Cyber Resilience 2026: Panduan IT Governance Modern
Cyber Resilience 2026 menuntut perubahan mendasar dalam cara organisasi mengelola keamanan teknologi informasi. Firewall, antivirus, multi-factor authentication, dan security monitoring tetap penting. Namun, tidak ada kontrol yang dapat menjamin serangan tidak pernah berhasil.
Karena itu, ukuran kematangan organisasi tidak hanya ditentukan oleh kemampuannya mencegah insiden. Kematangan juga ditentukan oleh kemampuan mempertahankan layanan kritis, membatasi dampak, memulihkan operasi, dan beradaptasi setelah gangguan.
NIST mendefinisikan cyber resiliency sebagai kemampuan untuk mengantisipasi, bertahan, pulih, dan beradaptasi terhadap kondisi buruk, tekanan, serangan, atau kompromi pada sistem yang menggunakan sumber daya siber.
NIST Cybersecurity Framework 2.0 juga menempatkan Govern sebagai fungsi utama bersama Identify, Protect, Detect, Respond, dan Recover. Penekanan pada governance memperjelas bahwa risiko siber merupakan risiko organisasi, bukan hanya persoalan teknis yang diserahkan kepada tim keamanan.
Apa Perbedaan Cybersecurity dan Cyber Resilience?
Cybersecurity berfokus pada perlindungan sistem, jaringan, aplikasi, identitas, dan data dari akses atau tindakan yang tidak sah.
Cyber resilience mempunyai cakupan lebih luas. Pertanyaannya bukan hanya “bagaimana mencegah serangan?”, tetapi juga “bagaimana bisnis tetap berjalan ketika sistem utama terganggu?”
Sebagai contoh, organisasi mungkin memiliki kontrol pencegahan ransomware yang baik. Namun, tingkat ketahanannya baru dapat dibuktikan ketika:
- Cadangan data benar-benar dapat dipulihkan;
- Akses darurat tersedia;
- Layanan prioritas tetap berjalan;
- Vendor mendukung proses pemulihan;
- Komunikasi krisis dapat dilakukan;
- Pimpinan mampu mengambil keputusan dalam tekanan.
Dalam sektor keuangan, Digital Operational Resilience Act atau DORA telah berlaku sejak 17 Januari 2025 di Uni Eropa. Kerangka tersebut mengatur ICT risk management, incident management, resilience testing, serta ICT third-party risk.
NIS2 juga memperkuat kerangka keamanan siber untuk berbagai sektor kritis di Uni Eropa. Organisasi Indonesia tidak otomatis tunduk pada ketentuan tersebut, tetapi prinsipnya relevan bagi perusahaan yang mempunyai pelanggan, mitra, induk usaha, atau rantai pasok internasional.
1. Tetapkan Layanan Bisnis yang Paling Kritis
Cyber resilience tidak dapat dimulai dari daftar perangkat. Mulailah dari layanan bisnis, seperti transaksi, pembayaran, produksi, pelayanan pelanggan, logistik, atau pelayanan publik.
Identifikasi proses yang harus tetap tersedia dan tentukan dampak jika proses tersebut berhenti. Setiap layanan kritis perlu mempunyai:
- Business owner;
- System owner;
- Data owner;
- Dependensi teknologi;
- Vendor pendukung;
- Target waktu pemulihan;
- Batas kehilangan data yang dapat diterima.
Dua ukuran yang umum digunakan adalah Recovery Time Objective atau RTO dan Recovery Point Objective atau RPO.
RTO menjelaskan batas waktu pemulihan layanan. RPO menjelaskan jumlah kehilangan data yang masih dapat diterima. Nilai tersebut tidak boleh ditentukan oleh tim TI sendirian karena konsekuensinya berkaitan dengan operasi, keuangan, hukum, reputasi, dan pelanggan.
2. Integrasikan Risk Management dengan Keputusan Bisnis
IT governance modern harus menghubungkan risiko siber dengan enterprise risk management. Pimpinan tidak membutuhkan daftar ribuan kerentanan tanpa konteks.
Mereka membutuhkan penjelasan mengenai:
- Layanan yang terancam;
- Kemungkinan gangguan;
- Potensi dampak;
- Kontrol yang tersedia;
- Risiko residual;
- Keputusan yang harus diambil.
Cyber risk register sebaiknya menggunakan bahasa bisnis. Contohnya bukan hanya “server belum ditambal”, tetapi “kerentanan pada server pembayaran dapat mengganggu transaksi dan menimbulkan pelanggaran target layanan.”
Dengan pendekatan tersebut, prioritas anggaran dapat ditetapkan berdasarkan dampak bisnis, bukan hanya berdasarkan tingkat teknis kerentanan.
3. Bangun Arsitektur untuk Bertahan
Sistem yang resilien tidak bergantung pada satu perangkat, satu koneksi, satu akun administrator, satu pusat data, atau satu vendor.
Organisasi perlu mempertimbangkan penerapan:
- Redundancy;
- Network segmentation;
- Privileged access management;
- Secure configuration;
- Immutable backup;
- Multi-factor authentication;
- Offline recovery capability;
- Mekanisme failover.
Prinsip least privilege perlu diterapkan agar kompromi satu akun tidak langsung membuka seluruh lingkungan. Segmentasi membantu membatasi pergerakan penyerang. Cadangan terisolasi mengurangi risiko backup ikut terenkripsi ketika ransomware menyerang.
Namun, seluruh kontrol tersebut harus diuji. Konfigurasi yang terlihat baik dalam dokumen belum tentu bekerja ketika organisasi menghadapi gangguan nyata.
4. Satukan Incident Response dan Business Continuity
Banyak organisasi memisahkan incident response plan, disaster recovery plan, dan business continuity plan. Pemisahan dokumen dapat dilakukan, tetapi skenario, tanggung jawab, dan mekanisme eskalasinya harus saling terhubung.
NIST SP 800-61 Revision 3 menekankan perlunya menyinkronkan business continuity plan dengan incident response plan karena insiden keamanan dapat mengganggu ketahanan bisnis.
Saat terjadi serangan, tim keamanan mungkin ingin mematikan sistem untuk membatasi penyebaran. Sebaliknya, unit bisnis mungkin ingin sistem tetap aktif agar layanan terus berjalan.
Keputusan tersebut harus mempunyai:
- Kriteria yang jelas;
- Otoritas pengambil keputusan;
- Analisis konsekuensi;
- Prosedur eskalasi;
- Jalur komunikasi;
- Dokumentasi keputusan.
Seluruhnya perlu ditetapkan sebelum insiden, bukan saat organisasi sedang menghadapi krisis.
5. Uji Pemulihan Secara Realistis
Backup yang berhasil dibuat bukan bukti bahwa data dapat dipulihkan. Organisasi perlu melakukan:
- Restore test;
- Failover test;
- Tabletop exercise;
- Technical simulation;
- Crisis communication exercise;
- Simulasi pemulihan layanan bisnis.
Skenario pengujian harus mencakup kondisi sulit. Misalnya, akun administrator dikompromikan, pusat data tidak tersedia, vendor utama gagal, data cadangan rusak, komunikasi internal terganggu, atau insiden terjadi pada hari libur.
Setiap latihan harus menghasilkan temuan, pemilik tindakan, target penyelesaian, dan pengujian ulang. Latihan yang tidak menghasilkan perbaikan hanya menjadi kegiatan administratif.
6. Kelola Ketergantungan kepada Pihak Ketiga
Layanan cloud, data centre, payment gateway, managed security service, software vendor, dan penyedia telekomunikasi dapat menjadi titik kegagalan.
Organisasi perlu mengetahui:
- Layanan yang bergantung pada vendor;
- Tingkat kritikalitas vendor;
- Risiko konsentrasi;
- Jalur eskalasi;
- Target pemulihan vendor;
- Alternatif jika layanan vendor gagal.
Kontrak sebaiknya memuat kewajiban pemberitahuan insiden, dukungan investigasi, ketersediaan log, target layanan, hak audit, pengamanan data, pengelolaan subkontraktor, pengembalian atau penghapusan data, dan exit plan.
Tanpa exit plan, organisasi dapat mengetahui bahwa vendornya berisiko tetapi tetap tidak mampu berpindah.
7. Gunakan Metrik yang Mengukur Ketahanan
Jumlah serangan yang diblokir tidak cukup untuk mengukur cyber resilience. Organisasi perlu menggunakan indikator yang mengukur kesiapan dan pemulihan.
Contohnya meliputi:
- Persentase layanan kritis yang memiliki RTO dan RPO;
- Tingkat keberhasilan restore;
- Mean time to detect;
- Mean time to contain;
- Mean time to recover;
- Temuan latihan yang belum diselesaikan;
- Cakupan logging;
- Jumlah dependensi kritis tanpa alternatif;
- Persentase sistem yang telah diuji failover;
- Ketersediaan personel saat kondisi darurat.
Board dan manajemen sebaiknya menerima ringkasan tren, perubahan risiko, insiden utama, status program, keputusan yang tertunda, serta kebutuhan investasi.
Pelaporan harus mendorong tindakan. Dashboard yang penuh indikator tetapi tidak menghasilkan keputusan hanya memberikan kesan seolah-olah risiko telah dikendalikan.
Tahapan Implementasi Cyber Resilience 2026
Organisasi dapat memulai program ketahanan siber melalui tahapan berikut:
- Identifikasi layanan bisnis kritis;
- Petakan sistem, data, personel, fasilitas, dan vendor pendukung;
- Tetapkan RTO, RPO, dan batas toleransi gangguan;
- Nilai kemampuan kontrol saat ini;
- Tentukan skenario gangguan prioritas;
- Perbaiki arsitektur dan prosedur pemulihan;
- Lakukan simulasi;
- Dokumentasikan temuan;
- Laporkan risiko kepada manajemen;
- Uji ulang setelah perbaikan.
Pendekatan bertahap lebih efektif daripada mencoba membangun semua kontrol sekaligus. Prioritas pertama harus diberikan pada layanan dengan dampak terbesar terhadap pelanggan, keuangan, keselamatan, dan kepatuhan.
Kesimpulan
Cyber Resilience 2026 adalah kemampuan organisasi untuk tetap mencapai tujuan bisnis meskipun menghadapi serangan atau kegagalan teknologi.
Fondasinya adalah governance yang jelas, pemetaan layanan kritis, arsitektur yang tahan gangguan, respons insiden yang terhubung dengan kelangsungan bisnis, pengujian pemulihan, pengelolaan vendor, dan metrik yang relevan.
Fakta yang tidak nyaman adalah organisasi tidak benar-benar mengetahui tingkat ketahanannya sampai pemulihan diuji. Dokumen, sertifikasi, dan dashboard tidak membuktikan bahwa layanan dapat kembali beroperasi.
Karena itu, prioritas utama bukan menambah dokumen, tetapi membuktikan bahwa layanan kritis dapat dipertahankan dan dipulihkan dalam batas dampak yang telah disetujui.
