Pidato Pengantar FGD tentang Penyusunan Strategi  Cybersecurity oleh: Riri Satria

Bapak, Ibu, serta Hadirin sekalian,

Dalam perjalanan saya menelaah dunia ketahanan siber, saya menyadari satu hal penting: menghadapi ancaman digital bukan sekadar soal menyiapkan firewall atau memperbarui sistem. Dunia siber adalah ruang yang kompleks, di mana manusia, proses, dan teknologi saling terkait, dan sering kali perspektif setiap pihak berbeda. Seringkali, ancaman yang sama dipandang berbeda oleh manajemen, tim IT, maupun karyawan di lapangan.

Seorang pemimpin organisasi tidak cukup hanya memikirkan teknologi; ia harus memahami dinamika tim, prioritas manajemen, dan ekspektasi pemangku kepentingan. Leadership dalam konteks ini berarti mampu membimbing tim melalui ketidakpastian, memfasilitasi komunikasi lintas departemen, serta membuat keputusan strategis yang seimbang antara risiko dan peluang.

Misalnya, ketika sebuah serangan siber terjadi, seorang pemimpin yang efektif tidak hanya menunggu laporan teknis, tetapi segera mengkoordinasikan respons tim, memprioritaskan mitigasi, dan menenangkan kekhawatiran karyawan agar tidak menimbulkan panik atau kesalahan lebih lanjut.

Untuk memahami kompleksitas ini, saya menggunakan pendekatan Soft Systems Methodology (SSM). Dengan SSM, saya belajar melihat masalah dari berbagai sudut, membuat gambaran lengkap tentang organisasi, titik risiko, alur kerja, dan aktor yang terlibat melalui rich picture diagram.

Saya menelaah setiap elemen menggunakan CATWOE Analysis, memikirkan pelanggan, pemilik, transformasi yang diinginkan, batasan, dan bagaimana pandangan dunia masing-masing pihak memengaruhi keputusan. Tanpa pemahaman ini, setiap langkah teknis, sekokoh apapun sistemnya, bisa saja salah sasaran atau tidak efektif.

SSM memungkinkan saya menempatkan manusia, proses, dan teknologi dalam satu kesatuan narasi, bukan potongan solusi yang terpisah-pisah.

Namun memahami konteks saja tidak cukup. Saya menambahkan pendekatan kuantitatif melalui Analytic Hierarchy Process (AHP) untuk menentukan prioritas strategi berdasarkan kriteria yang jelas: efektivitas pencegahan, biaya implementasi, waktu recovery, kepatuhan regulasi, dan penguatan budaya keamanan organisasi.

Kia dapat menyusun berbagai alternatif strategi seperti backup dan recovery otomatis berbasis cloud, pelatihan kesadaran keamanan karyawan, upgrade firewall dan IDS/IPS, serta monitoring melalui SOC. Dengan melakukan perbandingan berpasangan, saya bisa melihat kombinasi strategi mana yang memberikan dampak maksimal dan realistis untuk dijalankan.

Ketika menghadapi serangan siber, pendekatan ini terbukti efektif. Backup rutin menjadi prioritas untuk meminimalkan downtime, firewall dan monitoring aktif menjadi perisai utama, dan pelatihan karyawan memastikan kesalahan manusia tidak menjadi celah.

Satu hal yang membedakan strategi ini dari sekadar prosedur teknis adalah integrasi kerangka manajemen risiko ISO 31000. ISO 31000 mengajarkan kita menilai risiko secara sistematis, mengidentifikasi ancaman, menilai kemungkinan dan dampaknya, menetapkan mitigasi, dan memonitor hasilnya secara berkelanjutan.

Sebagai contoh, jika organisasi menghadapi risiko serangan ransomware, ISO 31000 membantu kita menentukan prioritas antara investasi di backup cloud versus firewall tambahan, atau memutuskan kapan melakukan simulasi serangan untuk menguji kesiapan tim.

Leadership di sini sangat penting: seorang pemimpin harus memastikan mitigasi dijalankan dengan disiplin, sumber daya dialokasikan tepat waktu, dan tim tetap fokus pada keputusan yang telah dianalisis, terutama saat krisis nyata terjadi.

Selain itu, mengadopsi standar internasional seperti NIST Cybersecurity Framework (NCSF) dan NIST Cybersecurity Framework Maturity Model (NCFMM) sangat penting untuk membangun ketahanan siber yang terukur dan terdokumentasi. NIST CSF menyediakan struktur berbasis lima fungsi inti: Identify, Protect, Detect, Respond, dan Recover. Fungsi ini membantu organisasi membangun kerangka kerja yang konsisten, memastikan setiap langkah dari identifikasi risiko hingga pemulihan setelah insiden terdokumentasi dengan jelas.

Sementara itu, CFMM/NIST Maturity Model memungkinkan organisasi menilai tingkat kematangan keamanan siber secara bertahap, mulai dari proses ad hoc hingga optimal, serta mengukur sejauh mana praktik keamanan dan mitigasi risiko telah diimplementasikan.

Contohnya, organisasi dapat memetakan maturity level setiap kontrol, apakah monitoring ancaman aktif sudah otomatis, apakah backup diuji secara rutin, atau apakah tim tanggap darurat telah dilatih dan disimulasikan, sehingga prioritas perbaikan bisa diarahkan secara sistematis.

Hadirin sekalian, keberhasilan ketahanan siber tidak hanya ditentukan oleh teknologi semata. Ia adalah hasil sinergi antara pemahaman menyeluruh tentang interaksi manusia, proses, dan alat digital, kemampuan leadership untuk mengeksekusi strategi dengan disiplin, penerapan prioritas risiko ISO 31000, serta integrasi praktik internasional melalui NIST CSF dan CFMM.

Dengan evaluasi berkelanjutan, organisasi kita tidak hanya bisa bertahan dari serangan siber, tetapi juga berkembang, belajar dari insiden, dan menyesuaikan strategi dengan ancaman yang selalu berubah.

Saya berharap pemikiran ini dapat menjadi inspirasi bagi kita semua untuk membangun organisasi yang tangguh, adaptif, dan siap menghadapi risiko digital, dengan strategi yang hidup, terukur, dan dijalankan oleh pemimpin serta tim yang berani mengambil keputusan tepat di saat yang tepat.

Demikian yang dapat saya sampaikan. Terima kasih atas perhatian hadirin sekalian.

-- Riri Satria --