Para profesional di bidang cybersecurity sering menghadapi kutukan pengetahuan – memahami begitu banyak tentang cybersecurity namun sulit untuk mengomunikasikannya secara sederhana kepada mereka yang berada di luar bidang ini sehingga mereka kesulitan dalam menyusun sistem manajemen keamanan informasi. Dengan adanya framework (kerangka kerja) cybersecurity dalam menyusun sistem manajemen keamanan informasi (information security management sytem) dapat memudahkan semua pihak khususnya mereka yang bertanggungjawab dalam bisnis untuk dapat memahami dan saling berkomunikasi tentang keamanan TI.
Permasalahan framework security dalam sistem manajemen keamanan informasi pada umumnya adalah informasinya yang dikemas dalam bentuk dokumen PDF yang panjang dan membosankan. Seringkali malah menyebabkan kebingungan. Oleh karena itu, untuk membuat kerangka kerja keamanan siber lebih mudah dipahami, kita pisahkan menjadi tiga kategori: control framework (kerangka kerja kendali), program framework (kerangka kerja program), dan risk framework (kerangka kerja risiko).
Kita analogikan ketiganya dalam konteks membuat makanan. Sebelum seorang koki mulai memasak, mereka harus membuat daftar bahan untuk makanan mereka — control framework (kerangka kerja kontrol). Kemudian, mereka perlu menentukan resep untuk mengumpulkan bahan-bahan itu menjadi makanan — program framework (kerangka kerja program). Akhirnya, mereka perlu mencari tahu di mana mereka akan menyajikan makanan itu, dalam hal pengalaman apa yang diinginkan pelanggan saat di memakannya di restoran — risk framework (kerangka kerja risiko).
Kategori Framework Sistem Manajemen Keamanan Informasi
Berikut ini adalah 3 kategori framework cybersecurity yang dapat digunakan sebagai acuan dalam menyusun sistem manajemen keamanan informasi di organisasi Anda :
A. Control Framework Sistem Manajemen Keamanan Informasi
Framework dalam kategori ini contohnya adalah NIST 800-53 dan CIS Control (CSC). Saat seorang profesional cybersecurity memasuki lingkungan baru dimana ia bertugas membangun dan mengelola Tim IT Security, mereka berhadapan dengan kondisi organisasi yang biasanya relatif belum matang dari perspektif TI dan keamanan TI. Umumnya langkah pertama yang diambil adalah melakukan penentuan basic set of controls untuk di implementasikan. Profesional cybersecurity menggunakan control framework untuk melakukan hal-hal sebagai berikut :
- Identifikasi kumpulan kontrol yang menjadi baseline.
- Asessmen kondisi yang terkait dengan kapabilitas teknis.
- Prioritasi implementasi dari kontrol.
- Mengembangkan roadmap awal untuk Tim Keamanan TI.
NIST SP 800-53 adalah katalog kontrol yang komprehensif yang terkait dengan kontrol keamanan dan privasi, dimana kontrol dapat dimplementasikan berdasarkan prioritas atau kontrol keamanan baseline (low impact, moderate impact, atau high impact). Sedangkan CIS Control telah menerbitkan 20 kontrol keamanan yang paling banyak digunakan, dimana kontrol tsb diterapkan di banyak instansi pemerintahan di Amerika Serikat.
B. Program Framework Sistem Manajemen Keamanan Informasi
Framework dalam kategori ini misalnya adalah ISO 27001 dan NIST Cybersecurity Framework. Profesional cybersecurity menggunakan program framework untuk melakukan hal-hal sebagai berikut :
- Asessmen kondisi keseluruhan program keamanan
- Membangun program keamanan yang komprehensif
- Mengukur maturitas (level kematangan) dan memperbandingkannya dengan standar industri sejenis
- Menyederhanakan komunikasi dengan para pemimpin bisnis
Seri standarisasi ISO27001 adalah seri ISO untuk standar Sistem Manajemen Keamanan Informasi yang fokus pada pembangunan program keamanan, termasuk di dalamnya konteks organisasi, kepemimpinan, perencanana, support, dokumentasi, operasi, penilaian kinerja, dan peningkatan berkelanjutan. Sedangkan NIST Cybersecurity Framework membantuk dalam identifikasi, perlindungan, deteksi, respon, dan pemulihan. Terdiri dari 3 bagian, yaitu : core, implementation tiers, dan profil — dan mendefinisikan bahasa yang sama dalam menangani risiko. Ini membantu organisasi menjawab pertanyaan : apa yang kita lakukan sekarang? mau kemana? bagaimana caranya? dan kapan?, kira-kira demikian.
C. Risk Framework
Contoh framework ini adalah NIST 800-39, 800-37, 800-30, ISO 27005, dan FAIR. Risk framework memungkinkan profesional cybersecurity untuk memastikan bahwa mereka telah mengelola program keamanan dengan cara yang bermanfaat bagi stakeholder organisasi dan membantu menentukan bagaimana cara memprioritaskan aktivitas keamanan. Profesional cybersecurity menggunakan risk framework untuk melakukan hal-hal sebagai berikut :
- Menentukan langkah proses kunci untuk melakukan asessmen dan mengelola risiko
- Strukturisasi program manajemen risiko
- Identifikasi, pengukuran, dan kuantifikasi risiko
- Prioritasi aktivitas keamanan
NIST Security memiliki risk framework yang cukup dikenal yaitu : NIST SP 800-39 (defines the overall risk management process), NIST SP 800-37 (the risk management framework for federal information systems), and NIST SP 800-30 (risk assessment progress). Kemudian ISO 27005 mendefinisikan pendekatan sistematis untuk mengelola risiko untuk organisasi, sementara FAIR adalah standar internasional yang disupport oleh dua organisasi.
Memulai Sistem Manajemen Keamanan Informasi
Bisnis dapat mengambil langkah-langkah berikut untuk mulai mencari tahu kerangka kerja keamanan yang tepat untuk sistem manajemen keamanan informasinya, antara lain dengan cara sebagai berikut:
- Segera: Identifikasi framework cybersecurity yang cocok untuk digunakan di organisasi.
- Dalam tiga bulan: Implementasikan ISMS dan evaluasi dalam tiga bulan bagaimana kerangka kerja itu dapat memberikan kekuatan dari sisi pengamanan dan kinerja TI kemudian petakan satu sama lain untuk memenuhi tujuan kepatuhan dan regulasi.
- Dalam enam bulan: Perbarui rencana program keamanan Anda untuk memanfaatkan masing-masing dari tiga kategori framework tsb, dan sosialisasikan rencana tersebut dengan para pemimpin teknis, operasional, dan eksekutif.
Kita dapat mematangkan program keamanan TI dengan memilih satu atau lebih kerangka kerja dari setiap kategori untuk bekerja sama untuk meningkatkan keadaan keseluruhan aktivitas keamanan TI dalam organisasi.
Kontak Kami
Informasi lebih lanjut mengenai produk dan layanan kami, silahkan menghubungi kami dengan mengklik dan mengisi form kontak kami ini. Kami akan segera menindaklanjuti permintaan Anda sesuai jam operasional kantor.
** Link Disarankan : sistem manajemen keamanan informasi, penerapan cybersecurity framework, konsultan dan auditor tata kelola TI, konsultan dan auditor sistem manajemen keamanan informasi, konsultan IT Master Plan, Sistem integrator, solusi data center, managed it service, rental IT, sistem manajemen keamanan informasi ISO27001, sistem manajemen keamanan informasi cybersecurity framework, training dan sertifikasi IT, dsb.
****