Permasalahan framework security dalam sistem manajemen keamanan informasi pada umumnya adalah informasinya yang dikemas dalam bentuk dokumen PDF yang panjang dan membosankan. Seringkali malah menyebabkan kebingungan. Oleh karena itu, untuk membuat kerangka kerja keamanan siber lebih mudah dipahami, kita pisahkan menjadi tiga kategori: control framework (kerangka kerja kendali), program framework (kerangka kerja program), dan risk framework (kerangka kerja risiko).

Kita analogikan ketiganya dalam konteks membuat makanan. Sebelum seorang koki mulai memasak, mereka harus membuat daftar bahan untuk makanan mereka — control framework (kerangka kerja kontrol). Kemudian, mereka perlu menentukan resep untuk mengumpulkan bahan-bahan itu menjadi makanan — program framework (kerangka kerja program). Akhirnya, mereka perlu mencari tahu di mana mereka akan menyajikan makanan itu, dalam hal pengalaman apa yang diinginkan pelanggan saat di memakannya di restoran — risk framework (kerangka kerja risiko).

Kategori Framework Sistem Manajemen Keamanan Informasi

Berikut ini adalah 3 kategori framework cybersecurity yang dapat digunakan sebagai acuan dalam menyusun sistem manajemen keamanan informasi di organisasi Anda :

A. Control Framework Sistem Manajemen Keamanan Informasi

Framework dalam kategori ini contohnya adalah NIST 800-53 dan CIS Control (CSC). Saat seorang profesional cybersecurity memasuki lingkungan baru dimana ia bertugas membangun dan mengelola Tim IT Security, mereka berhadapan dengan kondisi organisasi yang biasanya relatif belum matang dari perspektif TI dan keamanan TI. Umumnya langkah pertama yang diambil adalah melakukan penentuan basic set of controls untuk di implementasikan. Profesional cybersecurity menggunakan control framework untuk melakukan hal-hal sebagai berikut :

• Identifikasi kumpulan kontrol yang menjadi baseline.
• Asessmen kondisi yang terkait dengan kapabilitas teknis.
• Prioritasi implementasi dari kontrol.
• Mengembangkan roadmap awal untuk Tim Keamanan TI.

NIST SP 800-53 adalah katalog kontrol yang komprehensif yang terkait dengan kontrol keamanan dan privasi, dimana kontrol dapat dimplementasikan berdasarkan prioritas atau kontrol keamanan baseline (low impact, moderate impact, atau high impact). Sedangkan CIS Control telah menerbitkan 20 kontrol keamanan yang paling banyak digunakan, dimana kontrol tsb diterapkan di banyak instansi pemerintahan di Amerika Serikat.

B. Program Framework Sistem Manajemen Keamanan Informasi

Framework dalam kategori ini misalnya adalah ISO 27001 dan NIST Cybersecurity Framework. Profesional cybersecurity menggunakan program framework untuk melakukan hal-hal sebagai berikut :

• Asessmen kondisi keseluruhan program keamanan
• Membangun program keamanan yang komprehensif
• Mengukur maturitas (level kematangan) dan memperbandingkannya dengan standar industri sejenis
• Menyederhanakan komunikasi dengan para pemimpin bisnis

Seri standarisasi ISO27001 adalah seri ISO untuk standar Sistem Manajemen Keamanan Informasi yang fokus pada pembangunan program keamanan, termasuk di dalamnya konteks organisasi, kepemimpinan, perencanana, support, dokumentasi, operasi, penilaian kinerja, dan peningkatan berkelanjutan. Sedangkan NIST Cybersecurity Framework membantuk dalam identifikasi, perlindungan, deteksi, respon, dan pemulihan. Terdiri dari 3 bagian, yaitu : core, implementation tiers, dan profil  — dan mendefinisikan bahasa yang sama dalam menangani risiko. Ini membantu organisasi menjawab pertanyaan : apa yang kita lakukan sekarang? mau kemana? bagaimana caranya? dan kapan?, kira-kira demikian.

C. Risk Framework

Contoh framework ini adalah NIST 800-39, 800-37, 800-30, ISO 27005, dan FAIR. Risk framework memungkinkan profesional cybersecurity untuk memastikan bahwa mereka telah mengelola program keamanan dengan cara yang bermanfaat bagi stakeholder organisasi dan membantu menentukan bagaimana cara memprioritaskan aktivitas keamanan. Profesional cybersecurity menggunakan risk framework untuk melakukan hal-hal sebagai berikut :

• Menentukan langkah proses kunci untuk melakukan asessmen dan mengelola risiko
• Strukturisasi program manajemen risiko
• Identifikasi, pengukuran, dan kuantifikasi risiko
• Prioritasi aktivitas keamanan

NIST Security memiliki risk framework yang cukup dikenal yaitu : NIST SP 800-39 (defines the overall risk management process), NIST SP 800-37 (the risk management framework for federal information systems), and NIST SP 800-30 (risk assessment progress). Kemudian ISO 27005 mendefinisikan pendekatan sistematis untuk mengelola risiko untuk organisasi, sementara FAIR adalah standar internasional yang disupport oleh dua organisasi.

Memulai Sistem Manajemen Keamanan Informasi

Bisnis dapat mengambil langkah-langkah berikut untuk mulai mencari tahu kerangka kerja keamanan yang tepat untuk sistem manajemen keamanan informasinya, antara lain dengan cara sebagai berikut:

• Segera: Identifikasi framework cybersecurity yang cocok untuk digunakan di organisasi.
• Dalam tiga bulan: Implementasikan ISMS dan evaluasi dalam tiga bulan bagaimana kerangka kerja itu dapat memberikan kekuatan dari sisi pengamanan dan kinerja TI  kemudian petakan satu sama lain untuk memenuhi tujuan kepatuhan dan regulasi.
• Dalam enam bulan: Perbarui rencana program keamanan Anda untuk memanfaatkan masing-masing dari tiga kategori framework tsb, dan sosialisasikan rencana tersebut dengan para pemimpin teknis, operasional, dan eksekutif.

Kita dapat mematangkan program keamanan TI dengan memilih satu atau lebih kerangka kerja dari setiap kategori untuk bekerja sama untuk meningkatkan keadaan keseluruhan aktivitas keamanan TI dalam organisasi.

Kontak Kami

Informasi lebih lanjut mengenai produk dan layanan kami, silahkan menghubungi kami dengan mengklik  dan mengisi form kontak kami ini. Kami akan segera menindaklanjuti permintaan Anda sesuai jam operasional kantor.***

****

Cybersecurity framework atau yang biasa disebut sebagai CSF NIST telah diakui oleh profesional IT Security sebagai sumber daya untuk membantu meningkatkan operasi keamanan dan tata kelola organisasi baik publik maupun swasta. Meskipun NIST CSF adalah pedoman yang hebat untuk penyusunan sistem manajemen keamanan informasi (SMKI) yang bertujuan mengubah postur keamanan organisasi dan manajemen risiko dari pendekatan reaktif ke proaktif, namun pada kenyataannya untuk menerapkannya bukanlah suatu hal yang mudah.

Jika Anda kesulitan memahami NIST Cybersecurity Framework, maka ringkasan kerangka kerja yang kami susun semoga dapat membantu Anda mempercepat proses transformasi keamanan Anda. Berikut ini adalah ringkasan Kerangka Kerja Keamanan NIST Cybersecurity berikut perinciannya :

CSF NIST terdiri dari empat bidang inti. Ini termasuk Fungsi, Kategori, Subkategori, dan Referensi. Di bawah ini, kami akan memberikan penjelasan singkat tentang terminologi untuk CSF NIST.

Lima Fungsi Dalam Cybersecurity Framework

CSF NIST diatur ke dalam lima Fungsi inti yang juga dikenal sebagai Framework Core. Fungsi-fungsi diatur secara bersamaan satu sama lain untuk mewakili siklus hidup keamanan. Setiap fungsi sangat penting untuk postur keamanan yang beroperasi dengan baik dan manajemen risiko cybersecurity yang sukses. Definisi untuk masing-masing Fungsi adalah sebagai berikut:

• Indentification (Identifikasi): Mengembangkan pemahaman organisasi untuk mengelola risiko keamanan siber terhadap sistem, aset, data, dan kemampuan.
• Protect (Perlindungan) : Mengembangkan dan menerapkan perlindungan yang sesuai untuk memastikan pengiriman layanan infrastruktur penting.
• Detection (Deteksi): Mengembangakan dan menerapkan kegiatan yang sesuai untuk mengidentifikasi terjadinya peristiwa keamanan.
• Respon (Menanggapi): Mengembangkan dan mengimplementasikan kegiatan yang sesuai ketika menghadapi peristiwa keamanan yang terdeteksi.
• Recover (Pemulihan): Mengembangkan dan menerapkan kegiatan yang sesuai untuk ketahanan dan untuk memulihkan kemampuan atau layanan apa pun yang mengalami gangguan karena peristiwa keamanan tsb.

Kategori dan Subkategori Cybersecurity Framework

Dengan masing-masing Fungsi dicatat dalam Gambar di atas, ada dua puluh satu kategori dan lebih dari seratus subkategori. Subkategori menyediakan konteks untuk setiap kategori dengan referensi ke kerangka kerja lain seperti COBIT, ISO, ISA, dan lainnya.

Gambar di bawah ini adalah tampilan kecil dari Fungsi Identifikasi dengan kategori, subkategori, dan referensi:

Tingkat Kematangan dalam Tier Cybersecurity Framework

Tingkat kematangan dalam CSF dinyatakan dalam Tier. Dimana Tier mewakili seberapa baik organisasi memandang risiko keamanan siber dan proses yang ada untuk memitigasi risiko. Ini membantu memberikan tolok ukur bagi organisasi tentang bagaimana operasi mereka saat ini.

• Tier 1 – Partial: Risiko keamanan siber organisasi tidak diformalkan dan dikelola secara ad hoc dan terkadang reaktif. Ada juga kesadaran terbatas tentang manajemen risiko keamanan siber.
• Tier 2 – Risk Informed: Mungkin tidak ada kebijakan di seluruh organisasi untuk manajemen risiko keamanan. Namun pihak manajemen dalam telah mengelola risiko keamanan siber berdasarkan pada asessmen risiko yang terjadi.
• Tier 3 – Repeatable: Sudah ada proses manajemen risiko di level formal organisasi yang diikuti oleh kebijakan keamanan yang ditetapkan.
• Tier 4 – Adaptable: Organisasi pada tahap ini akan mengadaptasi kebijakan keamanan siber berdasarkan pelajaran yang dipetik dan didorong secara analitik untuk memberikan wawasan dan praktik terbaik. Organisasi terus-menerus belajar dari peristiwa keamanan yang terjadi di organisasi dan akan membagikan informasi itu dengan jaringan yang lebih besar.

Anda dapat menggunakan CSF untuk mengukur sejauhmana postur keamanan Anda saat ini. Dengan mengacu pada setiap kategori dan subkategori yang ada dalam Fungsi Inti maka Anda dapat menentukan posisi keamanan sistem pada skala Tier NIST CSF. Pemanfaatan NIST Cybersecurity Framework adalah cara yang bagus untuk menstandarisasi cybersecurity dan manajemen risiko di dalam organisasi Anda.

CSF dapat Anda gunakan sebagai framework untuk menyusun sistem keamanan teknologi informasi di perusahaan atau organisasi Anda. Berbeda dengan ISO27001 yang rigid dan ketat karena memiliki banyak persyaratan khusus untuk memenuhi kepentingan sertifikasi ISO. CSF ini dapat diaplikasikan secara fleksibel dan lebih mudah dipahami dan diterapkan karena framework disusun dengan perspektif teknologi sehingga bisa langsung di implementasikan sesegera mungkin bila memang dibutuhkan deployment yang cepat.

Kontak Kami

Informasi lebih jauh terkait dengan Layanan Konsultasi dan Audit Sistem Manajemen Keamanan Informasi khususnya penyusunan Sistem Manajemen Keamanan Informasi berbasis Cybersecurity Framework silahkan menghubungi kami di alamat kontak melalui FORM ISIAN ini, kami akan segera menindaklanjuti permintaan informasi Anda lebih lanjut. ***

Link Terkait:

• Portofolio Pekerjaan Jasa Konsultasi dan Asesmen Teknologi Informasi PT NetSolution
• NetSolution Mitra Konsultan SMKI Profesional
• Konsultan Penerapan SMKI Berbasis ISO27001:2022
• Penerapan SMKI berbasis Cybersecurity Framework
• Jasa Konsultan ISO 27001:2022 Profesional
• Jasa Konsultan IT Security Roadmap Profesional
• Cara Menyusun IT Security Master Plan
• Konsultan IT Security Master Plan