BSSN dan Kesadaran Keamanan: Yang Perlu Diketahui Organisasi Indonesia

BSSN, Badan Siber dan Sandi Negara, adalah lembaga siber dan sandi nasional Indonesia, dibentuk pada 2017 dan bertanggung jawab langsung kepada Presiden. Lembaga ini mengoordinasikan kebijakan keamanan siber nasional, memegang peran sentral dalam koordinasi penanganan insiden di tingkat nasional, dan bekerja sama dengan regulator sektoral, seperti OJK untuk sektor jasa keuangan, serta dengan operator infrastruktur kritis untuk meningkatkan postur kesiapan siber secara keseluruhan di negara ini.

Peran BSSN mencakup panduan kebijakan, koordinasi kapasitas tanggap insiden nasional, pelindungan infrastruktur informasi kritis, dan peningkatan kapasitas lintas pemerintah dan industri. Organisasi yang mengoperasikan infrastruktur kritis atau mengelola volume data publik yang signifikan umumnya diharapkan menjaga tingkat kesiapan keamanan siber dasar yang mencakup unsur manusia, bukan sekadar kontrol teknis seperti firewall dan alat pemantauan.

Penting untuk menegaskan batasan artikel ini: kewajiban spesifik sangat bervariasi menurut sektor dan jenis organisasi, dan sebaiknya dikonfirmasi berdasarkan peraturan yang berlaku bersama penasihat hukum dan kepatuhan. Yang disajikan berikut ini adalah orientasi umum mengenai topik ini, bukan nasihat hukum, dan tidak sepatutnya diperlakukan sebagai pengganti panduan profesional yang spesifik untuk situasi masing-masing organisasi.

Secara umum, ekspektasi kesiapan bagi badan publik dan operator infrastruktur kritis meliputi kebijakan keamanan yang terdokumentasi, rencana tanggap insiden, penilaian risiko berkala, dan yang semakin sering muncul, bukti bahwa staf memahami dan tangguh terhadap rekayasa sosial, karena manusia tetap menjadi salah satu titik masuk paling umum bagi penyerang terlepas dari sekuat apa kontrol teknis organisasi.

Kesiapan semakin dinilai sebagai program yang berkelanjutan, bukan latihan sertifikasi sekali jadi. Artinya, organisasi diuntungkan bila mampu menunjukkan rekam jejak yang berkelanjutan: kapan pelatihan kesadaran diberikan dan kepada siapa, bagaimana respons staf terhadap simulasi serangan yang realistis dari waktu ke waktu, dan tindak lanjut apa yang dilakukan ketika ditemukan celah. Satu latihan pada satu titik waktu mengatakan jauh lebih sedikit dibanding rekam jejak perbaikan yang terus berjalan.

Ada keterkaitan yang berarti antara ekspektasi umum ini dan kerangka kerja yang sudah dirujuk banyak organisasi, kontrol ISO 27001, atau aturan sektoral seperti POJK 11/2022 untuk lembaga jasa keuangan. Program human risk yang terkoordinasi dengan baik cenderung menghasilkan bukti yang mendukung beberapa kerangka kerja ini sekaligus, alih-alih membutuhkan inisiatif terpisah untuk memenuhi masing-masing secara sendiri-sendiri.

Simulasi phishing, simulasi vishing, dan modul pelatihan mikro singkat secara alami menciptakan jejak yang dapat diaudit sebagai hasil sampingan dari menjalankannya: catatan kampanye, tingkat klik dan pelaporan dari waktu ke waktu, serta riwayat lengkap penugasan dan penyelesaian pelatihan. Jejak itu benar-benar berguna sebagai bukti saat menunjukkan program human risk yang berjalan kepada auditor internal, dewan direksi, atau badan pengawas, karena jejak itu menunjukkan aktivitas yang sesungguhnya, bukan sekadar klaim adanya aktivitas.

Namun tujuan sesungguhnya adalah perubahan perilaku, bukan sekadar menjalankan simulasi untuk menghasilkan laporan. Tingkat klik yang menurun dan tingkat pelaporan yang meningkat pada kampanye-kampanye berturut-turut adalah sinyal kesiapan yang jauh lebih meyakinkan dibanding satu kali pengujian yang dilakukan sekali dan tidak pernah diulang, karena hal itu menunjukkan bahwa orang-orang di organisasi benar-benar semakin baik dalam mengenali serangan dari waktu ke waktu.

Memadukan berbagai kanal, phishing email, voice phishing, dan simulasi berbasis WhatsApp, juga mencerminkan cara penyerang sesungguhnya mencoba menjangkau karyawan di Indonesia saat ini. Organisasi yang hanya menguji email sedang mengukur sebagian kecil dari paparan sesungguhnya, dan program simulasi yang lebih lengkap lintas kanal memberikan gambaran yang lebih utuh dan jujur tentang posisi organisasi sebenarnya.

Kesiapan keamanan siber di Indonesia tidak berdiri terpisah dari perlindungan data. UU No. 27 Tahun 2022, Undang-Undang Perlindungan Data Pribadi (UU PDP), menetapkan kewajiban bagi organisasi yang memproses data pribadi, termasuk kewajiban melindungi data itu dengan langkah keamanan yang memadai. Kesalahan manusia dalam serangan phishing adalah jalur umum menuju paparan data yang menjadi perhatian undang-undang tersebut.

Bagi banyak organisasi, kelemahan rekayasa sosial yang sama yang diatasi oleh ekspektasi kesiapan selaras-BSSN juga merupakan risiko data pribadi di bawah UU PDP, dan, bagi lembaga keuangan, hal yang tercakup dalam aturan OJK seperti POJK 11/2022. Satu serangan phishing yang berhasil bisa memicu kekhawatiran pada ketiganya sekaligus.

Implikasi praktisnya, program human risk yang dijalankan dengan baik jarang hanya melayani satu persyaratan. Menurunkan kemungkinan karyawan menyerahkan kredensial atau data pelanggan kepada penyerang mendukung ekspektasi kesiapan nasional, kewajiban perlindungan data pribadi, dan pengawasan sektoral secara bersamaan, dan itulah sebabnya memperlakukannya sebagai satu upaya terkoordinasi lebih efisien dibanding mengejar masing-masing secara terpisah.

Ketika peninjau mana pun, auditor internal, komite direksi, atau badan pengawas, menanyakan bagaimana organisasi mengelola risiko manusia, jawaban paling kuat adalah catatan, bukan jaminan lisan. Jejak bukti yang berkelanjutan menunjukkan apa yang dilakukan, kapan, dan dengan hasil apa, yang jauh lebih meyakinkan dibanding dokumen kebijakan yang menjelaskan apa yang seharusnya terjadi.

Jejak yang berguna mencakup catatan kampanye bertanggal, tingkat klik dan pelaporan yang dipantau lintas putaran berturut-turut, riwayat penugasan dan penyelesaian pelatihan, serta catatan tindak lanjut yang dilakukan ketika celah muncul. Nilainya terletak pada kesinambungan: satu latihan membuktikan sebuah kejadian terjadi, sementara catatan yang terus berjalan membuktikan sebuah program benar-benar ada.

Menyusun bukti ini setelah permintaan datang menegangkan dan jarang lengkap. Menghasilkannya sebagai hasil sampingan alami dari program yang berkelanjutan berarti catatannya sudah ada ketika dibutuhkan, yang lebih ringan di bawah tenggat waktu sekaligus jauh lebih kredibel dibanding potret yang disusun tergesa-gesa.

Bagi organisasi yang berangkat dari upaya kesadaran yang terbatas, langkah pertama adalah baseline: simulasi realistis ke seluruh tenaga kerja untuk menetapkan posisi sebenarnya sebelum materi apa pun dipilih. Tanpa pengukuran itu, perbaikan di kemudian hari tidak bisa ditunjukkan, hanya diklaim.

Dari sana, kadensi simulasi yang stabil dipadukan dengan modul pelatihan singkat, disampaikan dalam Bahasa Indonesia dan mencerminkan umpan lokal, membangun kebiasaan sekaligus catatan secara bersamaan. Memperluas melampaui email ke suara dan WhatsApp sejak dini mencerminkan cara penyerang sesungguhnya beroperasi di Indonesia dan menghindari pengukuran yang hanya menyentuh sebagian kecil paparan.

Terakhir, putuskan sejak awal bagaimana hasil akan ditinjau dan dilaporkan. Menetapkan ritme peninjauan yang teratur dan format pelaporan sederhana untuk pimpinan mengubah program dari rangkaian aktivitas yang terputus menjadi upaya yang koheren dan dapat dipertanggungjawabkan, yang tetap kokoh baik audiensnya tim eksekutif maupun peninjau eksternal.

Platform Claro menghasilkan data dasar, hasil simulasi, catatan pelatihan, dan skor risiko, yang dihasilkan oleh program human risk sehari-hari, dan menyusun data tersebut menjadi laporan terstruktur serta paket bukti yang selaras dengan kerangka kerja yang umum dirujuk oleh organisasi teregulasi yang beroperasi di Indonesia.

Penting untuk menegaskan kembali dengan jelas bahwa Claro tidak memberikan nasihat hukum dan tidak menjamin kepatuhan regulasi dengan sendirinya. Organisasi tetap perlu memvalidasi kewajiban spesifiknya dengan penasihat hukum dan dengan regulator atau badan pengawas terkait di sektornya sebelum mengandalkan platform apa pun, termasuk Claro, sebagai satu-satunya dasar posisi kepatuhan.

Secara praktis, menjadikan panduan BSSN yang lebih luas sebagai alasan untuk menjalankan program kesadaran yang berkelanjutan dan menghasilkan bukti, bukan dorongan pelatihan sekali jalan sebelum audit, adalah praktik yang baik dengan sendirinya dan jauh lebih mudah dipertanggungjawabkan saat ada peninjauan di masa depan, karena buktinya sudah tersedia alih-alih harus disusun setelah kejadian.