“Berdasarkan statistik kasus yang saya tangani, justri fraud internal lebih sering karena mereka lebih ngerti business prosess sedangkan dari luar harus meraba-raba,” kata Radit.
Regulasi mengenai keamanan siber ini sebenarnya telah diatur dalam Peraturan Menteri Komunikasi dan Informatika (Permenkominfo) Nomor 4 Tahun 2016 tentang Sistem Manajemen Pengamanan Informasi (SMPI). Aturan tersebut menyatakan setiap penyelenggara sistem elektronik harus menerapkan standar keamanan ISO/IEC 27001 dan pengamanan lainnya sesuai dengan instansi pengawas dan pengatur sektor.
Permenkominfo 4/2016 STANDAR SISTEM MANAJEMEN PENGAMANAN INFORMASI Pasal 7: (1) Penyelenggara Sistem Elektronik yang menyelenggarakan Sistem Elektronik strategis harus menerapkan standar SNI ISO/IEC 27001 dan ketentuan pengamanan yang ditetapkan oleh Instansi Pengawas dan Pengatur Sektornya. (2) Penyelenggara Sistem Elektronik yang menyelenggarakan Sistem Elektronik tinggi harus menerapkan standar SNI ISO/IEC 27001. (3) Penyelenggara Sistem Elektronik yang menyelenggarakan Sistem Elektronik rendah harus menerapkan pedoman Indeks Keamanan Informasi (4) Ketentuan mengenai pedoman Indeks Keamanan Informasi sebagaimana dimaksud pada ayat (3) diatur dalam Peraturan Menteri. |
Intinya, ISO 27001 merupakan standar internasional sistem manajemen keamanan informasi yang bertujuan menjaga sistem keamanan siber perusahaan atau organisasi. ISO tersebut mengatur teknis tata kelola keamanan sistem informasi, mitigasi hingga kontrol terhadap risiko keamanan siber.
Sementara itu, Praktisi Indonesia Cyber Security Forum (ICSF), Satriyo Wibowo menjelaskan setiap perusahaan atau organisasi perlu menerapkan ISO tersebut sebagai standar pengamanan sibernya. “Penerapan ISO ini sudah cukup mulai dari tata kelola, penyediaan SDM (sumber daya manusia) hingga audit,” jelas Satriyo.
Satriyo juga menyayangkan masih rendahnya kesadaran korporasi terhadap keamanan siber ini. Padahal, menurutnya, data tersebut merupakan aset penting yang harus dijaga sehingga tidak disalahgunakan pihak lain.
“Kalau bicara kesadaran masih belum. Perusahaan harus menyiapkan tata kelola keamanan informasi,” jelas Satriyo.