Kerangka Keamanan Siber NIST

Kerangka Kerja Keamanan Siber NIST (CSF) adalah kerangka kerja berbasis risiko dan bersifat sukarela yang diterbitkan oleh Institut Nasional Standar dan Teknologi US. Kerangka kerja ini sengaja dibuat netral terhadap teknologi dan dapat disesuaikan dengan organisasi dalam ukuran atau sektor apa pun.

Kekuatan kerangka kerja ini terletak pada strukturnya yang sederhana dan mudah diingat untuk mengatur program keamanan. Awalnya dibuat untuk infrastruktur kritis, kerangka kerja ini kini digunakan secara luas di seluruh dunia sebagai bahasa bersama untuk risiko keamanan siber.

Jantung CSF adalah Inti, yang diatur ke dalam berbagai Fungsi tingkat tinggi. Lima fungsi klasiknya adalah:

• Identifikasi — pahami aset dan risiko Anda.
• Perlindungan — terapkan pengamanan.
• Deteksi — temukan peristiwa saat terjadi.
• Respons — tangani insiden yang terdeteksi.
• Pemulihan — pulihkan dan ambil pelajaran.

CSF 2.0 (2024) menambahkan fungsi keenam, Tata Kelola, yang menaungi fungsi lainnya dengan pengawasan dan strategi.

Identifikasi membangun pemahaman organisasi yang diperlukan untuk mengelola risiko. Anda tidak dapat melindungi sesuatu yang tidak Anda ketahui keberadaannya.

• Manajemen aset, perangkat keras, perangkat lunak, data, layanan.
• Lingkungan bisnis dan ketergantungan kritis.
• Penilaian risiko dan strategi manajemen risiko.
• Risiko rantai pasokan.

Fungsi ini menjawab pertanyaan apa yang kita miliki dan apa yang mengancamnya? Semua hal berikutnya bergantung pada ketepatan langkah ini.

Perlindungan menerapkan pengamanan untuk membatasi atau menahan dampak suatu peristiwa. Fungsi ini mencakup sebagian besar kontrol pencegahan:

• Manajemen identitas dan kontrol akses (hak istimewa minimum, MFA).
• Kesadaran dan pelatihan.
• Keamanan data, enkripsi saat tersimpan dan saat dikirim.
• Pemeliharaan dan teknologi perlindungan (penguatan, penambalan).

Perlindungan mengurangi kemungkinan dan cakupan dampak insiden sebelum insiden tersebut terjadi.

Deteksi menetapkan kegiatan untuk mengidentifikasi peristiwa keamanan siber secara tepat waktu. Pencegahan pada akhirnya selalu gagal, sehingga deteksi sangat penting.

• Pemantauan keamanan berkelanjutan (SIEM, EDR, sensor jaringan).
• Deteksi anomali dan peristiwa, dengan memahami kondisi acuan Anda.
• Proses deteksi yang diuji dan dipelihara.

Metriknya adalah waktu deteksi; semakin lama ancaman tidak terlihat, semakin besar kerusakan yang ditimbulkannya.

Respons mencakup tindakan yang diambil setelah insiden terdeteksi untuk menahan dampaknya.

• Perencanaan respons, yaitu rencana respons insiden yang terdokumentasi.
• Komunikasi internal dan eksternal, termasuk urusan hukum dan PR.
• Analisis, memahami cakupan dan akar penyebab.
• Mitigasi, menahan dan membasmi ancaman.

Di sinilah buku pedoman SOAR dan buku prosedur IR digunakan. Respons yang dilatih berulang kali mengurangi dampak setiap pembobolan.

Pemulihan memulihkan kemampuan yang terganggu oleh insiden dan memasukkan pelajaran kembali ke dalam program.

• Perencanaan pemulihan dan pencadangan yang telah diuji.
• Perbaikan, yaitu tinjauan pascainsiden yang memperbarui kontrol.
• Komunikasi selama pemulihan.

Pemulihan menutup siklus. Langkah pembelajaran dari insiden adalah hal yang mengubah pembobolan yang menyakitkan menjadi program yang lebih kuat, bukan kesalahan yang terulang.

CSF 2.0 memperkenalkan Tata Kelola sebagai fungsi yang mencakup semua fungsi lainnya. Fungsi ini menetapkan dan memantau strategi, harapan, serta kebijakan manajemen risiko keamanan siber organisasi.

• Peran, tanggung jawab, dan akuntabilitas.
• Strategi manajemen risiko yang diselaraskan dengan sasaran bisnis.
• Kebijakan dan pengawasan, termasuk keterlibatan tingkat dewan.

Tata Kelola mencerminkan bahwa keamanan siber merupakan persoalan kepemimpinan dan risiko perusahaan, bukan sekadar persoalan teknis.

Setiap Fungsi diuraikan menjadi Kategori dan Subkategori (hasil spesifik), yang dirujuk menggunakan kode.

CSF mendefinisikan Tingkat Implementasi yang menjelaskan tingkat kematangan dan keterpaduan manajemen risiko Anda, dari Tingkat 1 hingga Tingkat 4:

• Tingkat 1 Parsial — berdasarkan kebutuhan, reaktif.
• Tingkat 2 Berbasis Risiko — praktik telah disetujui, tetapi belum berlaku di seluruh organisasi.
• Tingkat 3 Dapat Diulang — kebijakan formal, diterapkan secara konsisten.
• Tingkat 4 Adaptif — terus ditingkatkan, didorong oleh ancaman.

Tingkat bukanlah skor kematangan yang harus dinaikkan secara membabi buta; pilih tingkat yang sesuai dengan risiko dan sumber daya Anda.

CSF menjadi dapat diterapkan melalui Profil. Buat dua profil dan bandingkan:

• Profil Saat Ini — hasil yang Anda capai saat ini.
• Profil Target — hasil yang Anda perlukan berdasarkan risiko dan sasaran bisnis Anda.

Kesenjangan di antara keduanya menjadi peta jalan prioritas Anda. Analisis kesenjangan ini mengubah kerangka kerja abstrak menjadi rencana konkret yang memiliki anggaran: tutup kesenjangan dengan risiko tertinggi terlebih dahulu. Dengan cara inilah CSF mendorong keputusan investasi, bukan sekadar menjadi dokumen referensi.

Petakan suatu aktivitas ke Fungsi CSF yang tepat.

Kerangka Kerja Keamanan Siber NIST:

• Struktur sukarela, berbasis risiko, dan netral terhadap teknologi untuk mengatur program keamanan.
• Fungsi Inti: Identifikasi, Perlindungan, Deteksi, Respons, Pemulihan, serta Tata Kelola (ditambahkan dalam CSF 2.0) yang menaungi semuanya.
• Identifikasi mengenali aset dan risiko; Perlindungan mencegah; Deteksi menemukan peristiwa; Respons membatasi dampak; Pemulihan mengembalikan kondisi dan mengambil pelajaran.
• Fungsi diuraikan menjadi Kategori dan Subkategori (hasil berkode); Profil adalah kumpulan hasil yang Anda targetkan.
• Tingkat Implementasi (dari 1 Parsial hingga 4 Adaptif) menjelaskan kematangan; pilih tingkat yang sesuai dengan risiko Anda, bukan menaikkannya secara membabi buta.