Dilema CISO: Anggaran vs Keamanan Siber

Dilema CISO: Anggaran vs Keamanan Siber – Bayangkan Anda adalah seorang Chief Information Security Officer (CISO) di perusahaan menengah yang sukses di sektor kritis seperti telekomunikasi, bertugas mengelola dan menggelar simpul-simpul jaringan vital di seluruh negeri.

Peran Anda tidak hanya sebatas kontrol teknis, melainkan mencakup tanggung jawab melindungi infrastruktur berskala nasional sekaligus memastikan kepatuhan terhadap regulasi yang berlaku.

Sebagai bagian dari Public-Private Partnership (PPP) atau Kemitraan Pemerintah-Swasta, Anda berada dalam posisi serba salah: Bagaimana cara menjamin ketahanan siber jangka panjang saat anggaran pengadaan ditekan? Keamanan yang baik tidaklah murah, terutama pada industri dengan infrastruktur yang tersebar luas.

Jika keamanan yang dikorbankan demi efisiensi biaya, maka Anda memulai dari posisi yang buruk, sebab peretas tingkat negara (nation-state actors) kemungkinan besar sudah berada di dalam jaringan Anda.

Realita Kerja Kemitraan Pemerintah-Swasta (PPP)

PPP merupakan titik temu antara toleransi risiko, realitas keuangan, dan tekanan politik. Pengelola proyek bekerja dengan sumber daya terbatas dan persyaratan pemerintah yang ketat demi menyelesaikan tugas mereka.

Dalam sektor kritis seperti telekomunikasi, batasan ini semakin nyata. Sebagai contoh, seorang CISO mungkin tahu bahwa penawaran perangkat dari vendor tertentu jauh lebih tangguh daripada alternatif yang lebih murah.

Namun, komite pengadaan yang didorong oleh mitra publik mungkin mendesak opsi yang murah karena anggaran proyek yang terbatas.

Ketika kompromi harus terjadi, keamanan tidak boleh menjadi hal yang dikorbankan. Di era di mana kedaulatan digital dan blacklist vendor menjadi bagian dari diskusi strategis, matriks keputusan infrastruktur kritis harus menjadikan ketahanan siber (resilience) sebagai kriteria utama.

Pencegahan yang sempurna (perfect prevention) adalah sebuah ilusi. Perusahaan yang menyadari keberadaan insiden jauh lebih maju menuju tahap pemulihan (remediation) dibandingkan perusahaan yang hanya menunggu perangkap tertutup.

Jika pencegahan Anda bergantung pada biaya modal (capex) yang rendah dan biaya operasional yang lebih rendah lagi, maka yang perlu Anda bangun adalah sistem ketahanan berprioritas, di mana sikap pragmatis bertemu dengan pandangan strategis.

Peretas Merekam Jejak secara “Senyap”

Di sektor telekomunikasi, semua hal berkaitan dengan menghubungkan satu titik ke titik lain. Sistem di lapangan harus terhubung ke pusat operasi untuk memastikan kelangsungan operasional. Semua itu dikendalikan dari titik organisasi terpusat melalui berbagai endpoint IT.

Bagi seorang CISO, kondisi infrastruktur yang kompleks ini adalah kekacauan. Bagi seorang peretas, ini adalah “lahan bebas” untuk disusupi.

Bahaya Insiden Senyap (Quiet Incidents)

Banyak cerita melaporkan insiden pembobolan massal, namun bagaimana dengan serangan yang belum terungkap ke publik? Sekitar 33% dari seluruh kasus pembobolan tidak disadari oleh perusahaan, setidaknya sampai mereka menerima pesan tebusan (ransomware).

Masalah visibilitas ini tidak berhenti di perimeter internal. Berdasarkan survei keamanan industri terbaru, dari pengambil keputusan keamanan yang mengalami serangan eksternal 22%

Diantaranya berasal dari insiden yang melibatkan ekosistem eksternal atau pihak ketiga (third-party). Dalam lingkungan bisnis yang saling terhubung, rasa percaya saja tidak cukup.

Dalam kasus industri telekomunikasi, tidak jarang perusahaan menghadapi “insiden senyap”, di mana malware bersembunyi tanpa terdeteksi selama berbulan-bulan, bahkan bertahun-tahun. Sebagai contoh:

• Kasus Operator Seluler di Asia (2025): Terungkap bahwa sebuah operator besar menjadi korban peretasan senyap sejak 2021–2022. Peretas menyusup ke sistem, melakukan pergerakan lateral (lateral movement), dan mencuri data sensitif hampir 27 juta pengguna akibat minimnya keamanan kata sandi dan OS yang usang, memicu denda hingga puluhan juta dolar.
• Serangan Living-off-the-Land: Menurut laporan industri, lebih dari 63% operator telekomunikasi telah menghadapi setidaknya satu serangan living-off-the-land, di mana peretas menanamkan titik masuk (entry point) untuk dieksploitasi bertahun-tahun kemudian.

7 Praktik Ketahanan Siber Pragmatis 

Bagaimana seorang CISO dapat mengantisipasi kemungkinan penyusupan tersebut? Langkah awal yang praktis adalah mengasumsikan bahwa sistem telah atau dapat dikompromikan, lalu bersiap sesuai dengan asumsi tersebut.

CISO disarankan untuk merujuk pada standar keamanan internasional (seperti panduan ENISA) yang berfokus pada langkah-langkah konkret di 7 domain utama:

1. Tata Kelola dan Manajemen Risiko (Governance & Risk Management): Berfokus pada kepemilikan risiko (risk ownership). Tentukan secara jelas siapa yang bertanggung jawab mengurangi risiko dan siapa yang memiliki wewenang mengambil keputusan saat terjadi insiden.
2. Keamanan Sumber Daya Manusia (Human Resource Security): Kelola identitas dan hak akses karyawan, kontraktor, serta pemasok sepanjang masa kerja mereka. Terapkan prinsip least privilege dan segera hapus akun yang tidak lagi digunakan.
3. Keamanan Sistem dan Fasilitas (Systems & Facilities Security): Perluas kendali keamanan hingga ke platform cloud, SaaS, dan infrastruktur pemasok, mengingat area kerja kini mencakup sistem jarak jauh.
4. Manajemen Operasional (Operations Management): Lakukan pelacakan aset berbasis tingkat urgensi dan risikonya. Ketahui aset mana yang mendukung layanan kritis dan mana yang terekspos langsung ke internet.
5. Manajemen Insiden (Incident Management): Lakukan simulasi krisis, latihan red-team, dan uji coba playbook secara berkala. Desain alur respons untuk kondisi tidak sempurna saat berada di bawah tekanan.
6. Manajemen Kelangsungan Bisnis (Business Continuity Management): Pahami layanan, data, dan proses mana yang paling vital bagi operasional perusahaan agar pemulihan (recovery) dapat dilakukan dengan cepat tanpa gangguan jangka panjang.
7. Pemantauan, Audit, dan Pengujian (Monitoring, Auditing & Testing): Buat alur umpan balik (feedback loop) dari setiap temuan audit dan insiden untuk menerapkan perubahan nyata pada sistem keamanan.

Keyakinan CISO Membawa Perubahan

Argumentasi terkuat seorang CISO saat mengajukan anggaran keamanan bukanlah harga dari solusi tersebut, melainkan biaya yang harus dibayar jika insiden terjadi.

Downtime, sanksi regulasi, hilangnya pelanggan, biaya respons insiden, hingga kerusakan reputasi semuanya membawa kerugian finansial yang sangat besar.

“Keamanan siber bukanlah masalah IT yang bisa dilimpahkan ke bawah lalu dilupakan. Ini adalah masalah ketahanan bisnis, kelangsungan operasional, kepercayaan publik, kepatuhan regulasi, dan dalam kasus telekomunikasi, ini adalah infrastruktur nasional,” tegas Enrik Biath,

Senior Cybersecurity Consultant di ESET. “Pilihan teknis itu penting, tetapi keputusan yang lebih besar adalah seberapa besar risiko yang sanggup ditanggung oleh organisasi, siapa yang memegang risiko tersebut, dan apakah bisnis dapat bertahan jika pilihan itu gagal.”

Melalui layanan penasihat seperti ESET PRIVATE Advisory, organisasi dibantu untuk memperlakukan keamanan siber bukan sebagai fungsi IT yang terisolasi, melainkan sebagai prioritas kelangsungan bisnis (business continuity).

Dengan pengalaman lebih dari 30 tahun dalam riset ancaman global, ESET membantu memperkuat kepatuhan, kesadaran, dan kesiapsiagaan krisis untuk menjaga operasional inti organisasi tetap terlindungi.

Sumber berita:

WeLiveSecurity