Pemilihan Kontrol Keamanan dan Analisis Kesenjangan

Pengendalian pencegahan memblokir ancaman sebelum berhasil (tembok api, pengendalian akses, enkripsi). Pengendalian pendeteksian mengidentifikasi ancaman yang telah terjadi (IDS, pencatatan, audit). Pengendalian korektif mengurangi dampak setelah insiden (cadangan, rencana IR, pembaruan perbaikan). Pertahanan berlapis memerlukan ketiga jenis pengendalian tersebut.

Pengendalian mencakup berbagai dimensi: Fisik (kunci, kamera), Teknis (tembok api, MFA), Administratif (kebijakan, pelatihan). Untuk risiko tertentu, pilih pengendalian yang saling melengkapi di berbagai kategori—pengendalian teknis yang didukung kebijakan administratif dan keamanan fisik menciptakan pertahanan berlapis yang nyata.

Pilih pengendalian yang sebanding dengan risiko. Hitung risiko tersisa: risiko bawaan dikurangi efektivitas pengendalian. Risiko dengan kemungkinan dan dampak tinggi membenarkan pengendalian yang mahal. Risiko dengan kemungkinan dan dampak rendah mungkin dapat diterima tanpa pengendalian. Dokumentasikan alasan penanganan risiko.

NIST 800-53 Revisi 5 berisi lebih dari 1.000 pengendalian yang dikelompokkan ke dalam 20 keluarga (AC, AU, CA, CM, dan sebagainya). Lembaga federal dan kontraktor harus menerapkan garis dasar yang ditentukan (Rendah/Sedang/Tinggi). Katalog ini merupakan rujukan pengendalian teknis paling komprehensif yang tersedia.

Analisis kesenjangan membandingkan kondisi keamanan Anda saat ini dengan garis dasar kerangka kerja yang dituju. Langkah-langkah: (1) Dokumentasikan pengendalian saat ini yang telah diterapkan, (2) Petakan ke pengendalian kerangka kerja, (3) Identifikasi pengendalian yang belum atau baru sebagian diterapkan, (4) Prioritaskan kesenjangan berdasarkan risiko, (5) Buat peta jalan perbaikan.

Jika pengendalian ideal tidak memungkinkan (karena biaya, kendala operasional, atau sistem lama), terapkan pengendalian kompensasi yang mencapai pengurangan risiko setara melalui cara alternatif. Dokumentasikan alasan pengendalian kompensasi tersebut untuk auditor dan penerimaan risiko.

Pengendalian harus diuji—bukan diasumsikan berfungsi. Uji pengendalian pencegahan dengan mencoba tindakan yang diblokir. Uji pengendalian pendeteksian dengan menyimulasikan kejadian dan memverifikasi pendeteksiannya. Uji pengendalian korektif dengan menjalankan latihan berbasis skenario dan latihan pemulihan.

Pengendalian Keamanan Kritis CIS (18 pengendalian) adalah perlindungan praktis yang diprioritaskan. Kelompok Implementasi 1, 2, dan 3 mencakup rentang mulai dari kebersihan keamanan dasar untuk organisasi kecil hingga pengendalian canggih untuk perusahaan besar. Kelompok Implementasi 1 menyediakan perlindungan dasar dengan dampak tertinggi untuk keamanan minimum yang layak.

Hasil analisis kesenjangan menjadi peta jalan kematangan: prioritaskan berdasarkan pengurangan risiko untuk setiap dolar, kelompokkan pengendalian ke dalam sprint triwulanan, lacak kemajuan berdasarkan tonggak kematangan, dan laporkan kemajuan kepada pemangku kepentingan eksekutif dengan bahasa risiko bisnis, bukan jargon teknis.

Pengelolaan risiko pihak ketiga memerlukan penilaian terhadap pengendalian dalam rantai pasokan Anda. Kuesioner keamanan, laporan SOC 2, sertifikat ISO 27001, dan ringkasan pengujian penetrasi memberikan bukti efektivitas pengendalian pemasok. Pemasok berisiko tinggi mungkin memerlukan penilaian di lokasi.

Pengendalian memburuk seiring waktu—tingkat pembaruan menurun, konfigurasi menyimpang, dan hak akses menumpuk. Pemantauan pengendalian berkelanjutan melalui alat kepatuhan otomatis (AWS Config, Azure Policy, SCC) mempertahankan kondisi pengendalian waktu nyata, bukan sekadar cuplikan pada satu titik waktu dari audit tahunan.

Pemilihan kontrol memetakan risiko yang telah diidentifikasi ke kontrol preventif, detektif, dan korektif yang sesuai dalam kategori fisik, teknis, dan administratif. Analisis kesenjangan mengidentifikasi kontrol yang belum tersedia berdasarkan tolok ukur kerangka kerja, sedangkan peta jalan yang diprioritaskan berdasarkan risiko mendorong peningkatan sistematis menuju kematangan keamanan yang dapat diukur.