamanan siber: Seberapa besar kemungkinan organisasi menjadi target serangan siber?
• Kepatuhan terhadap regulasi: Apakah ada standar nasional atau internasional yang harus dipenuhi?

Pendekatan berbasis risiko ini memastikan bahwa organisasi tidak hanya mencapai kepatuhan, tetapi juga memiliki ketahanan keamanan yang efektif sesuai kebutuhan operasionalnya.

Bagaimana Menggunakan Cybersecurity SoE?

Cybersecurity Standard of Excellence (SoE) adalah kerangka evaluasi tingkat tinggi yang mencakup elemen utama dalam keamanan siber dan memiliki lima tingkat maturitas.

Bagaimana proses penilaiannya?

1. Setiap organisasi memulai dari Level A: Informal Arrangements.
2. Seiring waktu, organisasi mengembangkan kebijakan dan prosedur yang lebih baik, naik ke Level B: Defined, kemudian ke Level C: Managed, dan seterusnya hingga ke Level E: Optimised.
3. Untuk naik ke tingkat berikutnya, organisasi harus memenuhi semua elemen di tingkat saat ini terlebih dahulu. Artinya, meskipun beberapa elemen sudah berada di level lebih tinggi, level keseluruhan organisasi tetap ditentukan berdasarkan elemen dengan tingkat terendah yang belum terpenuhi.

Apa yang membuat pendekatan ini efektif?

• Model ini difokuskan pada elemen-elemen yang paling penting dan relevan untuk keamanan siber dalam ATM.
• Setiap elemen memiliki daftar “probing questions” yang berfungsi sebagai alat evaluasi mendalam untuk membantu organisasi menilai kekuatan dan kelemahannya.
• Penilaian ini bersifat independen dari ancaman spesifik, sehingga tetap relevan meskipun pola serangan siber terus berkembang.

Pendekatan ini memastikan bahwa organisasi tidak hanya bereaksi terhadap ancaman, tetapi juga membangun strategi keamanan siber yang berkelanjutan dan proaktif.

Dokumentasi yang Dibutuhkan untuk Penilaian

Agar hasil penilaian akurat dan kredibel, organisasi perlu mengumpulkan berbagai dokumen dan bukti yang mencerminkan postur keamanan siber mereka. Dokumen ini mencakup:
✅ Kebijakan keamanan siber dan prosedur operasional.
✅ Rekaman historis insiden siber dan respons organisasi terhadapnya.
✅ Dokumentasi sistem yang menggambarkan infrastruktur keamanan.
✅ Laporan audit internal dan eksternal.

Selain itu, setiap organisasi harus memahami persyaratan keamanan siber tingkat atas yang berlaku bagi mereka, termasuk:

• ICAO Annex 17, yang mengatur standar keamanan penerbangan sipil global.
• Kebijakan internal dan tujuan bisnis organisasi.
• Regulasi nasional dan regional yang berlaku.

Siapa yang Harus Terlibat dalam Penilaian?

Meskipun model maturitas ini dirancang agar dapat dilakukan dengan cepat oleh CISO dan timnya, pendekatan yang lebih menyeluruh memerlukan keterlibatan berbagai bagian dalam organisasi, termasuk:

• Tim teknis dan operasional, karena mereka memiliki wawasan mendalam mengenai sistem dan proses yang digunakan.
• Manajemen senior, karena keputusan keamanan siber berdampak langsung pada strategi bisnis.

Berapa lama waktu yang dibutuhkan?

• Penilaian awal biasanya memakan waktu lebih lama karena memerlukan diskusi dan pengumpulan dokumen.
• Penilaian berulang seharusnya lebih cepat, karena organisasi sudah memiliki kerangka kerja yang lebih matang.

Pendekatan ini tidak hanya meningkatkan transparansi internal, tetapi juga membantu organisasi dalam menganalisis perbedaan perspektif dan menyusun strategi peningkatan keamanan yang lebih baik.

Evaluasi Keamanan Siber di Tingkat Departemen atau Sistem Tertentu

Dalam beberapa kasus, organisasi mungkin ingin melakukan penilaian yang lebih spesifik, seperti menilai keamanan siber pada:
1️⃣ Departemen tertentu dalam organisasi.
2️⃣ Sistem atau sub-sistem kritis yang berperan besar dalam operasi ATM.

Jika organisasi melakukan evaluasi mendalam pada beberapa bagian, hasilnya bisa digabungkan untuk mendapatkan gambaran keseluruhan. Namun, dalam keamanan siber, prinsip “sekuat mata rantai terlemah” berlaku. Oleh karena itu, sebaiknya organisasi melaporkan skor dari elemen dengan tingkat maturitas terendah sebagai referensi utama.

Bagaimana Evaluasi Pemasok Dilakukan?

Keamanan siber dalam ATM tidak hanya bergantung pada infrastruktur internal organisasi, tetapi juga pada pemasok dan mitra bisnis dalam rantai pasok. Oleh karena itu, evaluasi pemasok menjadi bagian penting dari Cybersecurity SoE.

Siapa yang melakukan evaluasi?

• Pemasok dapat melakukan evaluasi sendiri.
• Evaluasi dapat dilakukan oleh pelanggan Air Navigation Service Provider (ANSP yang membeli layanan mereka).
• Evaluasi juga bisa dilakukan oleh pihak ketiga independen.

Apa yang harus dievaluasi?

• Keamanan siber dalam infrastruktur IT pemasok.
• Keamanan siber dalam produk atau layanan yang mereka tawarkan.

Catatan penting:

• SoE bukan pengganti audit atau analisis kesenjangan yang lebih mendalam.
• Evaluasi ini tidak menggantikan audit kontrak, tetapi dapat menjadi referensi tambahan dalam memastikan kepatuhan keamanan pemasok.

Menyajikan Hasil Penilaian kepada Manajemen Senior

Bagaimana hasil evaluasi dapat disajikan?

• Salah satu cara yang efektif adalah dengan membandingkan ANSP (Air Navigation Service Provider) dengan beberapa pemasok mereka, seperti yang ditampilkan dalam ilustrasi berikut:

Gambaran Visual:

• ANSP dapat dibandingkan dengan beberapa pemasok, diurutkan berdasarkan tingkat maturitas mereka.
• Pendekatan ini membantu manajemen memahami area yang perlu ditingkatkan serta memperjelas perbedaan tingkat keamanan di berbagai bagian ekosistem ATM.

Kesimpulan: Mengapa Model Maturitas Keamanan Siber Sangat Penting?

✅ Mempermudah organisasi dalam memahami dan meningkatkan keamanan siber mereka secara sistematis.
✅ Membantu membangun hubungan yang lebih kuat dengan pemasok, terutama untuk layanan yang dianggap kritis.
✅ Memberikan transparansi kepada manajemen senior, sehingga mereka dapat mengambil keputusan strategis yang berbasis data.
✅ Meningkatkan ketahanan sistem ATM terhadap ancaman siber dengan pendekatan proaktif dan berbasis risiko.

Keamanan siber dalam ATM bukan lagi hanya sekadar persyaratan teknis, tetapi elemen utama dalam menjaga keselamatan, efisiensi, dan keberlanjutan industri penerbangan. Dengan mengadopsi model maturitas yang terstruktur, organisasi dapat lebih siap menghadapi ancaman siber yang semakin kompleks dan terus berkembang. ✈️