Mengenal Cyber Warranty

Mengenal Cyber Warranty – Ketika perusahaan mengalami serangan ransomware, pencurian data, atau pengambilalihan akun, dampaknya tidak berhenti pada gangguan teknis. Organisasi mungkin harus mengeluarkan biaya pemulihan sistem, melakukan investigasi, memenuhi kewajiban pemberitahuan kebocoran data, hingga menghadapi tuntutan hukum.

Untuk membantu mengelola risiko finansial tersebut, sejumlah penyedia solusi keamanan menawarkan cyber warranty atau garansi siber. Program ini memberikan manfaat finansial untuk insiden tertentu apabila pelanggan memenuhi persyaratan yang telah ditetapkan.

Meski demikian, nominal perlindungan yang besar dalam materi pemasaran tidak selalu mencerminkan jumlah yang akan diterima perusahaan ketika mengajukan klaim. Jenis kejadian yang ditanggung, pengecualian, kontrol keamanan wajib, dan prosedur pengajuan klaim perlu diperiksa secara menyeluruh.

Apa Itu Cyber Warranty?

Garansi siber merupakan perjanjian kontraktual yang menjanjikan penggantian biaya tertentu apabila terjadi insiden yang memenuhi persyaratan program. Garansi ini umumnya berkaitan langsung dengan solusi keamanan atau layanan yang disediakan oleh vendor.

Berbeda dari asuransi siber yang merupakan produk asuransi dengan pengaturan dan pengawasan sesuai hukum yang berlaku, garansi siber biasanya berbentuk kontrak komersial dengan ketentuan tersendiri. Karena itu, perusahaan perlu memeriksa siapa pihak yang bertanggung jawab atas pembayaran, bagaimana manfaat ditentukan, dan perlindungan hukum apa yang berlaku.

Pembayaran garansi tidak otomatis diberikan setiap kali perusahaan mengalami serangan. Vendor atau penyedia program dapat mensyaratkan agar teknologi keamanan yang dijamin telah diterapkan dengan benar, kontrol wajib tetap aktif, dan insiden dilaporkan dalam batas waktu yang ditentukan.

Dengan kata lain, garansi siber bukan janji bahwa serangan tidak akan terjadi. Program ini memberikan dukungan finansial terbatas apabila kejadian tertentu memenuhi ketentuan kontrak.

Perbedaan Cyber Warranty dan Cyber Insurance

Garansi siber dan asuransi siber memiliki tujuan yang saling melengkapi, tetapi cakupannya berbeda.

Asuransi siber dirancang untuk menanggung berbagai jenis kerugian akibat insiden siber sesuai polis. Kerugian tersebut dapat mencakup biaya pemulihan, gangguan bisnis, tanggung jawab terhadap pihak ketiga, dan biaya lain yang secara khusus tercantum dalam pertanggungan.

Sementara itu, garansi siber biasanya berfokus pada jenis insiden dan biaya tertentu yang berkaitan dengan solusi keamanan yang dijamin. Nilai manfaatnya dapat ditentukan sebelumnya, dengan batas pembayaran dan persyaratan yang berbeda antarprogram.

Sebagai contoh, perusahaan mengalami ransomware yang menyebabkan sebagian sistem tidak dapat digunakan. Jika kerugian memenuhi ketentuan polis, asuransi siber dapat menanggung biaya yang dijamin setelah memperhitungkan deduktibel dan batas pertanggungan.

Garansi siber mungkin memberikan penggantian untuk biaya tertentu yang memenuhi syarat, termasuk biaya yang menjadi tanggungan perusahaan sendiri. Namun, tidak semua program menanggung biaya yang sama dan tidak semua biaya yang tidak dibayar asuransi otomatis dapat diklaim melalui garansi.

Karena itu, perusahaan sebaiknya tidak menjadikan garansi siber sebagai pengganti asuransi. Keduanya perlu dinilai berdasarkan risiko yang hendak dikelola dan ketentuan masing-masing.

Mengapa Vendor Keamanan Menawarkan Garansi Siber?

Salah satu alasan berkembangnya garansi siber adalah meningkatnya perhatian terhadap penerapan kontrol keamanan yang dapat diverifikasi. Perusahaan asuransi maupun penyedia garansi ingin mengetahui apakah organisasi telah menerapkan perlindungan dasar untuk mengurangi kemungkinan dan dampak serangan.

Kontrol seperti autentikasi multifaktor (MFA), pemantauan ancaman, pencadangan yang tahan terhadap perubahan tidak sah, serta pembaruan keamanan menjadi bagian penting dari pengelolaan risiko siber.

Vendor keamanan memiliki peran dalam menyediakan atau mengelola sebagian kontrol tersebut. Dengan menawarkan garansi, vendor dapat mengaitkan manfaat finansial dengan penerapan solusi dan persyaratan keamanan tertentu.

Bagi pelanggan, program semacam ini dapat memberikan nilai tambah karena tidak hanya berfokus pada teknologi, tetapi juga pada konsekuensi finansial dari insiden yang memenuhi syarat.

Namun, keberadaan garansi tidak membuktikan bahwa suatu produk kebal terhadap serangan. Perusahaan tetap perlu menilai efektivitas solusi, kualitas layanan, dukungan teknis, serta kesesuaian perlindungan dengan kebutuhan bisnis.

Biaya Apa Saja yang Dapat Ditanggung?

Cakupan garansi berbeda-beda menurut penyedia. Sebagai contoh, program garansi siber ESET yang dijelaskan dalam materi sumber mencakup beberapa kategori kejadian, dengan batas manfaat tersendiri.

1. Ransomware dan kompromi email bisnis

Program tertentu dapat memberikan manfaat ketika serangan ransomware menyebabkan hilangnya akses ke sistem, pencurian data, atau pengungkapan informasi sensitif. Kompromi akun email bisnis juga dapat termasuk dalam cakupan apabila memenuhi persyaratan program.

Namun, penipuan pembayaran yang terjadi semata-mata karena rekayasa sosial belum tentu ditanggung. Batasnya dapat bergantung pada apakah akun atau kontrol keamanan benar-benar dikompromikan, bukan hanya apakah karyawan tertipu untuk melakukan transfer.

2. Insiden kepatuhan

Jika insiden siber menyebabkan kebocoran data yang memicu kewajiban pemberitahuan kepada pihak terkait atau regulator, program tertentu dapat memberikan manfaat untuk biaya yang memenuhi persyaratan kontrak.

3. Tanggung jawab hukum siber

Sebagian program dapat mencakup biaya atau kewajiban hukum yang timbul dari tuntutan terkait pelanggaran privasi atau keamanan. Namun, cakupannya tidak selalu seluas perlindungan tanggung jawab pihak ketiga dalam polis asuransi.

4. Kehilangan pendapatan akibat gangguan bisnis

Insiden siber yang menghentikan atau mengganggu operasional dapat menyebabkan perusahaan kehilangan pendapatan. Garansi tertentu dapat memberikan manfaat untuk kerugian yang memenuhi definisi dan batas dalam kontrak.

Keempat kategori tersebut merupakan contoh dari program tertentu, bukan daftar standar yang berlaku untuk seluruh garansi siber. Perusahaan harus selalu memeriksa dokumen resmi program yang akan digunakan.

Jangan Hanya Melihat Nominal Perlindungan

Salah satu hal yang sering menimbulkan kesalahpahaman adalah nominal maksimal yang ditampilkan dalam penawaran garansi. Angka tersebut tidak selalu berarti setiap pelanggan dapat menerima pembayaran hingga jumlah tersebut untuk semua jenis insiden.

Perusahaan perlu mengetahui cara batas manfaat dihitung. Dalam program berbasis perangkat, misalnya, pembayaran dapat dibatasi berdasarkan jumlah perangkat yang terdampak. Sementara itu, program dengan batas per peserta dapat menetapkan jumlah maksimal untuk organisasi yang mengikuti program, sesuai aturan yang berlaku.

Perbedaan ini dapat menghasilkan nilai pembayaran yang sangat berbeda. Perusahaan dengan banyak perangkat belum tentu memperoleh manfaat lebih besar apabila batasnya dihitung per perangkat yang benar-benar terdampak. Sebaliknya, batas per peserta dapat menetapkan plafon keseluruhan yang berlaku bagi organisasi, terlepas dari jumlah perangkat yang dimilikinya.

Periksa pula apakah batas manfaat berlaku per insiden atau secara agregat selama masa kontrak. Pastikan perusahaan memahami jumlah klaim yang diperbolehkan, biaya yang memenuhi syarat, serta hubungan pembayaran garansi dengan asuransi atau manfaat finansial lainnya.

Syarat Keamanan yang Harus Dipenuhi

Garansi siber umumnya mensyaratkan penerapan kontrol keamanan tertentu. Jika kontrol wajib tidak tersedia, tidak aktif, atau tidak diterapkan pada sistem yang terdampak, klaim berisiko ditolak.

Dalam contoh program ESET yang dijelaskan sumber, terdapat sembilan area kontrol yang perlu diperhatikan.

Perlindungan endpoint: seluruh perangkat dalam cakupan harus dilindungi oleh solusi keamanan yang dikelola secara aktif.
Pemantauan ancaman: organisasi perlu menggunakan kemampuan pemantauan seperti managed detection and response (MDR) atau security information and event management (SIEM), sesuai persyaratan program.
Autentikasi multifaktor: MFA harus diterapkan pada akun email, akun administrator, dan akses berisiko tinggi lainnya.
Pencadangan data: pencadangan harus dilakukan secara berkala, dilindungi dari ransomware, dan diuji agar data dapat dipulihkan.
Enkripsi: data perlu dilindungi dengan metode enkripsi yang memenuhi persyaratan program.
Pembaruan keamanan: perbaikan kerentanan yang diketahui harus diterapkan sesuai tenggat yang ditentukan.
Kepatuhan: organisasi harus memenuhi ketentuan privasi, keamanan, dan regulasi yang relevan.
Edukasi keamanan: pelatihan karyawan dan kontraktor perlu dilakukan secara berkala serta didokumentasikan.
Pengendalian transaksi: perusahaan harus memiliki prosedur untuk memverifikasi transfer dana dan mencegah transaksi keuangan yang tidak sah.

Dalam contoh tersebut, persyaratan program mencakup penerapan pembaruan untuk kerentanan yang diketahui dalam waktu 60 hari sejak vendor merilis perbaikan. Tenggat ini merupakan ketentuan program yang dijelaskan dalam sumber, bukan aturan universal untuk semua garansi siber.

Perusahaan juga harus memastikan bahwa kontrol benar-benar beroperasi pada aset yang terdampak. Memiliki lisensi perangkat lunak saja belum tentu cukup jika solusi tidak pernah diterapkan atau tidak aktif pada sistem tersebut.

Mengapa Klaim Garansi Bisa Ditolak?

Klaim dapat gagal apabila organisasi tidak memenuhi ketentuan kontrak. Beberapa penyebab yang perlu diwaspadai meliputi:

MFA atau pembaruan keamanan belum diterapkan secara menyeluruh.
Solusi keamanan hanya dibeli, tetapi tidak dipasang pada perangkat yang terdampak.
Layanan pemantauan tidak aktif saat insiden terjadi.
Peringatan keamanan diabaikan tanpa tindak lanjut yang memadai.
Perusahaan terlambat melaporkan insiden.
Bukti yang diminta tidak tersedia atau tidak cukup untuk memverifikasi kejadian.
Insiden berada di luar cakupan program atau termasuk dalam pengecualian.

Garansi sudah tidak berlaku ketika insiden terjadi.

Insiden yang berdampak luas pada layanan pihak ketiga juga memerlukan pemeriksaan khusus. Misalnya, gangguan pada layanan cloud yang digunakan banyak organisasi tidak otomatis membuat klaim garansi diterima atau ditolak.

Penentuannya bergantung pada ketentuan program dan hubungan insiden dengan lingkungan perusahaan yang dilindungi.

Karena itu, perusahaan perlu menyimpan dokumentasi penerapan kontrol, catatan pemantauan, bukti pembaruan, dan hasil investigasi. Dokumentasi tersebut dapat membantu proses pemeriksaan ketika klaim diajukan.

Bagaimana Proses Klaim Garansi Siber?

Prosedur klaim berbeda menurut penyedia. Dalam contoh program ESET yang dijelaskan sumber, insiden harus dilaporkan dalam waktu 48 jam sejak ditemukan.

Sedangkan bukti pendukung harus diserahkan dalam waktu 15 hari. Tenggat tersebut merupakan ketentuan program tertentu dan perlu diverifikasi melalui dokumen resmi yang berlaku.

Secara umum, proses klaim dapat mencakup beberapa tahapan berikut.

Laporkan insiden secepatnya. Hubungi penyedia garansi dan, jika perusahaan memiliki asuransi siber, beri tahu perusahaan asuransi sesuai ketentuan polis. Jangan menunggu hingga seluruh dampak insiden diketahui jika penundaan dapat melewati tenggat pemberitahuan.
Pastikan status kepesertaan. Penyedia akan memeriksa apakah organisasi dan solusi yang terdampak masih tercakup pada tanggal insiden.
Verifikasi kontrol keamanan. Penyedia dapat memeriksa apakah persyaratan keamanan telah diterapkan dan berfungsi saat insiden terjadi, termasuk pada perangkat atau akun yang terdampak.
Serahkan bukti yang diperlukan. Catatan sistem, laporan investigasi, bukti penerapan kontrol, dan dokumen biaya dapat dibutuhkan untuk menentukan apakah klaim memenuhi syarat.
Tunggu keputusan klaim. Jika insiden memenuhi pemicu pembayaran, penyedia akan menentukan manfaat yang dapat dibayarkan sesuai batas dan ketentuan kontrak.

Jika asuransi siber juga menanggung insiden tersebut, perusahaan perlu mengikuti arahan penanggung dan memeriksa urutan pembayaran yang berlaku.

Jangan membayar tebusan ransomware tanpa persetujuan tertulis dari penanggung apabila persetujuan tersebut diwajibkan oleh polis. Pembayaran tanpa mengikuti ketentuan dapat memengaruhi kelayakan penggantian biaya.

Apakah Cyber Warranty Layak Dimiliki?

Garansi siber dapat memberikan manfaat apabila cakupannya sesuai dengan risiko perusahaan, persyaratannya realistis, dan biaya atau manfaatnya jelas. Nilai tambahnya juga dapat berasal dari dorongan untuk menerapkan kontrol keamanan yang lebih disiplin.

Namun, garansi bukan jaminan bahwa setiap serangan akan mendapatkan penggantian. Manfaatnya tetap dibatasi oleh jenis kejadian, plafon pembayaran, kontrol wajib, dan pengecualian. Program yang menawarkan nominal besar tetapi memiliki persyaratan yang sulit dipenuhi belum tentu memberikan perlindungan yang sesuai kebutuhan.

Sebelum memilih, perusahaan sebaiknya menanyakan beberapa hal penting: apakah batas manfaat dihitung per perangkat atau per organisasi, berapa lama tenggat pelaporan, kontrol apa yang harus aktif, berapa banyak klaim yang diperbolehkan, serta apakah garansi berlaku bersama asuransi siber atau hanya setelah manfaat lain digunakan.

Perusahaan juga perlu menilai solusi keamanan yang mendasari garansi tersebut. Garansi tidak dapat menggantikan produk yang efektif, penerapan yang benar, pemantauan aktif, dan kesiapan merespons insiden.

Strategi Pengelolaan Risiko Digital

Garansi siber dapat menjadi bagian dari strategi pengelolaan risiko digital, tetapi manfaatnya tidak boleh dinilai hanya dari angka perlindungan yang diiklankan. Perusahaan perlu memahami jenis insiden yang ditanggung, cara pembayaran dihitung, kontrol yang wajib dipenuhi, dan prosedur klaim yang berlaku.

Penerapan MFA, perlindungan endpoint, pemantauan ancaman, pencadangan yang aman, serta pembaruan keamanan membantu memperkuat pertahanan sekaligus mendukung pemenuhan persyaratan program tertentu.

Pada akhirnya, garansi siber paling tepat dipandang sebagai pelengkap perlindungan finansial dan praktik keamanan yang baik, bukan pengganti asuransi siber ataupun pengganti upaya mencegah dan menangani serangan.

Baca artikel lainnya: