Membangun Resiliensi Siber pada Sistem Pelayanan Masyarakat
1. Pendahuluan
Transformasi digital telah menjadi bagian yang tidak terpisahkan dari penyelenggaraan pelayanan masyarakat. Pemerintah dan organisasi publik semakin bergantung pada sistem elektronik untuk menyediakan berbagai layanan, mulai dari administrasi kependudukan, kesehatan, pendidikan, perpajakan, perizinan, bantuan sosial, hingga layanan informasi dan administrasi pemerintahan.
Digitalisasi memberikan manfaat besar bagi masyarakat. Proses pelayanan menjadi lebih cepat, akses dapat dilakukan tanpa harus datang langsung ke kantor, pertukaran informasi antarinstansi menjadi lebih mudah, dan pemerintah dapat mengelola data dalam skala yang jauh lebih besar.
Namun, ketergantungan terhadap teknologi juga menciptakan konsekuensi baru. Gangguan pada sistem digital dapat secara langsung mengganggu pelayanan masyarakat. Serangan ransomware, pencurian kredensial, eksploitasi kerentanan aplikasi, kebocoran data, serangan terhadap infrastruktur jaringan, kegagalan pusat data, maupun gangguan pada penyedia layanan pihak ketiga dapat menyebabkan layanan publik tidak tersedia.
Situasi tersebut menunjukkan bahwa keamanan siber tidak cukup hanya berorientasi pada pencegahan serangan.
Sebuah sistem pelayanan masyarakat harus memiliki kemampuan untuk mempersiapkan diri, mencegah, mendeteksi, merespons, bertahan, memulihkan, dan belajar dari gangguan siber.
Kemampuan tersebut dikenal sebagai resiliensi siber atau cyber resilience.
Resiliensi siber merupakan kemampuan organisasi dan sistem untuk tetap menjalankan fungsi penting ketika menghadapi gangguan siber, membatasi dampak insiden, memulihkan layanan dalam waktu yang dapat diterima, dan meningkatkan kemampuan pertahanan berdasarkan pengalaman sebelumnya.
Dengan demikian, membangun resiliensi siber bukan hanya proyek teknologi. Resiliensi merupakan bagian dari tata kelola organisasi, manajemen risiko, keberlangsungan layanan, perlindungan data, sumber daya manusia, dan kepercayaan publik.
2. Memahami Konsep Resiliensi Siber
2.1 Pengertian Resiliensi Siber
Resiliensi siber dapat dipahami sebagai kemampuan suatu organisasi atau sistem untuk menghadapi kondisi yang mengganggu keamanan dan operasional digital tanpa kehilangan kemampuan untuk menjalankan fungsi utamanya secara permanen.
Konsep ini memiliki perbedaan dengan keamanan siber tradisional.
Keamanan siber secara umum berfokus pada pencegahan dan perlindungan terhadap ancaman.
Resiliensi siber memiliki cakupan lebih luas karena mengakui bahwa tidak ada sistem yang dapat dijamin bebas dari serangan.
Karena itu, organisasi harus mempersiapkan diri terhadap kemungkinan bahwa:
sistem akan diserang;
akun dapat dikompromikan;
aplikasi dapat memiliki kerentanan;
infrastruktur dapat mengalami kegagalan;
data dapat rusak;
layanan pihak ketiga dapat terganggu;
atau mekanisme pertahanan dapat ditembus.
Pertanyaan utama resiliensi bukan hanya:
“Bagaimana mencegah serangan?”
Tetapi juga:
“Apa yang dilakukan jika serangan berhasil?”
2.2 Perbedaan Security dan Resilience
Security berusaha mengurangi kemungkinan dan dampak serangan.
Resilience memastikan organisasi tetap mampu berfungsi ketika perlindungan tersebut gagal.
Sebagai contoh, firewall merupakan kontrol keamanan.
Namun, kemampuan memindahkan layanan ke infrastruktur cadangan ketika server utama mengalami serangan merupakan bagian dari resiliensi.
Demikian pula, backup merupakan kontrol penting, tetapi kemampuan memulihkan backup dengan cepat dan aman merupakan bagian dari resiliensi.
2.3 Empat Dimensi Resiliensi
Secara konseptual, resiliensi dapat dibangun melalui empat kemampuan utama:
Prepare — mempersiapkan organisasi menghadapi gangguan.
Withstand — mempertahankan fungsi penting selama serangan.
Recover — memulihkan layanan setelah gangguan.
Adapt — memperbaiki sistem berdasarkan pengalaman.
Keempatnya harus berjalan sebagai siklus.
3. Mengapa Resiliensi Siber Penting bagi Pelayanan Masyarakat?
3.1 Layanan Publik Bersifat Kritis
Masyarakat tidak selalu memiliki alternatif ketika layanan pemerintah mengalami gangguan.
Jika sebuah sistem administrasi publik tidak tersedia, masyarakat dapat kehilangan akses terhadap dokumen atau layanan yang dibutuhkan.
Jika sistem kesehatan terganggu, dampaknya dapat berhubungan langsung dengan keselamatan masyarakat.
Karena itu, tingkat toleransi terhadap gangguan pada layanan publik tertentu sangat rendah.
3.2 Dampak Gangguan Tidak Hanya Bersifat Teknologi
Serangan siber dapat menimbulkan:
gangguan pelayanan;
kerugian finansial;
kebocoran data;
kehilangan produktivitas;
kerusakan reputasi;
beban administratif;
dan menurunnya kepercayaan masyarakat.
Dalam kasus tertentu, dampaknya dapat menjalar ke sektor lain karena sistem pemerintahan saling terhubung.
3.3 Ketergantungan Antar Sistem
Sistem pelayanan publik jarang berdiri sendiri.
Satu aplikasi dapat bergantung pada:
database;
jaringan;
sistem identitas;
API;
cloud;
pusat data;
sistem pembayaran;
layanan SMS atau email;
dan pihak ketiga.
Akibatnya, gangguan terhadap satu komponen dapat menghasilkan efek domino.
4. Prinsip Dasar Membangun Resiliensi Siber
4.1 Risk-Based Approach
Tidak semua sistem memiliki tingkat kritikalitas yang sama.
Instansi harus mengidentifikasi layanan yang paling penting kemudian menentukan tingkat perlindungan berdasarkan risiko.
Prioritas harus diberikan kepada sistem yang:
digunakan masyarakat dalam jumlah besar;
mengelola data sensitif;
mendukung fungsi pemerintahan penting;
memiliki ketergantungan tinggi;
atau sulit digantikan ketika gagal.
4.2 Defense in Depth
Pertahanan harus dibangun dalam beberapa lapisan.
Lapisan tersebut dapat mencakup:
identity security;
endpoint protection;
network security;
application security;
data protection;
monitoring;
backup;
incident response;
dan disaster recovery.
Jika satu lapisan gagal, lapisan lainnya masih dapat membatasi dampak.
4.3 Least Privilege
Pengguna hanya diberikan akses yang diperlukan untuk menjalankan pekerjaannya.
Prinsip ini penting karena akun dengan hak akses berlebihan dapat menjadi jalur utama penyebaran serangan.
4.4 Zero Trust
Zero Trust menggunakan prinsip bahwa tidak ada pengguna atau perangkat yang secara otomatis dipercaya hanya karena berada di dalam jaringan organisasi.
Setiap permintaan akses harus dievaluasi berdasarkan:
identitas;
hak akses;
kondisi perangkat;
konteks;
kebijakan;
dan tingkat risiko.
4.5 Secure by Design
Keamanan harus diperhitungkan sejak tahap perencanaan layanan.
Menambahkan keamanan setelah aplikasi selesai dibangun biasanya lebih mahal dan lebih sulit dibandingkan memasukkan keamanan sejak awal.
5. Identifikasi Sistem Pelayanan yang Kritis
5.1 Inventarisasi Aset
Langkah pertama adalah mengetahui aset yang dimiliki.
Inventarisasi harus mencakup:
aplikasi;
server;
database;
endpoint;
jaringan;
cloud;
API;
akun;
data;
sertifikat;
dan layanan pihak ketiga.
Tanpa inventarisasi, organisasi sulit menentukan apa yang harus dilindungi.
5.2 Menentukan Layanan Prioritas
Setelah aset diidentifikasi, instansi perlu menentukan layanan yang paling kritis.
Pertanyaan yang dapat digunakan antara lain:
Apa yang terjadi jika layanan berhenti?
Berapa banyak masyarakat yang terdampak?
Berapa lama layanan dapat berhenti?
Apakah terdapat alternatif manual?
Apakah data dapat dipulihkan?
Apakah gangguan dapat menyebabkan dampak lintas instansi?
5.3 Dependency Mapping
Instansi perlu memetakan ketergantungan antar komponen.
Sebagai contoh:
Layanan Publik → API → Identity Service → Database → Storage → Network → Data Center
Dengan peta tersebut, organisasi dapat mengetahui komponen mana yang menjadi single point of failure.
6. Pengelolaan Risiko Siber
6.1 Identifikasi Ancaman
Ancaman yang perlu dipertimbangkan meliputi:
ransomware;
phishing;
credential theft;
malware;
insider threat;
denial-of-service;
eksploitasi kerentanan;
supply-chain attack;
dan serangan terhadap pihak ketiga.
6.2 Identifikasi Kerentanan
Kerentanan dapat berasal dari:
software yang tidak diperbarui;
konfigurasi yang salah;
password lemah;
hak akses berlebihan;
aplikasi yang tidak aman;
jaringan yang tidak tersegmentasi;
atau prosedur operasional yang tidak memadai.
6.3 Penilaian Dampak
Dampak harus dinilai dari perspektif pelayanan masyarakat.
Dampak dapat mencakup:
jumlah pengguna;
durasi gangguan;
sensitivitas data;
kerugian finansial;
dampak hukum;
dan konsekuensi terhadap kepentingan publik.
7. Membangun Arsitektur Infrastruktur yang Tangguh
7.1 Redundansi
Komponen penting sebaiknya tidak memiliki satu titik kegagalan.
Redundansi dapat diterapkan pada:
server;
database;
jaringan;
koneksi internet;
storage;
dan pusat data.
7.2 High Availability
Sistem kritis perlu dirancang agar tetap tersedia ketika salah satu komponen mengalami kegagalan.
Teknik dapat meliputi:
clustering;
load balancing;
failover;
replication;
dan redundant network.
7.3 Segmentasi Jaringan
Jaringan sebaiknya dipisahkan berdasarkan fungsi dan tingkat sensitivitas.
Segmentasi dapat membatasi pergerakan lateral penyerang ketika satu sistem berhasil dikompromikan.
7.4 Infrastruktur Cloud
Cloud dapat memberikan fleksibilitas dan skalabilitas, tetapi tidak menghilangkan tanggung jawab keamanan.
Instansi harus memahami model shared responsibility serta memastikan konfigurasi cloud sesuai dengan kebutuhan keamanan.
8. Ketahanan Data
8.1 Data sebagai Aset Strategis
Dalam pelayanan digital, data merupakan salah satu aset paling penting.
Kehilangan atau manipulasi data dapat sama seriusnya dengan hilangnya infrastruktur.
8.2 Backup
Backup harus memiliki:
jadwal;
kebijakan retensi;
kontrol akses;
enkripsi;
monitoring;
dan prosedur pemulihan.
8.3 Immutable Backup
Untuk menghadapi ransomware, organisasi dapat mempertimbangkan mekanisme backup yang sulit atau tidak dapat dimodifikasi maupun dihapus oleh akun yang telah dikompromikan.
8.4 Pengujian Restore
Backup tidak boleh dianggap aman hanya karena proses backup berhasil.
Organisasi harus menguji apakah data benar-benar dapat dipulihkan.
Pengujian harus dilakukan secara berkala dan terdokumentasi.
9. Ketahanan Identitas dan Akses
9.1 Multi-Factor Authentication
MFA memberikan lapisan perlindungan tambahan apabila password pengguna dicuri.
MFA harus diprioritaskan untuk:
administrator;
akun privileged;
akses remote;
aplikasi kritis;
dan sistem yang memproses data sensitif.
9.2 Privileged Access Management
Akun administrator memiliki risiko tinggi.
Karena itu, organisasi dapat menerapkan:
privileged access management;
session monitoring;
just-in-time access;
approval;
dan periodic review.
9.3 Identity Lifecycle
Akun harus dikelola sepanjang siklus hidupnya.
Ketika seseorang berganti jabatan, hak akses harus disesuaikan.
Ketika seseorang meninggalkan organisasi, akses harus segera dicabut.
10. Keamanan Aplikasi Pelayanan Masyarakat
10.1 Secure Development Lifecycle
Keamanan harus dimasukkan ke dalam seluruh siklus pengembangan:
perencanaan;
desain;
pengembangan;
pengujian;
deployment;
monitoring;
pemeliharaan.
10.2 Pengujian Keamanan
Pengujian dapat mencakup:
vulnerability assessment;
code review;
security testing;
penetration testing;
dan pengujian konfigurasi.
10.3 Keamanan API
API merupakan salah satu komponen penting dalam ekosistem layanan digital.
Kontrol yang diperlukan antara lain:
authentication;
authorization;
input validation;
rate limiting;
logging;
monitoring;
dan proteksi terhadap penyalahgunaan.
11. Monitoring dan Deteksi Dini
11.1 Pentingnya Visibility
Organisasi tidak dapat merespons serangan yang tidak diketahui.
Karena itu, sistem monitoring harus memberikan visibility terhadap:
login;
perubahan konfigurasi;
aktivitas administrator;
koneksi jaringan;
aktivitas endpoint;
akses data;
dan anomali aplikasi.
11.2 Security Information and Event Management
SIEM dapat digunakan untuk mengumpulkan dan menganalisis log dari berbagai sumber.
Tujuannya bukan hanya menyimpan log, tetapi menghasilkan informasi yang membantu mendeteksi aktivitas mencurigakan.
11.3 Security Operations Center
Untuk organisasi dengan tingkat kebutuhan tertentu, SOC dapat menjadi pusat monitoring dan respons keamanan.
SOC dapat menjalankan fungsi:
monitoring;
detection;
triage;
investigation;
incident response;
dan threat analysis.
12. Manajemen Insiden Siber
12.1 Incident Response Plan
Setiap instansi yang mengelola layanan kritis harus memiliki rencana respons insiden.
Rencana tersebut harus menjawab:
siapa yang bertanggung jawab;
bagaimana insiden dilaporkan;
siapa yang mengambil keputusan;
bagaimana sistem diisolasi;
bagaimana komunikasi dilakukan;
dan bagaimana pemulihan dijalankan.
12.2 Tahapan Respons
Tahapan respons dapat meliputi:
preparation;
detection;
analysis;
containment;
eradication;
recovery;
lessons learned.
12.3 Komunikasi Krisis
Ketika terjadi gangguan layanan, komunikasi kepada masyarakat menjadi sangat penting.
Informasi yang disampaikan harus:
akurat;
konsisten;
tidak menyesatkan;
mudah dipahami;
dan memberikan informasi mengenai langkah yang harus dilakukan masyarakat.
Komunikasi yang buruk dapat memperbesar dampak sosial dari sebuah insiden.
13. Business Continuity dan Disaster Recovery
13.1 Business Continuity
Business continuity memastikan fungsi penting organisasi tetap berjalan ketika terjadi gangguan.
Tidak semua fungsi harus dipulihkan secara bersamaan.
Organisasi perlu menentukan prioritas layanan.
13.2 Recovery Time Objective
RTO menentukan berapa lama layanan dapat ditoleransi tidak tersedia sebelum harus dipulihkan.
13.3 Recovery Point Objective
RPO menentukan seberapa banyak kehilangan data yang dapat diterima.
13.4 Disaster Recovery Site
Layanan kritis dapat membutuhkan lokasi pemulihan alternatif.
Lokasi tersebut harus diuji agar organisasi mengetahui apakah benar-benar dapat digunakan ketika terjadi bencana atau serangan besar.
14. Resiliensi terhadap Ransomware
Ransomware merupakan salah satu ancaman yang sangat relevan terhadap organisasi publik.
Serangan dapat mengenkripsi data dan membuat layanan tidak tersedia.
Resiliensi terhadap ransomware memerlukan beberapa lapisan:
MFA;
least privilege;
segmentasi jaringan;
endpoint protection;
vulnerability management;
monitoring;
immutable backup;
recovery testing;
incident response;
dan latihan simulasi.
Organisasi juga harus memastikan bahwa backup tidak dapat dengan mudah ikut terenkripsi atau dihapus oleh penyerang.
15. Resiliensi Rantai Pasok Digital
15.1 Mengapa Vendor Menjadi Risiko?
Sistem pelayanan publik sering menggunakan komponen pihak ketiga.
Jika vendor mengalami kompromi, dampaknya dapat menjalar ke instansi pengguna.
15.2 Vendor Risk Management
Evaluasi vendor dapat mencakup:
keamanan produk;
sertifikasi;
kontrol akses;
proses patch;
keamanan pengembangan;
pengelolaan data;
respons insiden;
dan kemampuan pemulihan.
15.3 Persyaratan Kontrak
Kontrak sebaiknya menetapkan:
kewajiban keamanan;
notifikasi insiden;
hak audit;
perlindungan data;
persyaratan pemulihan;
dan mekanisme penghentian akses.
16. Peran Regulasi dalam Resiliensi Siber
Resiliensi sistem pelayanan publik tidak dapat dilepaskan dari kerangka regulasi Indonesia.
Beberapa landasan penting antara lain:
16.1 Sistem Pemerintahan Berbasis Elektronik
Perpres Nomor 95 Tahun 2018 memberikan landasan penyelenggaraan SPBE.
Keamanan menjadi salah satu komponen penting agar sistem pemerintahan berbasis elektronik dapat berjalan secara andal.
16.2 Manajemen Keamanan SPBE
Peraturan BSSN Nomor 4 Tahun 2021 memberikan pedoman manajemen keamanan informasi SPBE serta standar teknis dan prosedur keamanan SPBE.
Regulasi ini penting dalam menerjemahkan kebutuhan keamanan menjadi mekanisme pengelolaan yang lebih operasional.
16.3 Pelindungan Data Pribadi
UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi memberikan kerangka hukum bagi pemrosesan dan pelindungan data pribadi.
Resiliensi harus memastikan bahwa pemulihan layanan tidak mengorbankan keamanan dan pelindungan data.
16.4 Infrastruktur Informasi Vital
Perpres Nomor 82 Tahun 2022 mengatur pelindungan Infrastruktur Informasi Vital.
Bagi sistem yang termasuk dalam cakupannya, kemampuan mempertahankan dan memulihkan layanan menjadi bagian penting dari perlindungan kepentingan nasional.
17. Pengukuran Tingkat Resiliensi
Resiliensi harus dapat diukur.
Beberapa indikator yang dapat digunakan antara lain:
17.1 Mean Time to Detect
Mengukur waktu yang diperlukan untuk mendeteksi insiden.
17.2 Mean Time to Respond
Mengukur waktu yang diperlukan untuk memberikan respons.
17.3 Mean Time to Recover
Mengukur waktu yang diperlukan untuk memulihkan layanan.
17.4 Recovery Success Rate
Mengukur persentase keberhasilan proses pemulihan.
17.5 Backup Recovery Test
Mengukur keberhasilan pengujian pemulihan backup.
17.6 Critical Vulnerability Remediation
Mengukur seberapa cepat kerentanan kritis diperbaiki.
17.7 Availability
Mengukur tingkat ketersediaan layanan.
Indikator tersebut dapat digunakan untuk menentukan apakah program resiliensi benar-benar menghasilkan peningkatan.
18. Pengujian Resiliensi Siber
18.1 Tabletop Exercise
Tim diberikan skenario insiden kemudian diminta menentukan keputusan yang harus dilakukan.
Metode ini relatif murah dan efektif untuk menguji koordinasi.
18.2 Disaster Recovery Test
Organisasi menguji proses pemulihan layanan.
18.3 Backup Restore Test
Backup dipulihkan untuk memastikan data benar-benar dapat digunakan.
18.4 Penetration Testing
Pengujian penetrasi dapat digunakan untuk mengidentifikasi kelemahan keamanan yang dapat dieksploitasi secara terkendali.
18.5 Red Team Exercise
Untuk organisasi dengan tingkat kematangan tertentu, red team exercise dapat digunakan untuk menguji kemampuan pertahanan secara lebih realistis.
Pengujian harus dilakukan dengan otorisasi dan batasan yang jelas agar tidak mengganggu layanan publik.
19. Sumber Daya Manusia dan Budaya Keamanan
19.1 Manusia sebagai Komponen Pertahanan
Teknologi yang canggih tidak akan efektif jika pengguna tidak memahami risiko.
Phishing, social engineering, penggunaan password yang buruk, dan kesalahan konfigurasi masih dapat menjadi jalur masuk serangan.
19.2 Pelatihan
Pelatihan harus disesuaikan dengan peran.
Pegawai biasa membutuhkan pemahaman dasar keamanan.
Administrator membutuhkan pelatihan teknis yang lebih mendalam.
Pimpinan membutuhkan pemahaman mengenai risiko dan pengambilan keputusan ketika terjadi insiden.
19.3 Budaya Pelaporan
Pegawai harus merasa aman untuk melaporkan:
email mencurigakan;
perangkat hilang;
akun terkompromi;
salah kirim data;
atau aktivitas abnormal.
Pelaporan cepat dapat mengurangi dampak insiden.
20. Tata Kelola Resiliensi Siber
20.1 Peran Pimpinan
Resiliensi harus mendapatkan dukungan langsung dari pimpinan.
Pimpinan menentukan:
prioritas;
anggaran;
risk appetite;
kebijakan;
dan tingkat toleransi gangguan.
20.2 Peran CISO atau Fungsi Keamanan
Fungsi keamanan bertanggung jawab mengoordinasikan:
kebijakan;
risiko;
monitoring;
incident response;
dan peningkatan keamanan.
20.3 Peran Pemilik Layanan
Pemilik layanan harus menentukan tingkat kritikalitas dan kebutuhan pemulihan.
Tim TI tidak boleh menentukan sendiri tanpa memahami dampak bisnis dan pelayanan.
20.4 Audit Internal
Audit memberikan evaluasi independen terhadap efektivitas kontrol.
21. Strategi Implementasi Resiliensi Siber
Instansi dapat membangun program secara bertahap.
Tahap 1: Assessment
Identifikasi aset, layanan kritis, risiko, dan ketergantungan.
Tahap 2: Prioritization
Tentukan layanan yang harus mendapatkan perlindungan dan pemulihan paling cepat.
Tahap 3: Protection
Implementasikan kontrol keamanan utama.
Tahap 4: Detection
Bangun monitoring dan kemampuan deteksi.
Tahap 5: Response
Bangun prosedur dan tim respons insiden.
Tahap 6: Recovery
Implementasikan backup, disaster recovery, dan pemulihan layanan.
Tahap 7: Testing
Lakukan simulasi dan pengujian secara berkala.
Tahap 8: Improvement
Gunakan hasil pengujian dan insiden sebagai dasar perbaikan.
22. Tantangan Membangun Resiliensi Siber
22.1 Sistem Legacy
Sistem lama dapat sulit diintegrasikan dengan teknologi keamanan modern.
22.2 Keterbatasan Anggaran
Instansi perlu menentukan prioritas berdasarkan risiko.
22.3 Kekurangan Tenaga Ahli
Resiliensi membutuhkan kompetensi di bidang keamanan, jaringan, cloud, aplikasi, data, dan manajemen risiko.
22.4 Kompleksitas Integrasi
Semakin banyak sistem terhubung, semakin besar kemungkinan adanya dependency yang tidak terlihat.
22.5 Ketergantungan Vendor
Gangguan pada vendor dapat mengganggu layanan pemerintah.
22.6 Perubahan Ancaman
Teknik serangan berkembang dengan cepat sehingga kontrol harus dievaluasi secara berkala.
23. Masa Depan Resiliensi Siber
Masa depan pelayanan publik akan semakin bergantung pada teknologi seperti:
artificial intelligence;
cloud computing;
Internet of Things;
API;
microservices;
automation;
dan data analytics.
Teknologi tersebut meningkatkan kemampuan layanan tetapi juga menciptakan permukaan serangan baru.
AI, misalnya, dapat membantu mendeteksi anomali dan mempercepat analisis insiden. Namun, AI juga dapat digunakan oleh penyerang untuk meningkatkan skala dan kecepatan serangan.
Karena itu, organisasi harus membangun resiliensi yang bersifat adaptif.
Resiliensi masa depan tidak cukup hanya mengandalkan backup dan disaster recovery.
Organisasi harus mampu memahami perubahan ancaman, memperbarui kontrol, meningkatkan kemampuan manusia, dan menyesuaikan arsitektur teknologi.
24. Rekomendasi Strategis
Untuk membangun sistem pelayanan masyarakat yang resilien, beberapa rekomendasi utama dapat diterapkan.
24.1 Jadikan Resiliensi sebagai Prioritas Organisasi
Resiliensi tidak boleh hanya menjadi proyek unit TI.
24.2 Identifikasi Layanan yang Paling Kritis
Prioritaskan layanan berdasarkan dampak terhadap masyarakat.
24.3 Terapkan Zero Trust
Gunakan identitas sebagai dasar pengendalian akses dan kurangi kepercayaan implisit.
24.4 Perkuat Backup
Gunakan strategi backup yang terlindungi dari manipulasi dan uji proses restore secara berkala.
24.5 Bangun Kemampuan Monitoring
Pastikan aktivitas penting dapat terdeteksi dan dianalisis.
24.6 Latih Tim Secara Berkala
Lakukan tabletop exercise, disaster recovery exercise, dan simulasi insiden.
24.7 Evaluasi Vendor
Pastikan pihak ketiga memenuhi persyaratan keamanan yang relevan.
24.8 Ukur Hasil
Gunakan indikator seperti waktu deteksi, waktu respons, waktu pemulihan, availability, dan keberhasilan recovery.
24.9 Lakukan Perbaikan Berkelanjutan
Setiap insiden dan hasil pengujian harus menghasilkan tindakan perbaikan.
25. Kesimpulan
Resiliensi siber merupakan kebutuhan fundamental bagi sistem pelayanan masyarakat di era digital.
Ketergantungan pemerintah terhadap sistem elektronik membuat gangguan siber bukan lagi sekadar persoalan teknologi. Gangguan tersebut dapat berdampak langsung terhadap masyarakat, administrasi pemerintahan, perekonomian, perlindungan data, dan kepercayaan publik.
Karena itu, instansi publik harus bergerak dari paradigma “mencegah semua serangan” menuju paradigma “mempersiapkan organisasi agar mampu menghadapi serangan dan tetap menjalankan fungsi penting”.
Membangun resiliensi membutuhkan pendekatan menyeluruh yang mencakup:
identifikasi aset;
penilaian risiko;
perlindungan infrastruktur;
keamanan aplikasi;
pengamanan identitas;
perlindungan data;
monitoring;
incident response;
backup;
disaster recovery;
pengelolaan pihak ketiga;
pengujian;
serta peningkatan kompetensi manusia.
Kerangka regulasi Indonesia seperti SPBE, Pelindungan Data Pribadi, dan Pelindungan Infrastruktur Informasi Vital memberikan dasar penting bagi penguatan keamanan dan ketahanan sistem pemerintahan.
Namun, regulasi saja tidak cukup.
Resiliensi yang sesungguhnya muncul ketika regulasi diterjemahkan menjadi kebijakan, kebijakan diterapkan menjadi kontrol, kontrol diuji secara berkala, dan hasil pengujian digunakan untuk melakukan perbaikan.
Pada akhirnya, tujuan utama resiliensi siber bukan sekadar menjaga komputer atau jaringan tetap aman. Tujuan yang lebih besar adalah memastikan bahwa masyarakat tetap dapat memperoleh layanan yang penting ketika organisasi menghadapi gangguan digital.
Sebuah instansi dapat dikatakan memiliki resiliensi yang matang ketika ia tidak hanya mampu mencegah serangan, tetapi juga mampu mendeteksi serangan lebih awal, membatasi dampaknya, mempertahankan layanan penting, memulihkan sistem secara aman, melindungi data masyarakat, dan belajar dari setiap kejadian.
Dengan demikian, resiliensi siber harus diposisikan sebagai bagian dari kualitas pelayanan publik itu sendiri. Pemerintahan digital yang aman dan resilien bukan hanya lebih siap menghadapi ancaman siber, tetapi juga lebih mampu memenuhi tanggung jawabnya kepada masyarakat secara berkelanjutan.
