Tujuan akhir keamanan bagi semua organisasi adalah ketahanan terhadap serangan cyber. Langkah-langkah efektif untuk pencegahan dan deteksi adalah, dan akan tetap menjadi, pijakan kritis dari strategi keamanan, namun perusahaan tidak boleh berhenti di situ. Yang penting adalah bagaimana organisasi mempersiapkan diri, bertahan, merespons, dan pulih dari insiden. Ini bergantung pada orang dan proses sebanyak pada teknologi.
Ketika National Institute of Standards and Technologies (NIST) Amerika Serikat memperbarui Kerangka Kerja Keamanan Sibernya tahun ini, mereka menambahkan tata kelola keamanan – bagaimana keamanan diimplementasikan dan dikelola melalui orang dan proses – sebagai prioritas strategis. Sebagai seorang CIO, saya sepenuhnya setuju dengan hal ini.
Tata kelola keamanan yang efektif meliputi kebijakan dan program keamanan yang konsisten, kepemimpinan bisnis yang memahami risiko dan cara mengelolanya, strategi tanggapan insiden yang kokoh, investasi dalam keterampilan dan pelatihan, dan lain-lain. Studi internasional Cybernomics 101 kami mengungkapkan bahwa banyak organisasi mengalami kesulitan dalam mencapai tujuan-tujuan ini.
Hanya 43% responden percaya bahwa mereka dapat mengatasi risiko cyber secara efektif. Tingkat kepercayaan yang rendah terhadap posisi keamanan mereka sendiri ini mengkhawatirkan. Kami memutuskan untuk lebih dalam menggali data untuk memahami tantangan-tantangan utama yang dihadapi organisasi dalam perjalanan mereka menuju ketahanan cyber dan menggunakan pengalaman kami untuk mengembangkan alat-alat praktis yang dapat membantu mereka.
Hasilnya adalah laporan CIO baru kami: Memimpin bisnis Anda melalui risiko cyber, yang diterbitkan hari ini.
Laporan ini mengeksplorasi bagaimana tantangan-tantangan terkait kebijakan keamanan, dukungan manajemen, akses pihak ketiga, dan rantai pasokan dapat melemahkan kemampuan sebuah perusahaan untuk bertahan dan merespons serangan cyber.
Tantangan-tantangan tata kelola umum
Antara lain, temuan menunjukkan bahwa banyak organisasi mengalami kesulitan dalam mengimplementasikan kebijakan keamanan yang mencakup tindakan otentikasi dan kontrol akses. Separuh (49%) dari perusahaan kecil hingga menengah yang disurvei menyebutkan hal ini sebagai salah satu dari dua tantangan tata kelola teratas mereka. Ini bisa sebagian disebabkan oleh masalah budaya, seperti ketika karyawan menolak pembatasan yang diberlakukan. Ini merupakan area risiko di mana para pemimpin bisnis memiliki peran yang kuat untuk dimainkan.
Sedikit lebih dari sepertiga (35%) dari perusahaan-perusahaan kecil khawatir bahwa manajemen senior tidak melihat serangan cyber sebagai risiko yang signifikan, meskipun seperempat dari mereka mengakui bahwa manajer senior tidak selalu diperbarui tentang ancaman yang dihadapi organisasi. Sulit untuk tertarik atau peduli terhadap sesuatu yang tidak sepenuhnya dipahami.
Dukungan manajemen kurang menjadi masalah di antara perusahaan-perusahaan besar yang disurvei. Mereka lebih cenderung mengalami kesulitan dalam hal anggaran yang tidak mencukupi (38%) dan kekurangan profesional terampil (35%).
Terlepas dari ukuran, banyak organisasi memiliki kekhawatiran tentang kurangnya keamanan dan kontrol atas rantai pasokan serta visibilitas terhadap pihak ketiga yang memiliki akses ke data sensitif atau rahasia.
Sekitar satu dari sepuluh dari semua bisnis yang disurvei tidak memiliki rencana tanggapan insiden untuk digunakan dalam kasus pelanggaran yang berhasil. Perusahaan-perusahaan terbesar yang disurvei, dengan angka 23%, paling sedikit kemungkinannya untuk menguji rencana tanggapan insiden mereka. Hal ini bisa disebabkan sebagian oleh kompleksitas dan persyaratan sumber daya yang diperlukan untuk menjalankan uji coba yang realistis.
Rencana yang tidak ada atau belum terbukti dapat lebih merugikan daripada bermanfaat jika serangan serius terjadi dan sebuah perusahaan tidak tahu apa yang harus dilakukan selanjutnya atau apa kewajibannya.
Untungnya, organisasi tidak harus melakukannya sendiri. Laporan CIO menunjukkan beberapa sumber bantuan eksternal, dan juga menawarkan template praktis untuk membantu organisasi mengelola risiko cyber dan memetakan di mana mereka berada dalam perjalanan mereka menuju ketahanan cyber. Ini termasuk menu manajemen risiko dan daftar periksa ketahanan cyber.
Daftar periksa ketahanan cyber mengacu pada iterasi terbaru Kerangka Keamanan Siber dari National Institute of Standards and Technologies (NIST) AS dan dapat diunduh dan dicetak secara gratis dari situs web Barracuda.
Cari tau dan konsultasikan dengan kami, hubungi [email protected]