Cara Melakukan Penilaian Risiko Keamanan Siber (Panduan 2023)

Penilaian risiko bukanlah hal baru, dan suka atau tidak, jika Anda bekerja di bidang keamanan informasi, Anda berada dalam bisnis manajemen risiko. Karena organisasi lebih mengandalkan teknologi informasi dan sistem informasi untuk melakukan bisnis, lanskap ancaman risiko digital berkembang, mengekspos ekosistem terhadap kerentanan kritis baru.

National Institute of Standards and Technology (NIST) telah mengembangkan Kerangka Kerja Keamanan Siber untuk menyediakan dasar bagi praktik penilaian risiko.

Ikuti tur fitur penilaian risiko UpGuard >

Apa itu Risiko Cyber?

Risiko siber adalah kemungkinan mengalami gangguan negatif terhadap data sensitif, keuangan, atau operasi bisnis online. Risiko siber umumnya dikaitkan dengan peristiwa yang dapat mengakibatkan pelanggaran data.

Risiko siber kadang-kadang disebut sebagai ancaman keamanan. Contoh risiko siber meliputi:

• Ransomware
• Kebocoran data
• Phishing
• Malware
• Ancaman orang dalam
• Serangan siber

Ada strategi praktis yang dapat Anda ambil untuk mengurangi risiko keamanan siber Anda.

Meskipun umumnya digunakan secara bergantian, risiko dan kerentanan dunia maya tidak sama. Kerentanan adalah kelemahan yang mengakibatkan akses jaringan yang tidak sah saat dieksploitasi, dan risiko siber adalah kemungkinan kerentanan dieksploitasi.

Risiko siber dikategorikan dari risiko nol, rendah, sedang, hingga tinggi. Tiga faktor yang memengaruhi penilaian kerentanan adalah:

• Apa ancamannya?
• Seberapa rentan sistemnya?
• Apa kerusakan reputasi atau finansial jika dilanggar atau dibuat tidak tersedia?

Risiko siber=Ancaman x Kerentanan x Nilai Informasi

Unduh posting ini sebagai PDF >

Bayangkan Anda menilai risiko yang terkait dengan serangan siber yang membahayakan sistem operasi tertentu. Sistem operasi ini memiliki backdoor yang dikenal di versi 1.7 dari perangkat lunaknya yang mudah dieksploitasi melalui sarana fisik dan menyimpan informasi bernilai tinggi di dalamnya. Jika kantor Anda tidak memiliki keamanan fisik, risiko Anda akan tinggi.

Namun, jika Anda memiliki staf IT yang baik yang dapat mengidentifikasi kerentanan dan mereka memperbarui sistem operasi ke versi 1.8, kerentanan Anda rendah, meskipun nilai informasinya masih tinggi karena backdoor ditambal di versi 1.8.

Beberapa hal yang perlu diingat adalah ada sangat sedikit hal yang tidak berisiko terhadap proses bisnis atau sistem informasi, dan risiko menyiratkan ketidakpastian. Jika sesuatu dijamin akan terjadi, itu bukan risiko. Ini adalah bagian dari operasi bisnis umum.

Proses mengukur risiko siber adalah fungsi dari potensi risiko, toleransi risiko, ancaman keamanan siber spesifik Anda, dan faktor mitigasi risiko lainnya. Untuk mempelajari lebih lanjut tentang proses ini, lihat posting ini.

Apa itu Penilaian Risiko Cyber?

NIST mendefinisikan penilaian risiko siber sebagai penilaian risiko yang digunakan untuk mengidentifikasi, memperkirakan, dan memprioritaskan risiko terhadap operasi organisasi, aset organisasi, individu, organisasi lain, dan Negara, yang dihasilkan dari pengoperasian dan penggunaan sistem informasi.

Tujuan utama dari penilaian risiko siber adalah untuk memberi tahu pemangku kepentingan dan mendukung respons yang tepat terhadap risiko yang teridentifikasi. Mereka juga memberikan ringkasan eksekutif untuk membantu eksekutif dan direktur membuat keputusan keamanan yang tepat.

Pelajari bagaimana UpGuard menyederhanakan penilaian risiko siber >

Proses penilaian risiko keamanan informasi berkaitan dengan menjawab pertanyaan-pertanyaan berikut:

• Apa aset teknologi informasi terpenting organisasi kita?
• Jenis pelanggaran data apa yang akan berdampak signifikan pada bisnis kami, baik dari malware, serangan dunia maya, atau kesalahan manusia? Pikirkan informasi pelanggan.
• Bisakah semua sumber ancaman diidentifikasi?
• Berapa tingkat dampak potensial dari setiap ancaman yang teridentifikasi?
• Apa saja kerentanan internal dan eksternal?
• Apa dampaknya jika kerentanan tersebut dieksploitasi?
• Berapa kemungkinan eksploitasi?
• Serangan siber, ancaman siber, atau insiden keamanan apa yang dapat memengaruhi kemampuan bisnis untuk berfungsi?
• Berapa tingkat risiko yang nyaman diambil oleh organisasi saya?

Unduh templat penilaian risiko vendor Anda >

Jika Anda dapat menjawab pertanyaan-pertanyaan itu, Anda dapat memutuskan apa yang penting untuk dilindungi. Ini berarti Anda dapat mengembangkan kontrol keamanan TI dan strategi keamanan data untuk remediasi risiko. Namun, sebelum Anda dapat melakukannya, Anda perlu menjawab pertanyaan-pertanyaan berikut:

• Apa risiko yang saya kurangi?
• Apakah ini risiko keamanan prioritas tertinggi?
• Apakah saya mengurangi risiko paling hemat biaya?

Pelajari fitur utama perangkat lunak remediasi risiko yang efektif >

Ini akan membantu Anda memahami nilai informasi dari data yang Anda coba lindungi dan lebih memahami proses manajemen risiko informasi Anda dalam lingkup perlindungan kebutuhan bisnis.

Ada beberapa kerangka kerja manajemen risiko yang tersedia. Pilihan Anda tergantung pada industri Anda, selera risiko Anda, dan peraturan yang berlaku - seperti GDPR. Jika Anda tidak yakin kerangka kerja penilaian keamanan mana yang harus dipilih, Kerangka Kerja Keamanan Siber NIST populer untuk sebagian besar persyaratan program keamanan siber umum.

Pelajari selengkapnya tentang NIST CSF >

Mengapa Melakukan Penilaian Risiko Cyber?

Ada beberapa alasan Anda ingin melakukan penilaian risiko siber dan beberapa alasan yang perlu Anda lakukan. Mari kita telusuri mereka:

• Pengurangan Biaya Jangka Panjang - Mengidentifikasi potensi ancaman dan kerentanan dan kemudian memitigasinya dapat mencegah atau mengurangi insiden keamanan, menghemat uang organisasi Anda dan/atau kerusakan reputasi dalam jangka panjang.
• Menyediakan Templat Penilaian Risiko Keamanan Siber untuk Penilaian Masa Depan - Penilaian risiko siber bukanlah salah satu proses; Anda perlu memperbaruinya secara terus-menerus; melakukan giliran pertama yang baik akan memastikan proses yang dapat diulang bahkan dengan pergantian staf.
• Pengetahuan Organisasi yang Lebih Baik - Mengetahui kerentanan organisasi memberi Anda gambaran yang jelas tentang di mana organisasi Anda perlu ditingkatkan.
• Hindari Pelanggaran Data - Pelanggaran data dapat berdampak besar secara finansial dan reputasi pada organisasi mana pun.
• Hindari Masalah Peraturan - Data pelanggan yang dicuri karena Anda gagal mematuhi HIPAA, PCI DSS, atau APRA CPS 234.
• Hindari Waktu Henti Aplikasi - Sistem internal atau yang dihadapi pelanggan harus tersedia dan berfungsi agar staf dan pelanggan dapat melakukan pekerjaan mereka.
• Kehilangan Data - Pencurian rahasia dagang, kode, atau aset informasi penting lainnya dapat berarti Anda kehilangan bisnis ke pesaing.

Di luar itu, penilaian risiko siber merupakan bagian integral dari manajemen risiko informasi dan strategi manajemen risiko organisasi mana pun yang lebih luas.

Siapa yang Harus Melakukan Penilaian Risiko Siber?

Idealnya, organisasi harus memiliki tim internal khusus yang memproses penilaian risiko. Ini berarti memiliki staf TI dengan pemahaman tentang cara kerja infrastruktur digital dan jaringan Anda, eksekutif yang memahami bagaimana informasi mengalir, dan pengetahuan organisasi kepemilikan apa pun yang mungkin berguna selama penilaian.

Transparansi organisasi adalah kunci untuk penilaian risiko siber yang menyeluruh.

Usaha kecil mungkin tidak memiliki orang yang tepat di rumah untuk melakukan pekerjaan menyeluruh dan harus mengalihdayakan penilaian ke pihak ketiga. Organisasi juga beralih ke perangkat lunak keamanan siber untuk memantau skor keamanan siber mereka, mencegah pelanggaran, mengirim kuesioner keamanan, dan mengurangi risiko pihak ketiga.

Pelajari cara UpGuard menghitung peringkat keamanan >

Cara Melakukan Penilaian Risiko Siber

Kita akan mulai dengan ikhtisar tingkat tinggi dan menelusuri setiap langkah di bagian berikut. Sebelum mulai menilai dan memitigasi risiko, Anda harus memahami data, infrastruktur, dan nilai data yang ingin Anda lindungi.

Anda mungkin ingin memulai dengan mengaudit data Anda untuk menjawab pertanyaan-pertanyaan berikut:

• Data apa yang kami kumpulkan?
• Bagaimana dan di mana kita menyimpan data ini?
• Bagaimana kami melindungi dan mendokumentasikan data?
• Berapa lama kita menyimpan data?
• Siapa yang memiliki akses internal dan eksternal ke data?
• Apakah tempat kami menyimpan data aman dengan baik? Banyak pelanggaran berasal dari bucket S3 yang dikonfigurasi dengan buruk; periksa izin S3 Anda, atau orang lain akan melakukannya.

Selanjutnya, Anda ingin menentukan parameter penilaian Anda. Berikut adalah beberapa pertanyaan primer yang bagus untuk membantu Anda memulai:

• Apa tujuan dari penilaian?
• Apa ruang lingkup penilaian?
• Apakah ada prioritas atau kendala yang harus saya ketahui yang dapat memengaruhi penilaian?
• Siapa yang saya perlukan akses dalam organisasi untuk mendapatkan semua informasi yang saya butuhkan?
• Model risiko apa yang digunakan organisasi untuk analisis risiko?

Banyak dari pertanyaan-pertanyaan ini cukup jelas. Yang ingin Anda ketahui adalah apa yang akan Anda analisis, siapa yang memiliki keahlian untuk menilainya dengan tepat, dan apakah ada persyaratan peraturan atau kendala anggaran yang perlu Anda ketahui.

Pelajari tentang peraturan siber teratas dalam > keuangan

Sekarang mari kita lihat langkah-langkah apa yang perlu diambil untuk menyelesaikan penilaian risiko siber menyeluruh, memberi Anda templat penilaian risiko.

Langkah 1: Tentukan Nilai Informasi

Sebagian besar organisasi tidak memiliki anggaran tak terbatas untuk manajemen risiko informasi, jadi membatasi ruang lingkup Anda pada aset yang paling penting bagi bisnis adalah yang terbaik.

Untuk menghemat waktu dan uang nanti, luangkan waktu untuk menentukan standar untuk menentukan pentingnya suatu aset. Sebagian besar organisasi mencakup nilai aset, kedudukan hukum, dan kepentingan bisnis. Setelah standar secara resmi dimasukkan ke dalam kebijakan manajemen risiko informasi organisasi, gunakan untuk mengklasifikasikan setiap aset sebagai kritis, utama, atau kecil.

Ada banyak pertanyaan yang dapat Anda ajukan untuk menentukan nilai:

• Apakah ada hukuman finansial atau hukum yang terkait dengan mengekspos atau kehilangan informasi ini?
• Seberapa berharga informasi ini bagi pesaing?
• Bisakah kita membuat ulang informasi ini dari awal? Berapa lama waktu yang dibutuhkan, dan berapa biaya terkaitnya?
• Apakah kehilangan informasi ini akan berdampak pada pendapatan atau profitabilitas?
• Apakah kehilangan data ini akan memengaruhi operasi bisnis sehari-hari? Bisakah staf kita bekerja tanpanya?
• Apa kerusakan reputasi dari data ini yang bocor?

Langkah 2: Identifikasi dan Prioritaskan Aset

Langkah pertama adalah mengidentifikasi aset untuk mengevaluasi dan menentukan ruang lingkup penilaian. Ini akan memungkinkan Anda untuk memprioritaskan aset mana yang akan dinilai. Anda mungkin hanya ingin menilai beberapa bangunan, karyawan, data elektronik, rahasia dagang, kendaraan, dan peralatan kantor. Ingat, tidak semua aset memiliki nilai yang sama.

Anda perlu bekerja sama dengan pengguna bisnis dan manajemen untuk membuat daftar semua aset berharga. Untuk setiap aset, kumpulkan informasi berikut jika berlaku:

• Perangkat lunak
• Perangkat keras
• Data
• Antarmuka
• Pengguna akhir
• Mendukung pribadi
• Maksud
• Kritis
• Persyaratan fungsional
• Kebijakan keamanan TI
• Arsitektur keamanan TI
• Topologi jaringan
• Perlindungan penyimpanan informasi
• Aliran informasi
• Kontrol keamanan teknis
• Kontrol keamanan fisik
• Keamanan lingkungan

Prioritas aset disederhanakan dengan matriks risiko yang menunjukkan risiko kritis yang kemungkinan besar akan berdampak negatif pada postur keamanan Anda. Matriks risiko juga dapat meringkas eksposur risiko Anda di tingkat vendor pihak ketiga.

Berikut adalah contoh matriks risiko yang mewakili distribusi vendor pihak ketiga penting yang membutuhkan perhatian keamanan siber yang lebih besar.

Langkah 3: Identifikasi Ancaman Siber

Ancaman dunia maya adalah kerentanan apa pun yang dapat dieksploitasi untuk melanggar keamanan guna menyebabkan kerusakan atau mencuri data dari organisasi Anda. Sementara peretas, malware, dan risiko keamanan TI lainnya melompat ke pikiran, ada banyak ancaman lainnya:

• Bencana alam: Banjir, angin topan, gempa bumi, petir, dan api dapat menghancurkan sebanyak penyerang dunia maya mana pun. Anda bisa, tidak hanya kehilangan data Anda, tetapi juga server Anda. Saat memutuskan antara server lokal dan berbasis cloud, pertimbangkan potensi dampak bencana alam.
• Kegagalan sistem: Apakah sistem Anda yang paling penting berjalan pada peralatan berkualitas tinggi? Apakah mereka memiliki dukungan yang baik?
• Kesalahan manusia: Apakah bucket S3 Anda menyimpan informasi sensitif dikonfigurasi dengan benar? Apakah organisasi Anda memiliki kebijakan pendidikan yang tepat yang mencakup taktik kriminal dunia maya umum, seperti malware, phishing, dan rekayasa sosial?
• Ancaman permusuhan: vendor pihak ketiga, orang dalam, orang dalam tepercaya, orang dalam istimewa, kolektif peretas mapan, kelompok ad hoc, spionase perusahaan, pemasok, negara-bangsa

Beberapa ancaman umum yang memengaruhi setiap organisasi meliputi:

• Akses tidak sah: baik dari penyerang, malware, kesalahan karyawan
• Penyalahgunaan informasi oleh pengguna yang berwenang: biasanya ancaman orang dalam di mana data diubah, dihapus, atau digunakan tanpa persetujuan
• Kebocoran data: Informasi yang dapat diidentifikasi secara pribadi (PII) dan data sensitif lainnya oleh penyerang atau melalui konfigurasi layanan cloud yang buruk
• Kehilangan data: organisasi kehilangan atau data yang tidak sengaja dihapus sebagai bagian dari pencadangan atau replikasi yang buruk
• Gangguan layanan: hilangnya pendapatan atau kerusakan reputasi karena downtime

Setelah mengidentifikasi ancaman organisasi Anda, Anda harus menilai dampaknya. Untuk memastikan tim keamanan Anda akan merespons ancaman dunia maya dengan segera, pastikan Anda memiliki Rencana Tanggap Insiden yang dirancang dengan baik dan diuji secara teratur.

Pelajari cara membuat Rencana Respons Insiden >

Langkah 4: Identifikasi Kerentanan

Sekarang saatnya untuk beralih dari apa yang "bisa" terjadi ke apa yang memiliki peluang terjadi. Kerentanan adalah kelemahan yang dapat dieksploitasi oleh ancaman untuk melanggar keamanan, membahayakan organisasi Anda, atau mencuri data sensitif. Kerentanan ditemukan melalui analisis kerentanan, laporan audit, database kerentanan National Institute for Standards and Technology (NIST), data vendor, tim respons insiden, dan analisis keamanan perangkat lunak.

Anda dapat mengurangi kerentanan berbasis perangkat lunak organisasi dengan manajemen patch yang tepat melalui pembaruan paksa otomatis. Namun jangan lupa kerentanan fisik, peluang seseorang mendapatkan akses ke sistem komputasi organisasi berkurang dengan memiliki akses kartu kunci.

Mengidentifikasi kerentanan dalam ekosistem Anda disederhanakan secara signifikan dengan solusi Pemantauan Permukaan Serangan. Manajemen Permukaan Serangan adalah strategi yang efektif untuk meminimalkan jumlah vektor serangan dalam jejak digital Anda untuk mengurangi risiko mengalami pelanggaran data

Untuk pengantar Manajemen Permukaan Serangan, tonton video ini.

Dapatkan uji coba gratis UpGuard >

Langkah 5: Analisis Kontrol dan Terapkan Kontrol Baru

Analisis kontrol yang ada untuk meminimalkan atau menghilangkan kemungkinan ancaman atau kerentanan. Kontrol dapat diimplementasikan melalui sarana teknis, seperti perangkat keras atau perangkat lunak, enkripsi, mekanisme deteksi intrusi, otentikasi dua faktor, pembaruan otomatis, deteksi kebocoran data berkelanjutan, atau melalui cara nonteknis seperti kebijakan keamanan dan mekanisme fisik seperti kunci atau akses kartu kunci.

Kontrol harus diklasifikasikan sebagai kontrol pencegahan atau detektif. Kontrol preventif mencoba menghentikan serangan melalui enkripsi, firewall, antivirus, atau pemantauan keamanan berkelanjutan; Kontrol detektif mencoba menemukan kapan serangan telah terjadi, seperti deteksi paparan data yang berkelanjutan.

Pelajari selengkapnya tentang manajemen eksposur ancaman siber >

Langkah 6: Hitung kemungkinan dan dampak berbagai skenario per tahun

Sekarang Anda mengetahui nilai informasi, ancaman, kerentanan, dan kontrol; Langkah selanjutnya adalah mengidentifikasi seberapa besar kemungkinan risiko siber ini terjadi dan dampaknya jika terjadi.

Ubah pola pikir Anda dari "jika saya terkena dampak" menjadi "berapa peluang saya untuk sukses ketika saya terkena dampak."

Bayangkan Anda memiliki database yang menyimpan semua informasi paling sensitif perusahaan Anda, dan informasi itu bernilai $100 juta berdasarkan perkiraan Anda. Anda memperkirakan bahwa jika terjadi pelanggaran, setidaknya setengah dari data Anda akan terekspos sebelum dapat dikandung, yang mengakibatkan perkiraan kerugian sebesar $50 juta.

Tetapi Anda berharap ini tidak mungkin terjadi, katakanlah satu dalam lima puluh tahun kejadian, ini akan setara dengan perkiraan kerugian $50 juta setiap 50 tahun atau, dalam istilah tahunan, $1 juta per tahun. Untuk skenario terakhir, masuk akal untuk memproyeksikan anggaran tahunan sebesar $1 juta untuk program pencegahan pelanggaran data.

Pelajari cara mencegah pelanggaran data dengan panduan gratis ini >

Langkah 7: Prioritaskan Risiko Berdasarkan Biaya Pencegahan Vs. Nilai Informasi

Gunakan tingkat risiko sebagai dasar dan tentukan tindakan untuk manajemen senior atau individu lain yang bertanggung jawab untuk mengurangi risiko. Berikut adalah beberapa pedoman umum:

• Tindakan korektif tinggi harus dikembangkan sesegera mungkin
• Sedang - langkah-langkah yang benar dikembangkan dalam jangka waktu yang wajar.
• Rendah - memutuskan apakah akan menerima risiko atau mengurangi

Ingat, Anda sekarang telah menentukan nilai aset dan berapa banyak yang dapat Anda keluarkan untuk melindunginya. Langkah selanjutnya mudah: jika biaya lebih mahal untuk melindungi aset daripada nilainya, mungkin tidak masuk akal untuk menggunakan kontrol pencegahan untuk melindunginya. Meskipun demikian, ingatlah bahwa mungkin ada dampak reputasi, bukan hanya dampak finansial, jadi penting untuk memperhitungkannya juga.

Juga, pertimbangkan hal-hal berikut:

• Kebijakan organisasi
• Kerusakan reputasi
• Kelayakan
• Peraturan
• Efektivitas kontrol
• Keamanan
• Keandalan
• Sikap organisasi terhadap risiko
• Toleransi terhadap ketidakpastian mengenai faktor risiko
• Pembobotan organisasi dari faktor risiko

Langkah 8: Mendokumentasikan Hasil dari Laporan Penilaian Risiko

Langkah terakhir adalah menyusun laporan penilaian risiko untuk mendukung manajemen dalam memutuskan anggaran, kebijakan, dan prosedur. Laporan harus menjelaskan risiko, kerentanan, dan nilai setiap ancaman, bersama dengan dampak dan kemungkinan terjadinya dan rekomendasi pengendalian.

Saat Anda mengerjakan proses ini, Anda akan memahami infrastruktur apa yang dioperasikan perusahaan Anda, data apa yang paling berharga, dan bagaimana Anda dapat mengoperasikan dan mengamankan bisnis Anda dengan lebih baik. Anda kemudian dapat membuat kebijakan penilaian risiko yang menentukan apa yang harus dilakukan organisasi Anda secara berkala untuk memantau postur keamanannya, bagaimana risiko ditangani dan dimitigasi, dan bagaimana Anda akan melakukan proses penilaian risiko selanjutnya.

Apakah Anda adalah bisnis kecil atau perusahaan multinasional, manajemen risiko informasi adalah inti dari keamanan siber. Proses ini membantu menetapkan aturan dan pedoman yang menjawab ancaman dan kerentanan apa yang dapat menyebabkan kerusakan finansial dan reputasi pada bisnis Anda dan bagaimana hal tersebut dimitigasi.

Idealnya, saat implementasi keamanan Anda meningkat dan Anda mengatasi risiko yang ditemukan dalam respons penilaian, postur keamanan siber Anda juga harus meningkat. Penilaian risiko keamanan siber membantu organisasi memahami, mengontrol, dan mengurangi semua bentuk risiko siber. Ini adalah komponen penting dari strategi manajemen risiko dan upaya perlindungan data.

Untuk mempelajari bagaimana UpGuard dapat membantu Anda merampingkan alur kerja penilaian risiko keamanan siber, tonton video ini.