JAKARTA, WARTAPEMERIKSA — Badan Pemeriksa Keuangan (BPK) menyadari bahwa dunia digital bagaikan pisau bermata dua. Di satu sisi, sistem teknologi informasi (TI) yang canggih dapat semakin memudahkan pekerjaan pemeriksaan BPK. Di sisi lain, kemudahan ini menyimpan ancaman tersendiri.
Kepala Biro Teknologi Informasi BPK, Pranoto menjelaskan, menyadari hal itu, BPK pun melakukan berbagai tindakan mitigasi digital. Yang paling utama adalah pembentukan BPK Computer Security Incident Response Team (CSIRT). Fungsi dari CSIRT ini adalah untuk mengoordinasikan dan mengolaborasikan penanggulangan serta pemulihan terhadap insiden keamanan siber secara cepat serta membangun kapasitas sumber daya dalam keamanan siber.
“SDM CSIRT ini tidak hanya berasal dari tim Biro TI, namun juga berasal dari Ditama Binbangkum, Biro Umum, Biro Humas, dan lain sebagainya,” ucap dia kepada Warta Pemeriksa, belum lama ini.
Langkah berikutnya adalah kerja sama dengan BSSN dalam masalah deteksi ancaman, vulnerability security assesment, dan penanganan insiden. Selain itu adalah penerapan sertifikasi ISO 27001 terkait operasional data center untuk memastikan keamanan. Langkah selanjutnya adalah peningkatan security awareness secara pegawai yang diberikan secara berkala.
Saat ini, memang BPK masih dalam proses untuk mendapatkan sertifikasi ISO 27001. Hanya saja dia memastikan standar ISO itu sudah diterapkan oleh Biro TI dalam operasional data center.
“Bagi BPK, khususnya Biro TI, memandang isu pengamanan data menggunakan prinsip confidentiality, integrity, dan availability (CIA) yang harus terjamin di data tersebut. Untuk mencapainya, perlu dilakukan pendekatan secara komprehensif melalui pilar people-process-technology (PPT),” ucap dia.
Prinsip confidentiality, integrity, dan availability (CIA), menurut dia juga amat penting karena usaha penerobosan selalu ada. Bahkan, hampir tiap detik selama 24 jam, baik dari internet maupun intranet.
“Bagi BPK, khususnya Biro TI, memandang isu pengamanan data menggunakan prinsip confidentiality, integrity, dan availability (CIA) yang harus terjamin di data tersebut. Untuk mencapainya, perlu dilakukan pendekatan secara komprehensif melalui pilar people-process-technology (PPT).”
Menurut Pranoto, usaha penerobosan lewat internet mempunyai tren perubahan yang cepat. Bahkan, selalu saling mengejar dengan pengamanan yang dilakukan oleh BPK. Sedangkan insiden–insiden yang terjadi di intranet, perubahan trennya terbilang lebih lambat.
Kalaupun terjadi kebocoran, ucap Pranoto, tim CSIRT akan melakukan analisis untuk mengkonfirmasi keabsahan adanya indikasi kebocoran data atau penerobosan keamanan. Jika memang valid, akan dilanjutkan dengan investigasi dan mitigasi untuk mencegah dampak negatif yang lebih besar.
Proses analisis indikasi kebocoran data atau penerobosan keamanan yang dijalankan mengacu kepada kebijakan-kebijakan BSSN sebagai institusi yang bertanggung jawab terhadap keamanan siber. Selain itu, Biro TI juga menerapkan kebijakan, standar, dan prosedur pengamanan data menggunakan panduan yang sudah ditetapkan.
Lewat CSIRT, kata dia, Biro TI berupaya terus mendorong keamanan data lewat sumber daya manusia (people). Selain proses bisnis dan teknologi, pegawai memang menjadi kunci untuk menjamin keamanan informasi.
People di sini bisa dilihat dari sisi personel bidang TI dan pengguna TI itu sendiri. Dari sisi personel bidang TI, masih diperlukan tambahan tenaga karena tim penanganan insiden dan keamanan data masih tergabung dengan unit lain yang tentunya mempunyai tanggung jawab lain. Padahal untuk pengamanan dibutuhkan SDM yang terlatih dan mempunyai waktu yang didedikasikan secara khusus. Terkait personel pengguna TI, security awareness dari seluruh pengguna TI BPK juga memiliki peran yang signifikan untuk menjamin keamanan informasi.