Mulai dari layanan dan aset kritis
Identifikasi layanan bisnis yang paling berdampak jika terganggu, lalu petakan aplikasi, identitas, data, infrastruktur, API, backup, pemasok, dan orang yang mendukungnya. Catat pemilik aset, tujuan bisnis, sensitivitas, ketergantungan, dan ekspektasi pemulihan.
Inventaris yang belum lengkap tetap berguna jika celahnya terlihat. Kepemilikan yang tidak diketahui dan ketergantungan yang tidak terdokumentasi harus dicatat sebagai temuan, bukan diabaikan.
Pahami ancaman dan paparan
Pertimbangkan skenario yang masuk akal seperti kredensial yang dicuri, layanan terekspos, aplikasi rentan, kompromi pemasok, ransomware, kebocoran tidak sengaja, atau gangguan penyedia layanan kritis. Tinjau antarmuka internet, akses jarak jauh, akun istimewa, autentikasi, patching, izin berlebihan, keamanan API, dan monitoring.
Setiap pengujian aktif harus memiliki otorisasi eksplisit dan ruang lingkup yang disepakati. Asesmen tidak boleh berubah menjadi pengujian sistem tanpa izin.
Perkirakan kemungkinan dan dampak bisnis
Prioritaskan skenario dengan mempertimbangkan kemungkinan dan konsekuensinya. Terjemahkan isu teknis ke bahasa bisnis: downtime layanan, pelanggan terdampak, informasi terekspos, dampak finansial, upaya pemulihan, serta kewajiban kontraktual atau regulasi.
Gunakan metode penilaian konsisten dan dokumentasikan asumsi. Skala kualitatif sering lebih jujur daripada skor yang terlihat presisi ketika data insiden yang andal belum tersedia.
Tinjau kontrol dan susun roadmap
Tinjau identity and access management, multi-factor authentication, konfigurasi aman, patching, perlindungan endpoint, segmentasi jaringan, backup, logging, respons insiden, pengawasan pemasok, dan kesadaran staf. Verifikasi bahwa kontrol berjalan dalam praktik; dokumen kebijakan saja bukan bukti efektivitas.
Untuk setiap temuan, catat bukti, aset terdampak, dampak bisnis, alasan tingkat keparahan, tindakan yang disarankan, pemilik, target waktu, dan risiko residual. NIST CSF 2.0 menawarkan enam fungsi yang saling terhubung—Govern, Identify, Protect, Detect, Respond, dan Recover—untuk menyusun diskusi risiko dan rencana peningkatan.
Hasil asesmen yang siap diputuskan
Asesmen praktis seharusnya menghasilkan pandangan dengan ruang lingkup jelas mengenai aset dan ketergantungan kritis, risk register prioritas, evaluasi kontrol relevan, roadmap mitigasi, serta ringkasan eksekutif tentang keputusan yang diperlukan.
Rancangan engagement cybersecurity Souldigi dimulai dari penentuan ruang lingkup dan otorisasi, kemudian asesmen atau pengujian yang disepakati, dokumentasi temuan, dan panduan mitigasi. Aktivitas spesifik harus dikonfirmasi berdasarkan kapabilitas tim dan kebutuhan klien sebelum ditawarkan.
Referensi dan bacaan lanjutan
NIST Cybersecurity Framework 2.0: https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf
NIST CSF FAQs: https://www.nist.gov/cyberframework/faqs
