Transformasi digital membuat pemerintah daerah semakin bergantung pada sistem elektronik. Pelayanan publik, pengelolaan administrasi, pertukaran data, pengambilan keputusan, hingga berbagai proses internal pemerintahan kini semakin terhubung melalui teknologi digital.
Ketergantungan tersebut membawa manfaat besar. Proses yang sebelumnya membutuhkan waktu panjang dapat dilakukan lebih cepat, data dapat digunakan untuk mendukung keputusan, dan masyarakat memperoleh akses layanan tanpa selalu harus datang ke kantor pemerintahan.
Namun, semakin penting sebuah sistem digital bagi penyelenggaraan pemerintahan, semakin besar pula konsekuensi ketika sistem tersebut terganggu.
Karena itu, keamanan siber tidak dapat lagi diposisikan sebagai urusan teknis semata. Keamanan siber merupakan bagian dari kemampuan organisasi pemerintah untuk menjaga keberlangsungan layanan, melindungi data dan aset informasi, mengelola risiko, serta mempertahankan kepercayaan masyarakat.
Perspektif inilah yang menjadi dasar Indikator 10 Tingkat Kematangan Keamanan Siber atau IKASANDI dalam Pemerintahan Digital. Materi paparan indikator ini mendefinisikan keamanan siber sebagai kemampuan instansi pemerintah daerah dalam menyelenggarakan keamanan Pemerintahan Digital melalui penerapan tata kelola dan manajemen keamanan informasi serta kontrol teknis berdasarkan Instrumen Pengukuran Kematangan Keamanan Siber dan Sandi (IKASANDI).
Dengan demikian, IKASANDI tidak hanya bertanya apakah pemerintah memiliki teknologi keamanan. Pertanyaan yang lebih mendasar adalah: seberapa matang pemerintah mengelola keamanan sebagai sebuah kemampuan organisasi?
Baca juga: Audit Keamanan Pemerintahan Digital: Menjaga Kepercayaan Publik
1. Mengapa Pemerintah Daerah Perlu Memperkuat Keamanan Siber?
Pemerintah daerah mengelola berbagai sistem elektronik dengan tingkat kepentingan dan dampak yang berbeda. Dalam materi paparan IKASANDI, sistem elektronik dibedakan ke dalam kategori Strategis, Tinggi, dan Rendah. Sistem elektronik strategis merupakan sistem yang apabila terganggu dapat memberikan dampak serius terhadap kepentingan umum, pelayanan publik, kelancaran penyelenggaraan negara, atau pertahanan dan keamanan negara. Sementara kategori Tinggi memiliki dampak terbatas pada sektor dan/atau daerah tertentu, sedangkan kategori Rendah mencakup sistem elektronik lainnya.
Klasifikasi tersebut menunjukkan bahwa keamanan siber perlu dibangun berdasarkan tingkat risiko dan dampak. Tidak semua sistem memiliki konsekuensi yang sama ketika mengalami gangguan.
Bagi pimpinan daerah, implikasinya cukup jelas. Pengamanan tidak semestinya dilakukan hanya berdasarkan apa yang paling terlihat secara teknologi, tetapi berdasarkan apa yang paling penting bagi keberlangsungan pemerintahan dan pelayanan masyarakat.
Karakteristik sistem elektronik juga menjadi bagian dari penentuan kategori. Materi Paparan IKASANDI mempertimbangkan antara lain nilai investasi sistem, anggaran operasional, kewajiban kepatuhan, penggunaan kriptografi, jumlah pengguna, data pribadi yang dikelola, tingkat klasifikasi data, kekritisan proses, serta dampak kegagalan sistem elektronik.
Pendekatan tersebut membuat keamanan siber lebih dekat dengan bahasa pengambilan keputusan pimpinan: risiko, dampak, prioritas, dan keberlangsungan layanan.
2. Keamanan Siber sebagai Tanggung Jawab Organisasi
Salah satu kekeliruan yang perlu dihindari adalah menganggap keamanan siber sepenuhnya menjadi tanggung jawab Diskominfo atau tim teknis.
Padahal, keamanan Pemerintahan Digital melibatkan keputusan organisasi yang jauh lebih luas. Mulai dari kebijakan, pengelolaan aset, manajemen risiko, hubungan dengan penyedia teknologi, pengelolaan sumber daya manusia, sampai dengan kesiapan menghadapi insiden.
Materi paparan IKASANDI secara eksplisit menempatkan fungsi Teknologi, Informasi, dan Komunikasi serta fungsi Pengelola Layanan Digital sebagai fungsi instansi yang terkait.
Artinya, pimpinan memiliki peran penting dalam memastikan bahwa keamanan siber memperoleh dukungan kebijakan, sumber daya, koordinasi, dan pengawasan yang memadai.
Keamanan yang baik bukan hanya menghasilkan sistem yang sulit ditembus. Keamanan yang matang menghasilkan organisasi yang mengetahui apa yang harus dilindungi, memahami risikonya, memiliki kontrol yang sesuai, mampu mendeteksi ancaman, serta siap memulihkan layanan ketika gangguan terjadi.
3. Membangun Ketahanan, Bukan Sekadar Pertahanan
IKASANDI menggunakan empat domain utama dalam area Keamanan Siber, yaitu Identifikasi, Proteksi, Deteksi, serta Penanggulangan dan Pemulihan.
Keempat domain tersebut menunjukkan bahwa keamanan siber bukan hanya tentang membangun tembok pertahanan.
Identifikasi menjadi fondasi untuk mengetahui aset dan risiko. Domain ini mencakup inventarisasi dan klasifikasi aset, penilaian risiko keamanan informasi, analisis ancaman dan kerentanan, serta pengelolaan risiko rantai pasok.
Tanpa mengetahui aset yang dimiliki dan risikonya, pemerintah akan kesulitan menentukan apa yang harus diprioritaskan.
Berikutnya adalah Proteksi, yaitu penerapan kontrol untuk melindungi sistem dan data dari ancaman. Materi paparan IKASANDI mencakup pengelolaan identitas dan akses, keamanan SDM, pengelolaan kelemahan dan pembaruan, pengamanan infrastruktur, pengamanan aplikasi dan data, serta keamanan fisik.
Kemudian terdapat Deteksi, yang memastikan pemerintah mampu mengenali aktivitas mencurigakan atau pelanggaran sedini mungkin melalui pemantauan dan analisis log, deteksi anomali, serta pengujian keamanan secara berkala.
Tahap terakhir adalah Penanggulangan dan Pemulihan. Domain ini mencakup persiapan tanggap insiden, analisis dan pelaporan, penanggulangan serta pemulihan, dan peningkatan keamanan setelah insiden terjadi.
Inilah perbedaan antara sekadar pertahanan dan ketahanan. Pertahanan berusaha mencegah gangguan. Ketahanan memastikan organisasi tetap mampu menghadapi, merespons, memulihkan, dan belajar ketika gangguan benar-benar terjadi.
4. Peran Tata Kelola dan Manajemen Risiko
Keamanan siber yang berkelanjutan membutuhkan fondasi tata kelola.
Pada domain Identifikasi, IKASANDI antara lain menempatkan kebijakan dan organisasi keamanan informasi, perencanaan serta manajemen aset, pengelolaan aset informasi, penilaian risiko, dan pengelolaan risiko rantai pasok sebagai bagian dari kontrol.
Ini berarti pemerintah daerah perlu memahami ekosistem digitalnya secara menyeluruh.
Aset apa yang paling penting?
Layanan mana yang paling kritis?
Data apa yang paling sensitif?
Apa konsekuensi jika layanan berhenti?
Siapa yang bertanggung jawab terhadap setiap aset?
Bagaimana risiko pihak ketiga dan penyedia teknologi dikelola?
Pertanyaan tersebut merupakan bagian dari manajemen risiko yang seharusnya menjadi dasar pengambilan keputusan.
Pendekatan ini juga sejalan dengan NIST Cybersecurity Framework 2.0, yang dirancang untuk membantu organisasi—termasuk pemerintah—mengelola risiko keamanan siber dengan memahami, menilai, memprioritaskan, dan mengomunikasikan upaya keamanan.
Di Indonesia, pengukuran tingkat kematangan keamanan siber memiliki landasan khusus melalui Peraturan BSSN Nomor 10 Tahun 2023 tentang Pengukuran Tingkat Kematangan Keamanan Siber. Regulasi tersebut mengatur pelaksanaan pengukuran, pelaporan hasil pengukuran, dan verifikasi hasil pengukuran tingkat kematangan.
5. Membangun Budaya Keamanan Siber
Teknologi dapat membantu mendeteksi dan mengendalikan ancaman, tetapi teknologi tidak dapat menggantikan budaya organisasi.
Keamanan siber membutuhkan aparatur yang memahami tanggung jawabnya. Pengguna layanan harus mengetahui pentingnya menjaga kredensial, pengelola sistem perlu memahami prosedur keamanan, pimpinan harus memahami risiko strategis, dan setiap unit kerja perlu mengetahui bagaimana merespons ketika terjadi gangguan.
Karena itu, keamanan siber perlu masuk ke dalam proses organisasi sehari-hari.
Materi paparan IKASANDI bahkan menempatkan kesadaran, pelatihan, dan disiplin keamanan sebagai bagian dari subkategori keamanan sumber daya manusia dalam domain Proteksi.
Pada tahap kematangan yang lebih tinggi, keamanan tidak lagi bergantung pada individu tertentu. Ia menjadi bagian dari sistem kerja organisasi.
Hal tersebut terlihat pada tingkat Sangat Baik/Embedded, ketika tata kelola manajemen keamanan telah terorganisasi, dikelola secara terpadu dan optimal, serta dilakukan reviu secara berkala.
6. Strategi Pemda Memperkuat Keamanan Siber
Penguatan keamanan siber daerah dapat dimulai dari beberapa langkah strategis.
Pertama, petakan aset dan layanan digital. Pemerintah perlu mengetahui seluruh sistem elektronik yang dimiliki, fungsi masing-masing, data yang dikelola, serta ketergantungannya terhadap infrastruktur dan pihak ketiga.
Kedua, lakukan penilaian risiko dan klasifikasi sistem. Kategori Strategis, Tinggi, dan Rendah membantu pemerintah menentukan prioritas pengamanan sesuai karakteristik dan dampak sistem elektronik.
Ketiga, perkuat kontrol keamanan. Pengendalian perlu mencakup identitas dan akses, aplikasi, data, jaringan, infrastruktur, sumber daya manusia, serta aspek fisik.
Keempat, bangun kemampuan deteksi. Pemerintah perlu mampu memantau peristiwa keamanan, menganalisis anomali, dan melakukan pengujian keamanan secara berkala.
Kelima, siapkan kemampuan penanggulangan dan pemulihan. Perencanaan insiden, proses respons, pemulihan, kesinambungan layanan, dan pembelajaran pascainsiden perlu menjadi bagian dari kesiapan organisasi.
Keenam, lakukan pengukuran dan perbaikan secara berkelanjutan. IKASANDI bukan sekadar angka capaian. Hasil pengukuran harus menjadi dasar untuk menentukan prioritas peningkatan keamanan.
7. Dari Kepatuhan Menuju Ketahanan Siber
Tingkat kematangan IKASANDI menggambarkan perjalanan organisasi dari kondisi awal menuju keamanan siber yang menjadi budaya.
Pada tingkat Kurang/Initiate, pemerintah masih berada dalam tahap penyusunan tata kelola dan manajemen keamanan informasi serta identifikasi Infrastruktur Informasi Vital. Implementasi masih terbatas pada layanan tertentu.
Pada tingkat Cukup/Emerging, tata kelola mulai diterapkan sesuai pedoman dan instansi telah melakukan identifikasi Infrastruktur Informasi Vital serta pengukuran kematangan secara mandiri.
Pada tingkat Baik/Developing, tata kelola telah diterapkan dan kontrol teknis mulai diimplementasikan berdasarkan hasil pengukuran kematangan keamanan siber. Hasil pengukuran juga telah diverifikasi oleh lembaga yang berwenang sesuai peraturan perundang-undangan.
Selanjutnya, tingkat Sangat Baik/Embedded menunjukkan tata kelola keamanan yang terorganisasi, terpadu, optimal, dan direviu secara berkala.
Sementara pada tingkat Memuaskan/Leading, rekomendasi hasil penilaian telah ditindaklanjuti melalui perbaikan berkelanjutan, bahkan perbaikan keamanan telah menjadi bagian dari budaya organisasi dan didukung proses otomasi.
Perjalanan tersebut menunjukkan satu hal penting: kematangan keamanan siber bukan kondisi yang selesai dicapai sekali, melainkan kemampuan yang harus terus dipelihara dan ditingkatkan.
8. Pemerintahan Digital yang Tangguh adalah Pemerintahan yang Siap
Pemerintahan Digital yang aman bukan berarti pemerintahan yang tidak pernah menghadapi ancaman. Dalam lingkungan digital yang terus berubah, ancaman dan kerentanan akan selalu berkembang.
Yang membedakan organisasi yang matang adalah kemampuannya untuk mengetahui apa yang harus dilindungi, memahami risikonya, menerapkan pengendalian, mendeteksi ancaman, merespons gangguan, memulihkan layanan, dan belajar dari pengalaman.
Itulah mengapa IKASANDI penting bagi pemerintah daerah.
Keamanan siber bukan sekadar urusan perangkat keamanan, aplikasi, atau jaringan. Ia merupakan bagian dari tata kelola pemerintahan dan keberlangsungan pelayanan publik.
Bagi pimpinan daerah, investasi dalam keamanan siber pada akhirnya bukan hanya investasi untuk melindungi sistem. Ini adalah investasi untuk menjaga layanan tetap berjalan, melindungi kepentingan masyarakat, dan mempertahankan kepercayaan publik.
Dan ketika keamanan siber telah menjadi bagian dari budaya organisasi, Pemerintahan Digital tidak hanya menjadi semakin canggih. Ia juga menjadi semakin tangguh, adaptif, dan terpercaya.
Artikel berikutnya dalam series ini: setelah membangun ketahanan siber secara menyeluruh, Pemerintah Daerah perlu memastikan bahwa salah satu aset paling penting yaitu data, telah dilindungi ketika disimpan, digunakan, maupun dipertukarkan. Pembahasan tersebut berlanjut pada Indikator 11: Tingkat Kematangan Penerapan Kriptografi untuk Keamanan Data.
Leave a Reply