Panduan NIST Cybersecurity Framework (CSF 2.0)
CSF 2.0 menempatkan kesadaran dan pelatihan keamanan di dalam fungsi Protect serta menuntut akuntabilitas kepemimpinan di bawah Govern. Claro mengoperasikan hasil-hasil itu dengan simulasi, pelatihan, dan pelaporan.
- Regulator
- NIST (kerangka sukarela)
- Berlaku untuk
- Organisasi mana pun, di seluruh dunia
Ringkasan
NIST Cybersecurity Framework 2.0, yang diterbitkan pada 2024, adalah kerangka sukarela untuk memahami, mengelola, dan mengurangi risiko keamanan siber. Kerangka ini diadopsi luas di seluruh dunia sebagai bahasa bersama antara tim teknis, eksekutif, dan mitra. Alih-alih menentukan alat tertentu, kerangka ini menata hasil keamanan siber ke dalam struktur yang dapat disesuaikan oleh organisasi mana pun dengan ukuran, sektor, dan selera risikonya. Banyak organisasi Indonesia menggunakannya sebagai basis praktik terbaik atau untuk mengomunikasikan postur keamanan mereka kepada pelanggan internasional.
CSF 2.0 dibangun di sekitar enam Fungsi inti: Govern, Identify, Protect, Detect, Respond, dan Recover. Govern adalah tambahan yang menandai revisi 2.0, menegaskan bahwa risiko keamanan siber adalah tanggung jawab kepemimpinan yang merasuk ke lima fungsi lainnya. Bersama-sama, Fungsi-fungsi ini menggambarkan seluruh siklus pengelolaan risiko, dari menetapkan strategi dan mengenali aset hingga bertahan, mendeteksi, dan pulih dari insiden. Lapisan manusia muncul di beberapa fungsi, paling jelas pada Protect dan Govern.
Kesadaran dan pelatihan keamanan terutama dipetakan ke fungsi Protect, khususnya kategori Awareness and Training yang sering disebut PR.AT. Subkategorinya mengharapkan seluruh personel menerima kesadaran dan pelatihan, termasuk cara mengenali rekayasa sosial, serta individu dalam peran khusus menerima pelatihan yang disesuaikan dengan peran tersebut. Pengawasan dan akuntabilitas program, termasuk siapa pemiliknya dan bagaimana diukur, berada di bawah fungsi Govern. Singkatnya, semua orang dilatih, spesialis mendapat lebih, dan kepemimpinan tetap akuntabel.
Halaman ini adalah panduan umum, bukan nasihat hukum, dan CSF 2.0 bersifat sukarela, bukan undang-undang. Untuk detail yang otoritatif, rujuk kerangka sebagaimana diterbitkan oleh NIST dan sesuaikan dengan konteks Anda, idealnya bersama penasihat yang berkualifikasi. Claro mendukung hasil kesadaran dan pelatihan serta bukti yang menjadi sandaran pengawasan kepemimpinan, tetapi Claro sendiri tidak menerapkan seluruh kerangka. Kerangka ini mencakup jauh lebih dari sekadar lapisan manusia, dan adopsinya adalah keputusan organisasi Anda.
Apa yang diharapkan aturan ini
PR.AT-01 kesadaran dan pelatihan untuk seluruh personel
Seluruh personel perlu diberi kesadaran dan pelatihan keamanan siber agar dapat menjalankan tugas dengan mempertimbangkan keamanan, termasuk mengenali rekayasa sosial seperti phishing. Ini adalah ekspektasi yang luas mencakup seluruh organisasi, bukan hanya staf teknis. Hasil yang diharapkan adalah tenaga kerja yang mampu mengenali dan menolak manipulasi.
PR.AT-02 pelatihan berbasis peran untuk peran khusus
Individu dalam peran khusus perlu menerima pelatihan yang disesuaikan dengan risiko dan tanggung jawab spesifik peran tersebut. Kesadaran umum saja tidak cukup bagi orang dengan akses tinggi atau tugas sensitif. Kerangka ini mengharapkan konten yang terdiferensiasi sesuai peran.
Mengenali rekayasa sosial sebagai hasil eksplisit
CSF 2.0 menyebut kemampuan mengenali dan merespons rekayasa sosial sebagai bagian dari kesadaran. Phishing adalah vektor paling umum untuk ini, sehingga ujian praktisnya adalah apakah orang dapat mengidentifikasi dan melaporkan pesan mencurigakan. Tujuannya adalah pengenalan yang terukur, bukan sekadar paparan konten.
Govern: akuntabilitas kepemimpinan atas program
Fungsi Govern menegaskan bahwa risiko keamanan siber, termasuk lapisan manusia, dimiliki dan diawasi oleh kepemimpinan. Harus ada pihak yang akuntabel atas program kesadaran, pendanaannya, dan hasilnya. Ini menggeser kesadaran dari tugas TI menjadi aktivitas bisnis yang tata kelolanya jelas.
Pengukuran dan perbaikan berkelanjutan
CSF 2.0 menekankan pemahaman profil Anda saat ini dan pergerakan menuju profil target dari waktu ke waktu. Ini menyiratkan pengukuran kinerja program kesadaran dan perbaikannya, bukan memperlakukan pelatihan sebagai kotak centang. Metrik kerentanan dan pelaporan membuat perbaikan ini terlihat.
Detect dan Respond: manusia sebagai sensor
Fungsi Detect dan Respond diuntungkan langsung ketika karyawan terlatih melaporkan aktivitas mencurigakan dengan cepat. Karena itu, kesadaran memberi masukan bagi deteksi, mempersingkat waktu penyerang tidak terdeteksi. Budaya pelaporan adalah bagian dari mengubah lapisan manusia menjadi aset.
Menyesuaikan kerangka dengan konteks Anda
CSF 2.0 dimaksudkan untuk disesuaikan melalui profil dan tier, bukan diadopsi seutuhnya. Aktivitas kesadaran Anda harus mencerminkan risiko, sektor, dan kematangan yang sebenarnya. Bukti harus menunjukkan bahwa hasil yang Anda pilih tercapai, bukan bahwa Anda menyalin template generik.
Bagaimana Claro membantu Anda patuh
Penuhi PR.AT-01 dengan kesadaran seluruh organisasi
Claro menyampaikan kesadaran keamanan siber kepada seluruh personel melalui micro-module bilingual dan simulasi phishing yang secara khusus membangun kemampuan mengenali rekayasa sosial. Aturan penugasan memastikan seluruh tenaga kerja terjangkau, bukan hanya tim keamanan. Konten dalam bahasa Inggris dan Bahasa Indonesia menjaganya tetap relevan bagi tim di Indonesia.
Sampaikan pelatihan berbasis peran untuk PR.AT-02
Learning path dan aturan penugasan memungkinkan Anda menargetkan peran khusus dengan konten yang disesuaikan, sesuai ekspektasi pelatihan berbasis peran dalam kerangka. Pendaftaran seketika mengarahkan pengguna ke modul yang relevan dengan perannya setelah gagal dalam simulasi. Ini membuat diferensiasi menjadi praktis, bukan sekadar teori.
Ukur pengenalan rekayasa sosial secara langsung
Simulasi phishing terlokalisasi melacak buka, klik, kirim, dan lapor per penerima, memberi Anda pembacaan terukur tentang siapa yang mampu mengenali serangan. Penilaian risiko mengubahnya menjadi tren yang dapat Anda gerakkan dari profil saat ini menuju profil target. Ini adalah pengukuran, bukan sekadar paparan.
Ubah karyawan menjadi sensor untuk Detect dan Respond
Tombol lapor phishing, yang hadir melalui add-in Outlook dan ekstensi Gmail, memungkinkan karyawan melaporkan surel mencurigakan dengan satu klik. Loop pelaporan ini mempersingkat waktu deteksi dan mendukung fungsi Detect serta Respond. Setiap laporan ditangkap dan diberi skor.
Beri kepemimpinan pengawasan yang diminta Govern
Modul kepatuhan Claro memuat logika kerangka NIST CSF, memetakan cakupan kontrol agar pemimpin dapat melihat status program secara sekilas. Laporan PDF dewan bergaya Claro dan pengiriman terjadwal memberi pemilik tata kelola bukti yang menjadi tanggung jawab mereka. Ini mendukung akuntabilitas yang ditegaskan Govern.
Tunjukkan perbaikan berkelanjutan dari waktu ke waktu
Penilaian risiko per pengguna dan per departemen, ditambah mesin gamifikasi dan perilaku, membuat kemajuan terlihat di sepanjang siklus berikutnya. Anda dapat menunjukkan pergerakan menuju profil target, bukan potret statis. Log audit dan isolasi per tenant menjaga catatan tetap tepercaya.
Pertanyaan yang sering diajukan
Tidak. CSF 2.0 adalah kerangka sukarela yang diterbitkan NIST, bukan regulasi. Organisasi mengadopsinya sebagai basis praktik terbaik dan untuk mengomunikasikan postur risiko mereka kepada pelanggan dan mitra. Banyak organisasi Indonesia menggunakannya justru karena klien internasional mengenalinya.
Halaman ini disediakan hanya untuk informasi umum dan bukan merupakan nasihat hukum. Persyaratan regulasi dapat berubah dan berlaku berbeda tergantung organisasi Anda. Pastikan kewajiban spesifik Anda dengan penasihat hukum yang kompeten atau regulator Anda.
Halaman terkait
SOC 2
Atestasi AICPA atas kontrol keamanan yang lazim mengharapkan pelatihan kesadaran keamanan terdokumentasi sebagai bukti.
Pelajari lebih lanjutUU PDP (UU 27/2022)
Undang-Undang Pelindungan Data Pribadi Indonesia. Bangun kesiapan kesadaran dan respons pelanggaran yang diharapkannya.
Pelajari lebih lanjutOJK POJK 11/2022
Aturan TI dan ketahanan siber OJK untuk bank. Buktikan kesadaran dan pengujian yang dituntutnya.
Pelajari lebih lanjutBangun bukti kesadaran keamanan yang dapat dipertanggungjawabkan
Claro memberi tim kepatuhan dan keamanan pelaporan yang diharapkan auditor, dalam bahasa Inggris dan Bahasa Indonesia.
Minta demo