Pengetahuan

Cybersecurity Incident Handling: Memahami ISO 27035 untuk Penanganan Insiden Keamanan Informasi

Di tengah meningkatnya ancaman siber, perusahaan tidak cukup hanya berinvestasi pada firewall, antivirus, endpoint protection, atau sistem keamanan lainnya. Organisasi juga perlu memiliki kemampuan untuk merespons dan menangani insiden keamanan informasi secara terstruktur ketika sebuah serangan atau gangguan benar-benar terjadi.

Sebuah serangan phishing, kebocoran data, ransomware, akses tidak sah, maupun gangguan terhadap sistem dapat berkembang menjadi masalah yang jauh lebih besar apabila organisasi tidak memiliki prosedur penanganan yang jelas.

Di sinilah ISO/IEC 27035 menjadi relevan. Standar ini memberikan panduan mengenai information security incident management, mulai dari persiapan, identifikasi dan pelaporan insiden, penilaian, respons, hingga pembelajaran setelah insiden terjadi.

Dengan pendekatan yang sistematis, organisasi tidak hanya berusaha menghentikan insiden, tetapi juga memastikan bahwa setiap kejadian dapat ditangani, didokumentasikan, dievaluasi, dan menjadi dasar untuk meningkatkan keamanan informasi di masa mendatang.

Apa Itu ISO 27035?

ISO/IEC 27035 adalah standar internasional yang memberikan panduan mengenai information security incident management atau manajemen insiden keamanan informasi.

Standar ini membantu organisasi membangun pendekatan yang terstruktur untuk menangani insiden keamanan informasi. Fokusnya bukan hanya pada tindakan ketika serangan terjadi, tetapi juga pada bagaimana organisasi mempersiapkan diri sebelum insiden, merespons ketika insiden berlangsung, dan melakukan pembelajaran setelah insiden selesai.

Dengan demikian, incident handling seharusnya tidak dipandang sebagai aktivitas yang baru dilakukan ketika terjadi serangan. Organisasi perlu memiliki kemampuan dan mekanisme yang telah dipersiapkan sebelumnya.

Mengapa Cybersecurity Incident Handling Penting?

Tidak ada sistem keamanan yang dapat menjamin organisasi terbebas sepenuhnya dari insiden siber. Bahkan ketika berbagai kontrol keamanan sudah diterapkan, organisasi tetap dapat menghadapi phishing, malware, credential theft, insider threat, data breach, atau eksploitasi kerentanan.

Masalahnya bukan hanya apakah insiden akan terjadi, tetapi seberapa siap organisasi ketika insiden tersebut terjadi.

Tanpa proses incident handling yang jelas, organisasi dapat mengalami beberapa masalah, seperti:

keterlambatan dalam mendeteksi dan merespons insiden;
tidak jelasnya pihak yang bertanggung jawab;
tindakan penanganan yang tidak terkoordinasi;
hilangnya atau tidak lengkapnya bukti insiden;
dampak insiden yang semakin luas;
gangguan terhadap operasional bisnis;
kesulitan memenuhi kewajiban regulasi atau kontraktual; dan
insiden yang sama kembali terjadi karena akar masalah tidak pernah dianalisis.

Karena itu, kemampuan incident handling menjadi salah satu bagian penting dari cybersecurity resilience organisasi.

Bagaimana ISO 27035 Memandang Penanganan Insiden?

Secara umum, pendekatan ISO 27035 dapat dipahami sebagai sebuah siklus yang dimulai jauh sebelum insiden terjadi dan terus berlanjut setelah insiden selesai.

1. Persiapan

Penanganan insiden yang efektif dimulai dari persiapan. Organisasi perlu menentukan bagaimana insiden keamanan informasi akan dikelola, siapa yang memiliki tanggung jawab, bagaimana insiden dilaporkan, serta sumber daya apa yang diperlukan untuk meresponsnya.

Persiapan dapat mencakup:

kebijakan dan prosedur incident management;
pembentukan tim atau penanggung jawab incident response;
mekanisme pelaporan insiden;
klasifikasi dan prioritas insiden;
penyediaan tools dan sumber daya;
pelatihan personel;
komunikasi dan eskalasi;
serta pengujian prosedur melalui simulasi atau latihan.

Tahap ini penting karena ketika insiden terjadi, organisasi tidak seharusnya baru mulai menentukan siapa melakukan apa.

2. Identifikasi dan Pelaporan Insiden

Langkah berikutnya adalah memastikan kejadian yang mencurigakan dapat dikenali dan dilaporkan dengan cepat. Sumber informasi mengenai insiden dapat berasal dari berbagai tempat, seperti monitoring keamanan, sistem log, antivirus atau endpoint security, pengguna, pelanggan, vendor, maupun pihak eksternal.

Contohnya, seorang karyawan menerima email phishing dan melaporkannya kepada tim IT. Atau sistem monitoring mendeteksi aktivitas login yang tidak biasa pada akun tertentu.

Informasi tersebut kemudian perlu dicatat dan ditangani melalui mekanisme pelaporan yang telah ditentukan.

Kecepatan dalam tahap ini sangat penting karena semakin lama sebuah insiden tidak diketahui, semakin besar kemungkinan dampaknya berkembang.

3. Assessment dan Decision Making

Tidak semua kejadian keamanan memiliki tingkat dampak yang sama.

Karena itu, organisasi perlu melakukan penilaian untuk menentukan apakah suatu kejadian benar-benar merupakan insiden keamanan informasi dan seberapa serius dampaknya.

Beberapa hal yang dapat dipertimbangkan antara lain:

jenis aset yang terdampak;
sensitivitas informasi;
jumlah pengguna atau sistem yang terdampak;
dampak terhadap confidentiality, integrity, dan availability;
dampak terhadap operasional bisnis;
dampak hukum dan regulasi;
serta potensi penyebaran insiden.

Hasil assessment kemudian dapat digunakan untuk menentukan prioritas respons dan tingkat eskalasi. Sebagai contoh, percobaan phishing yang berhasil diblokir mungkin membutuhkan respons yang berbeda dibandingkan dengan ransomware yang sudah mengenkripsi server produksi.

4. Incident Response

Setelah insiden dikonfirmasi dan tingkat keparahannya ditentukan, organisasi perlu melakukan tindakan respons. Tujuan utamanya adalah mengendalikan insiden dan mengurangi dampaknya.

Tindakan yang dilakukan dapat berbeda tergantung jenis insiden. Misalnya, dalam kasus akun yang diduga telah dikompromikan, organisasi dapat melakukan pengamanan akun, melakukan reset credential, memeriksa aktivitas pengguna, dan menganalisis sistem yang terkait.

Pada kasus malware atau ransomware, respons dapat melibatkan isolasi perangkat, analisis sumber infeksi, containment, eradication, serta proses recovery. Hal yang penting adalah tindakan tersebut dilakukan berdasarkan prosedur dan informasi yang tersedia, bukan sekadar berdasarkan asumsi atau kepanikan.

5. Pembelajaran dari Insiden

Penanganan insiden tidak berhenti ketika sistem sudah kembali normal. Organisasi perlu melakukan post-incident review untuk memahami apa yang terjadi dan bagaimana organisasi dapat mencegah atau mengurangi kemungkinan kejadian serupa di masa depan.

Evaluasi dapat mencakup:

apa penyebab utama insiden;
bagaimana insiden dapat terjadi;
kontrol keamanan apa yang gagal atau belum memadai;
apakah respons dilakukan sesuai prosedur;
berapa lama waktu deteksi dan respons;
apa saja dampak yang ditimbulkan;
serta tindakan perbaikan apa yang diperlukan.

Hasil evaluasi kemudian dapat digunakan untuk meningkatkan kontrol keamanan, prosedur, kompetensi personel, maupun teknologi yang digunakan organisasi. Dengan kata lain, setiap insiden seharusnya menjadi sumber pembelajaran bagi organisasi.

Incident Handling Bukan Hanya Tanggung Jawab Tim IT

Salah satu kesalahpahaman yang sering terjadi adalah menganggap cybersecurity incident handling sepenuhnya merupakan tanggung jawab departemen IT. Padahal, insiden keamanan informasi dapat berdampak pada berbagai bagian organisasi. Dalam kondisi tertentu, penanganan insiden dapat membutuhkan keterlibatan:

IT & Security: Melakukan deteksi, analisis teknis, containment, eradication, dan recovery.
Management: Mengambil keputusan strategis dan menentukan prioritas berdasarkan dampak bisnis.
Legal & Compliance: Menilai kewajiban hukum, regulasi, kontraktual, dan kebutuhan pelaporan.
Human Resources: Terlibat apabila insiden berkaitan dengan karyawan atau insider threat.
Communication/Public Relations: Mengelola komunikasi kepada pihak internal maupun eksternal ketika diperlukan.
Business/Operations: Menentukan dampak terhadap proses bisnis dan membantu proses pemulihan operasional.

Karena itu, incident handling membutuhkan koordinasi lintas fungsi, bukan hanya kemampuan teknis.

Contoh Sederhana Incident Handling

Bayangkan sebuah perusahaan menemukan bahwa salah satu akun karyawan melakukan login dari lokasi yang tidak biasa dan kemudian mengakses sejumlah file sensitif. Proses penanganannya dapat berlangsung secara sistematis.

Pertama, aktivitas tersebut terdeteksi dan dilaporkan sebagai kejadian yang mencurigakan. Selanjutnya, tim melakukan assessment untuk menentukan apakah akun tersebut telah dikompromikan dan seberapa besar dampaknya.

Jika insiden dikonfirmasi, organisasi melakukan response, misalnya mengamankan akun, membatasi akses, melakukan investigasi terhadap aktivitas yang terjadi, dan memastikan tidak ada sistem lain yang terdampak.

Setelah situasi terkendali, dilakukan recovery terhadap sistem yang terdampak dan operasional dikembalikan.

Terakhir, organisasi melakukan post-incident review untuk mengetahui bagaimana credential dapat disalahgunakan dan menentukan tindakan perbaikan agar kejadian serupa tidak terulang.

Contoh tersebut menunjukkan bahwa incident handling bukan hanya tentang “memperbaiki sistem yang rusak”, tetapi merupakan rangkaian proses mulai dari deteksi hingga perbaikan berkelanjutan.

ISO 27035 dan ISO 27001

ISO/IEC 27035 juga memiliki keterkaitan erat dengan ISO/IEC 27001, terutama bagi organisasi yang telah atau sedang menerapkan Information Security Management System (ISMS).

ISO 27001 berfokus pada persyaratan untuk membangun, menerapkan, memelihara, dan meningkatkan ISMS. Sementara itu, ISO 27035 memberikan panduan yang lebih spesifik mengenai bagaimana organisasi mengelola insiden keamanan informasi.

Keduanya dapat saling melengkapi.

Jika ISO 27001 membantu organisasi membangun sistem manajemen keamanan informasi secara menyeluruh, maka ISO 27035 membantu organisasi memperkuat kemampuan dalam menghadapi dan menangani insiden keamanan informasi.

Karena itu, penerapan prinsip-prinsip ISO 27035 dapat menjadi bagian penting dalam memperkuat kesiapan incident response organisasi.

Apa yang Perlu Dipersiapkan Organisasi?

Sebelum menerapkan pendekatan incident handling, organisasi sebaiknya memastikan beberapa fondasi telah tersedia. Di antaranya:

Kebijakan dan prosedur incident management yang jelas.
Peran dan tanggung jawab setiap pihak yang terlibat.
Saluran pelaporan insiden yang mudah digunakan.
Kriteria klasifikasi dan prioritas insiden.
Mekanisme eskalasi dan komunikasi.
Kemampuan monitoring dan deteksi.
Prosedur containment, eradication, dan recovery.
Dokumentasi dan pencatatan bukti insiden.
Pelatihan dan awareness bagi personel.
Evaluasi dan continuous improvement setelah insiden.

Yang tidak kalah penting adalah melakukan pengujian secara berkala. Prosedur yang hanya tersimpan sebagai dokumen belum tentu efektif ketika benar-benar dibutuhkan.

Kesimpulan

Cybersecurity incident handling merupakan bagian penting dari kemampuan organisasi dalam menghadapi ancaman keamanan informasi. Melalui pendekatan ISO/IEC 27035, organisasi dapat membangun proses penanganan insiden yang lebih terstruktur, mulai dari persiapan, identifikasi dan pelaporan, assessment, response, hingga pembelajaran setelah insiden.

Tujuannya bukan sekadar mempercepat pemulihan ketika serangan terjadi, tetapi juga memastikan organisasi mampu mengurangi dampak, mengambil keputusan dengan tepat, menjaga koordinasi, dan meningkatkan ketahanan keamanan informasi dari waktu ke waktu.

Sebab, organisasi yang matang dalam cybersecurity bukanlah organisasi yang menganggap dirinya tidak akan pernah mengalami insiden, melainkan organisasi yang siap ketika insiden benar-benar terjadi.

FAQ

1. Apakah ISO 27035 wajib diterapkan oleh perusahaan?

Tidak semua perusahaan diwajibkan menerapkan ISO 27035. Penerapannya bergantung pada kebutuhan, tingkat risiko, industri, regulasi, serta kebijakan keamanan informasi organisasi. ISO 27035 lebih tepat dipandang sebagai panduan untuk membangun dan meningkatkan kemampuan incident management.

2. Apa perbedaan ISO 27035 dengan incident response?

Incident response merupakan bagian dari proses penanganan insiden, khususnya tindakan ketika insiden sedang terjadi. Sementara itu, pendekatan ISO 27035 memiliki cakupan yang lebih luas, termasuk persiapan, pelaporan, assessment, response, dan pembelajaran setelah insiden.

3. Apakah ISO 27035 hanya berlaku untuk serangan siber?

Tidak. ISO 27035 berfokus pada insiden keamanan informasi, sehingga cakupannya tidak terbatas pada serangan siber. Insiden yang memengaruhi kerahasiaan, integritas, atau ketersediaan informasi juga dapat menjadi bagian dari incident management.

4. Apakah perusahaan kecil perlu menerapkan ISO 27035?

Perusahaan kecil tetap dapat menggunakan prinsip ISO 27035 meskipun tidak menerapkannya secara kompleks. Justru organisasi dengan sumber daya terbatas dapat memperoleh manfaat dari prosedur yang jelas agar ketika terjadi insiden, mereka tidak kehilangan waktu untuk menentukan langkah penanganan.

5. Apakah ISO 27035 bisa diterapkan tanpa ISO 27001?

Bisa. ISO 27035 dapat digunakan sebagai panduan untuk membangun proses incident management tanpa harus terlebih dahulu memiliki sertifikasi ISO 27001. Namun, bagi organisasi yang menerapkan ISO 27001, ISO 27035 dapat membantu memperkuat aspek pengelolaan insiden dalam ISMS.

6. Apa yang harus dilakukan perusahaan jika belum memiliki incident response plan?

Langkah awalnya adalah mengidentifikasi jenis insiden yang paling mungkin terjadi, menentukan pihak yang bertanggung jawab, membuat mekanisme pelaporan dan eskalasi, kemudian menetapkan prosedur respons untuk skenario prioritas seperti phishing, malware, ransomware, atau kebocoran data.

7. Bagaimana cara mengukur apakah incident handling perusahaan sudah efektif?

Efektivitas dapat dievaluasi menggunakan indikator seperti waktu deteksi, waktu respons, waktu pemulihan, jumlah insiden berulang, tingkat penyelesaian insiden, serta hasil evaluasi setelah insiden. Organisasi juga dapat melakukan simulasi untuk menguji apakah prosedur benar-benar dapat dijalankan.

8. Apakah incident handling perlu diuji secara berkala?

Ya. Prosedur yang hanya dibuat dalam bentuk dokumen belum tentu efektif ketika insiden benar-benar terjadi. Tabletop exercise, simulasi, dan pengujian prosedur dapat membantu organisasi menemukan kelemahan sebelum menghadapi insiden yang sebenarnya.

9. Apa hubungan ISO 27035 dengan cybersecurity resilience?

Incident handling merupakan salah satu komponen penting dalam membangun cybersecurity resilience. Organisasi yang mampu mendeteksi, merespons, memulihkan, dan belajar dari insiden akan memiliki kemampuan yang lebih baik untuk mempertahankan operasional ketika menghadapi gangguan keamanan.

10. Apakah ISO 27035 cocok untuk organisasi yang sudah menggunakan SIEM atau SOC?

Ya. SIEM, SOC, EDR, dan berbagai teknologi keamanan dapat membantu mendeteksi dan menganalisis insiden, tetapi teknologi tersebut tetap membutuhkan proses, peran, eskalasi, dan prosedur respons yang jelas. ISO 27035 dapat digunakan sebagai kerangka panduan untuk memperkuat sisi proses dan manajemennya.

Insiden Siber Bisa Terjadi Kapan Saja. Apakah Organisasi Anda Sudah Siap?

Bangun kemampuan incident handling yang terstruktur sebelum insiden terjadi. Robere & Associates siap membantu organisasi Anda melalui konsultasi, assessment, dan pelatihan untuk memperkuat keamanan informasi serta kesiapan menghadapi insiden siber.

Siapkan organisasi Anda hari ini. Hubungi Robere & Associates (Indonesia).