Bagaimana Threat Intelligence Membantu Perusahaan Memahami Risiko Siber?

Ancaman dan Risiko adalah Dua Hal Berbeda

Ancaman adalah keberadaan sesuatu yang berpotensi merusak, misalnya teknik pencurian data atau alat yang bisa disalahgunakan. Risiko adalah kemungkinan ancaman itu benar-benar berdampak pada perusahaan tertentu, dengan memperhitungkan seberapa rentan dan seberapa besar akibatnya.

Ancaman yang sama bisa berarti risiko besar bagi satu perusahaan dan risiko kecil bagi perusahaan lain, bergantung pada data yang dimiliki dan cara kerjanya.

Karena itu, dua perusahaan yang menghadapi ancaman serupa bisa memiliki tingkat risiko yang berbeda. Konteks internal adalah faktor penentu yang tidak dapat diabaikan.

Dari Informasi Umum menjadi Gambaran yang Relevan

Informasi ancaman pada awalnya bersifat umum. Tugas perusahaan adalah menyaringnya: mana yang menyentuh data, proses, dan teknologi yang benar-benar dipakai. Proses penyaringan inilah yang mengubah kabar umum menjadi gambaran risiko yang relevan.

Hasilnya lebih sedikit, tetapi jauh lebih berguna untuk menentukan langkah.

Penyaringan ini juga mengurangi kebisingan. Dengan fokus pada yang relevan, tim tidak kehabisan tenaga mengejar setiap kabar yang belum tentu menyentuh perusahaan.

Menimbang Kemungkinan dan Dampak

Setelah informasi disaring, perusahaan dapat menimbang dua hal: seberapa mungkin suatu ancaman menimpa, dan seberapa besar dampaknya bila terjadi. Ancaman yang jarang tetapi berdampak besar biasanya menuntut perhatian berbeda dibanding ancaman yang sering tetapi ringan.

Penimbangan sederhana ini sudah cukup untuk menyusun urutan prioritas yang jauh lebih baik daripada memperlakukan semua ancaman setara.

Untuk menyusun penimbangan ini, perusahaan tidak selalu membutuhkan perhitungan rumit. Penilaian kualitatif yang konsisten sudah cukup untuk membedakan mana yang perlu didahulukan.

Menguji Asumsi dengan Data Internal

Informasi dari luar perlu diuji dengan data internal. Misalnya, bila dikabarkan banyak kebocoran terjadi lewat layanan penyimpanan awan tertentu, perusahaan dapat memeriksa seberapa sering layanan itu dipakai di lingkungannya. Perpaduan keduanya menghasilkan gambaran yang lebih akurat.

Data internal mencegah perusahaan salah memperkirakan tingkat kerentanannya sendiri.

Langkah ini juga menyingkap jurang antara persepsi dan kenyataan: risiko yang dikhawatirkan mungkin ternyata jarang, sementara risiko yang diabaikan justru sering muncul di aktivitas harian.

Menerjemahkan Risiko menjadi Kontrol

Risiko yang sudah dipetakan memudahkan pemilihan kontrol. Risiko yang berkaitan dengan perpindahan data menuntut aturan pemantauan maupun pembatasan tertentu. Risiko yang berkaitan dengan perangkat asing menuntut pengendalian perangkat.

Dengan cara ini, setiap kontrol memiliki alasan yang jelas dan dapat dipertanggungjawabkan.

Kontrol yang dipilih dari pemetaan risiko lebih mudah dievaluasi, karena keberhasilannya diukur terhadap risiko yang memang ingin ditekan, bukan terhadap daftar fitur.

Menjelaskan Risiko kepada Manajemen

Manajemen umumnya tidak memutuskan berdasarkan istilah teknis, melainkan berdasarkan dampak. Ketika risiko disajikan dalam bahasa kemungkinan dan akibat, keputusan pun lebih mudah diambil, termasuk soal anggaran.

Pemetaan risiko yang rapi membuat usulan penguatan keamanan terdengar sebagai kebutuhan, bukan sekadar pengeluaran.

Risiko yang Dipahami Lebih Mudah Dikelola

Perusahaan tidak dapat mengendalikan apa yang tidak dipahaminya. Semakin jelas gambaran risiko, semakin terarah upaya pengamanan. Pada akhirnya, pemahaman yang baik tentang risiko adalah fondasi dari pengendalian yang efektif.

Dengan pemahaman yang jelas, diskusi tentang keamanan berubah dari perdebatan teknis menjadi keputusan bisnis yang terukur.

Kesalahan Umum dalam Memanfaatkan Informasi Ancaman

Banyak perusahaan sudah mengonsumsi informasi ancaman secara rutin, tetapi manfaatnya belum terasa di lapangan. Penyebabnya sering berulang dan sebenarnya dapat dikenali lebih awal. Mengetahui pola kesalahan ini membuat putaran berikutnya jauh lebih efektif dan hemat tenaga, baik di perusahaan kecil maupun besar.

Kesalahan pertama adalah memperlakukan semua kabar sebagai prioritas. Ketika setiap laporan dianggap mendesak, tim kehabisan tenaga lalu berhenti memperhatikan semuanya. Penyaringan berdasarkan relevansi terhadap data dan proses internal, bukan berdasarkan keramaian berita, adalah kuncinya. Tim yang fokus pada segelintir risiko relevan biasanya bergerak lebih cepat daripada tim yang mengejar setiap peringatan baru.

Kesalahan kedua adalah melompat langsung ke alat. Perangkat keamanan dipilih sebelum risiko dipahami, sehingga kontrol yang terpasang belum tentu menjawab ancaman yang paling mungkin menimpa perusahaan. Akibatnya, anggaran keluar tanpa pengurangan risiko yang sepadan. Sebaliknya, perusahaan yang lebih dulu memetakan risiko memiliki alasan jelas untuk setiap kontrol yang dipasang.

Kesalahan ketiga adalah tidak mencatat dasar sebuah keputusan. Tanpa catatan mengapa satu prioritas diambil dan prioritas lain ditunda, peninjauan berikutnya mengulang perdebatan dari awal dan organisasi kehilangan pelajaran dari insiden yang telah terjadi. Catatan semacam ini juga memudahkan serah terima ketika personel berganti.

Kesalahan keempat adalah menganggap pekerjaan selesai setelah satu putaran. Lanskap ancaman terus bergerak, sehingga prioritas yang tepat hari ini bisa keliru beberapa bulan kemudian. Tanpa peninjauan berkala, pemetaan risiko perlahan kehilangan kaitan dengan keadaan sebenarnya.

Kesalahan terakhir adalah membiarkan wawasan berhenti sebagai bacaan. Selama informasi tidak berubah menjadi aturan yang benar-benar berjalan di perangkat, risiko belum berkurang sedikit pun. Perusahaan yang matang menutup celah-celah ini secara sadar, sehingga informasi ancaman berpengaruh nyata pada keputusan sehari-hari, bukan sekadar memperkaya pengetahuan tim.

Sebagai penutup praktis, perusahaan dapat memakai empat pertanyaan sederhana untuk memeriksa apakah informasi ancaman benar-benar bekerja: apakah prioritas risiko ditinjau secara berkala, apakah setiap kontrol memiliki alasan yang tercatat, apakah perubahan ancaman sampai ke aturan di perangkat, dan apakah hasilnya dapat diukur. Bila keempatnya dijawab dengan bukti, bukan asumsi, maka threat intelligence telah berubah dari bacaan menjadi bagian dari keputusan sehari-hari.