Pendahuluan
Perkembangan transformasi digital, adopsi cloud computing, mobile banking, fintech, Internet of Things (IoT), serta integrasi layanan digital telah meningkatkan kompleksitas infrastruktur jaringan organisasi. Di sisi lain, ancaman siber seperti ransomware, Advanced Persistent Threat (APT), Distributed Denial of Service (DDoS), credential theft, insider threat, dan supply chain attack terus berkembang dengan dampak yang semakin signifikan terhadap operasional bisnis.
Dalam konteks tersebut, keamanan jaringan tidak lagi dipandang sebagai isu teknis semata, melainkan menjadi bagian dari Governance, Risk Management, and Compliance (GRC). Organisasi dituntut untuk memastikan bahwa pengelolaan keamanan jaringan mendukung tujuan bisnis, mengelola risiko secara efektif, serta memenuhi berbagai persyaratan regulasi dan standar yang berlaku.
Pendekatan Network Security GRC mengintegrasikan aspek tata kelola, manajemen risiko, kontrol keamanan, monitoring, respons insiden, dan ketahanan operasional dengan mengacu pada regulasi nasional, standar internasional, framework keamanan siber, dan best practice industri.
Mengapa Network Security Harus Dikelola Melalui Pendekatan GRC?
Secara tradisional, keamanan jaringan sering difokuskan pada implementasi teknologi seperti firewall, VPN, IDS/IPS, dan antivirus. Namun berbagai insiden menunjukkan bahwa teknologi saja tidak cukup.
Beberapa penyebab utama kegagalan keamanan jaringan antara lain:
- Tidak adanya tata kelola keamanan jaringan.
- Kurangnya kepemilikan risiko oleh manajemen.
- Tidak adanya proses risk assessment yang berkelanjutan.
- Monitoring yang tidak efektif.
- Kegagalan dalam mendeteksi dan merespons insiden.
- Ketidakpatuhan terhadap regulasi.
Oleh karena itu, organisasi perlu menerapkan pendekatan GRC yang memastikan bahwa seluruh kontrol keamanan jaringan didasarkan pada risiko bisnis dan persyaratan kepatuhan.
Regulasi Indonesia sebagai Dasar Kepatuhan Network Security
Bank Indonesia (BI)
PBI No. 23/6/PBI/2021 tentang Penyedia Jasa Pembayaran
Regulasi ini mengharuskan penyelenggara jasa pembayaran menerapkan keamanan informasi dan ketahanan siber yang memadai.
Fokus keamanan jaringan meliputi:
- Network Segmentation
- Secure Connectivity
- Security Monitoring
- Cyber Resilience
- Incident Response
- Business Continuity
PADG Manajemen Risiko TI
Menekankan:
- Pengelolaan risiko jaringan
- Monitoring infrastruktur
- Ketersediaan layanan kritikal
- Disaster Recovery
Otoritas Jasa Keuangan (OJK)
POJK No.11 Tahun 2022
Mengatur penyelenggaraan teknologi informasi oleh bank umum.
Fokus utama:
- Network Security Architecture
- Vulnerability Management
- Security Monitoring
- Security Operations Center (SOC)
- Incident Handling
SEOJK Manajemen Risiko TI
Menuntut:
- Pengelolaan akses jaringan
- Monitoring aktivitas jaringan
- Penanganan insiden siber
POJK MRTI
Menekankan penerapan:
- Cyber Risk Management
- Cyber Resilience
- Risk-Based Security Control
KOMINFO
UU No.27 Tahun 2022 (UU PDP)
Mewajibkan organisasi melindungi data pribadi melalui:
- Access Control
- Encryption
- Monitoring
- Incident Notification
PP No.71 Tahun 2019 (PSTE)
Mengatur kewajiban:
- Keamanan Sistem Elektronik
- Audit Trail
- Ketersediaan Sistem
- Pengamanan Jaringan
Permenkominfo No.5 Tahun 2020
Mengharuskan penyelenggara sistem elektronik menyediakan:
- Logging
- Monitoring
- Pelaporan Insiden
Badan Siber dan Sandi Negara (BSSN)
Pedoman SPBE
Menekankan:
- Tata Kelola Keamanan Siber
- Monitoring Infrastruktur
- Pengelolaan Risiko Siber
Indeks KAMI
Menjadi alat ukur tingkat kematangan keamanan informasi organisasi.
Pedoman CSIRT Nasional
Mendorong pembentukan:
- Computer Security Incident Response Team (CSIRT)
- Incident Handling Process
- Cyber Crisis Management
Standar Internasional untuk Network Security GRC
ISO/IEC 27001:2022
Merupakan standar utama Information Security Management System (ISMS).
Kontrol yang paling relevan terhadap keamanan jaringan:
Organizational Controls
- A.5.7 Threat Intelligence
- A.5.15 Access Control
- A.5.23 Cloud Security
- A.5.30 ICT Readiness
Technological Controls
- A.8.20 Network Security
- A.8.21 Security of Network Services
- A.8.22 Segregation of Networks
- A.8.15 Logging
- A.8.16 Monitoring Activities
ISO/IEC 27002:2022
Memberikan panduan implementasi kontrol secara lebih rinci.
Membahas:
- Firewall Governance
- Secure Network Design
- Network Monitoring
- Secure Communication
ISO/IEC 27005
Berfokus pada Information Security Risk Management.
Membantu organisasi:
- Mengidentifikasi risiko jaringan
- Menentukan likelihood dan impact
- Menetapkan risk treatment
ISO/IEC 27033
Standar khusus keamanan jaringan.
Meliputi:
- Secure Network Architecture
- VPN Security
- Firewall Security
- Network Segmentation
- Wireless Security
ISO 22301
Mengatur Business Continuity Management System (BCMS).
Fokus:
- Network Availability
- Disaster Recovery
- Resilience
ISO 27035
Mengatur proses Incident Management.
Meliputi:
- Detection
- Response
- Containment
- Recovery
NIST Framework sebagai Kerangka Operasional
NIST Cybersecurity Framework (CSF) 2.0
Menyediakan pendekatan berbasis risiko melalui enam fungsi utama:
Govern
Tata kelola keamanan jaringan.
Identify
Inventaris aset dan identifikasi risiko.
Protect
Penerapan kontrol perlindungan.
Detect
Deteksi ancaman dan insiden.
Respond
Respons terhadap insiden.
Recover
Pemulihan pasca insiden.
NIST SP 800-41
Panduan Firewall dan Firewall Policy.
Praktik utama:
- Default Deny
- Rule Review
- Change Management
NIST SP 800-53 Rev.5
Katalog kontrol keamanan yang komprehensif.
Domain penting:
- Access Control (AC)
- Audit and Accountability (AU)
- System and Communication Protection (SC)
NIST SP 800-61
Panduan Incident Response.
Tahapan:
- Preparation
- Detection
- Containment
- Eradication
- Recovery
NIST SP 800-207
Landasan implementasi Zero Trust Architecture.
Prinsip utama:
Never Trust, Always Verify
Framework Pendukung
CIS Controls v8
Kontrol yang relevan:
- Control 4: Secure Configuration
- Control 5: Account Management
- Control 12: Network Infrastructure Management
- Control 13: Network Monitoring
- Control 17: Incident Response
COBIT 2019
Menyediakan tata kelola keamanan informasi dari perspektif bisnis.
Domain utama:
APO13
Managed Security
DSS05
Managed Security Services
MEA01
Monitoring and Evaluation
ITIL 4
Mendukung operasional keamanan jaringan melalui:
- Incident Management
- Change Management
- Problem Management
- Service Continuity
Framework Industri
PCI-DSS v4.0.1
Wajib bagi organisasi yang memproses data kartu pembayaran.
Kontrol utama:
- Firewall
- Network Segmentation
- Logging
- Monitoring
- Encryption
SWIFT Customer Security Programme (CSP)
Digunakan oleh industri perbankan yang terhubung dengan jaringan SWIFT.
Persyaratan utama:
- Segregated Network
- Privileged Access Management
- Security Monitoring
- Incident Response
Best Practice Modern untuk Network Security
Zero Trust Architecture (ZTA)
Menghilangkan konsep trusted network.
Prinsip:
- Verifikasi setiap akses
- MFA
- Continuous Authentication
- Micro-Segmentation
Defense in Depth
Pendekatan keamanan berlapis.
Lapisan:
- Physical Security
- Perimeter Security
- Internal Network
- Endpoint Security
- Application Security
- Data Security
Network Segmentation
Membatasi pergerakan lateral penyerang.
Zona yang umum digunakan:
- Internet
- DMZ
- Internal
- Production
- Management
- Guest Network
MITRE ATT&CK
Digunakan untuk:
- Threat Modeling
- Detection Engineering
- Threat Hunting
Membantu organisasi memahami teknik serangan yang digunakan penyerang.
Security by Design
Keamanan harus dirancang sejak awal.
Meliputi:
- Secure Architecture Review
- Threat Modeling
- Security Requirements
Secure Network Operations
Fokus pada:
- Configuration Management
- Patch Management
- Vulnerability Management
- Capacity Monitoring
SOC dan SIEM Best Practices
Kemampuan deteksi modern membutuhkan:
- Centralized Logging
- SIEM Correlation
- Security Monitoring
- Threat Intelligence Integration
- 24×7 Monitoring
Membangun Network Security GRC yang Efektif
Organisasi yang matang biasanya mengintegrasikan seluruh referensi tersebut ke dalam satu model tata kelola yang terdiri dari:
Governance Layer
- COBIT 2019
- ISO 27001
- NIST CSF Govern
Risk Layer
- ISO 27005
- NIST CSF Identify
Security Architecture Layer
- ISO 27033
- NIST 800-207
- Zero Trust
Operational Security Layer
- CIS Controls
- NIST 800-53
- SOC/SIEM
Incident Response Layer
- ISO 27035
- NIST 800-61
- BSSN CSIRT
Resilience Layer
- ISO 22301
- OJK MRTI
- BI PBI 23/6/PBI/2021
Kesimpulan
Network Security modern tidak lagi hanya berfokus pada firewall, VPN, atau perangkat keamanan lainnya. Organisasi harus mengelola keamanan jaringan melalui pendekatan Governance, Risk, and Compliance (GRC) yang terintegrasi dengan regulasi nasional, standar internasional, framework keamanan siber, dan best practice industri.
Keberhasilan program Network Security GRC ditentukan oleh kemampuan organisasi dalam menghubungkan tata kelola, manajemen risiko, arsitektur keamanan, monitoring, respons insiden, dan ketahanan operasional ke dalam satu kerangka kerja yang berkelanjutan. Dengan mengadopsi ISO 27001, NIST CSF, COBIT, Zero Trust, serta regulasi BI, OJK, Kominfo, dan BSSN, organisasi dapat membangun keamanan jaringan yang tidak hanya patuh terhadap regulasi, tetapi juga mampu menghadapi ancaman siber yang terus berkembang dan menjaga keberlangsungan bisnis secara jangka panjang.
