Suatu organisasi menghabiskan banyak uang dan upaya untuk menerapkan keamanan siber, namun tetap saja bisa diretas. Dalam situasi seperti itu, bagaimana organisasi dapat mengidentifikasi apakah mereka telah mengambil langkah-langkah yang cukup untuk melindungi diri sebelum peretasan terjadi? Di sinilah kartu skor keamanan membantu memahami kesiapan organisasi dalam menangani serangan siber. Sederhananya, kartu skor keamanan adalah seperangkat metrik dan ukuran yang menunjukkan kinerja organisasi pada berbagai parameter keamanan. Berikut adalah beberapa ukuran penting yang harus menjadi bagian dari kartu skor keamanan setiap organisasi.
Seperangkat metrik dan ukuran minimal untuk kartu skor keamanan
Meskipun terdapat banyak metrik dan ukuran, relevansinya akan bergantung pada sifat bisnis dan organisasi itu sendiri. Namun, berikut adalah beberapa contoh metrik utama yang harus diukur oleh hampir setiap organisasi:
1. Anggaran keamanan: Ini mungkin salah satu metrik terpenting dan paling mudah diukur. Ini adalah rasio sederhana antara anggaran keamanan siber dengan anggaran TI keseluruhan organisasi. Nilai rendah untuk ukuran ini menunjukkan bahwa Anda tidak cukup berinvestasi dalam keamanan Anda. Nilai yang terlalu tinggi mungkin menunjukkan bahwa investasi tersebut mungkin tidak dibenarkan. Namun, kisaran optimal akan bergantung pada sifat industri. Misalnya, untuk layanan keuangan, anggaran keamanan harus cukup tinggi.
2. Efektivitas perbaikan kerentanan: Ukuran ini didefinisikan sebagai persentase kerentanan yang teridentifikasi dan diperbaiki dalam jangka waktu yang ditentukan oleh organisasi. Umumnya, kerentanan keamanan dicatat sebagai insiden prioritas satu. Semua insiden prioritas satu harus ditutup dalam waktu tertentu. Jadi, efektivitas perbaikan kerentanan akan didefinisikan sebagai persentase kerentanan yang diperbaiki dalam jangka waktu prioritas satu. Untuk ukuran ini, perbaikan mungkin tidak bersifat permanen, selama celah tersebut ditutup.
3. Kesadaran: Ukuran ini menunjukkan seberapa efektif informasi tentang praktik keamanan dibagikan di seluruh organisasi. Ini diukur sebagai rasio jumlah total karyawan yang telah menyelesaikan pelatihan keamanan terhadap jumlah total personel di organisasi. Idealnya, angka ini dihitung untuk satu tahun dan seharusnya 100%.
4. Audit dan akuntabilitas: Ini agak rumit tetapi sangat penting. Idealnya, semua aspek fundamental keamanan seperti kontrol akses, pembaruan perangkat lunak, dll., harus selalu diperbarui untuk semua sistem setiap saat (kecuali periode SLA). Namun, hal itu jarang terjadi. Banyak karyawan memiliki akses ke sistem yang seharusnya tidak mereka miliki. Perangkat lunak di beberapa mesin mungkin tidak diperbarui dengan patch terbaru. Semua kelalaian ini menciptakan risiko keamanan sehingga langkah ini menjadi penting. Hal ini dapat dihitung sebagai: Rasio jumlah akses pengguna tidak sah yang diberikan dibagi dengan total jumlah akses pengguna yang diberikan ditambah dengan rasio jumlah patch & pembaruan perangkat lunak yang tidak diinstal (untuk setiap perangkat lunak di setiap mesin) terhadap total jumlah patch dan pembaruan (untuk setiap perangkat lunak di setiap mesin). Idealnya, angka ini harus nol. Organisasi harus mengoptimalkan rumus ini dengan lebih banyak parameter yang relevan bagi mereka.
5. Penilaian risiko: Ukuran ini menunjukkan tingkat risiko yang ada pada titik waktu tertentu bagi organisasi. Ini diukur sebagai rasio jumlah total kerentanan tanpa perbaikan terhadap jumlah total kerentanan yang teridentifikasi. Sudah diketahui bahwa tidak semua risiko yang teridentifikasi dapat dimitigasi, meskipun kita menginginkannya. Beberapa mitigasi risiko memiliki ketergantungan eksternal, biasanya pada perangkat lunak. Angka ini menunjukkan tingkat risiko yang berada di luar kendali organisasi dan tingkat keparahannya.
6. Nilai risiko: Ukuran ini lebih berkaitan dengan dampak terjadinya risiko keamanan terhadap organisasi. Sudah diketahui bahwa biaya sebenarnya dari suatu pelanggaran bukan hanya nilai utama informasi yang dilanggar, tetapi juga mencakup dampak di masa depan terkait kerugian, denda, biaya implikasi hukum, dan hilangnya bisnis. Angka inilah yang menunjukkan nilai sebenarnya yang diberikan oleh keamanan siber kepada organisasi Anda.
Setelah kartu skor keamanan siap, kartu tersebut harus ditinjau secara berkala untuk memahami risiko pelanggaran siber bagi organisasi. Kinerja kartu skor harus dievaluasi berdasarkan dua aspek – kinerja absolut kartu skor terhadap target internal dan kinerja komparatif dengan organisasi lain di industri yang sama (tolok ukur). Seperti parameter bisnis lainnya, kartu skor keamanan mencerminkan kesiapan organisasi dan risiko yang dihadapinya. Jadi, berapa skor keamanan perusahaan Anda?
Sebagai mitra keamanan TI untuk bisnis Anda, Seqrite menyediakan keamanan titik akhir yang komprehensif dari ancaman siber tingkat lanjut. Untuk mengetahui lebih lanjut, kunjungi situs web or
