Peran Chief Information Security Officer (CISO) belum pernah seberat dan sepenting saat ini. Dengan meningkatnya ancaman siber secara eksponensial, yang dapat menyebabkan kerusakan permanen pada reputasi, kepercayaan, dan aset organisasi, CISO perlu siap menghadapi lanskap yang semakin kompleks dan dinamis.
Pada tahun 2024, Brasil mencatat peningkatan serangan siber yang signifikan. Pada kuartal pertama, terjadi pertumbuhan sebesar 38% dibandingkan periode yang sama pada tahun 2023, dengan rata-rata 1.770 serangan per minggu yang dialami organisasi-organisasi di Brasil. Pada kuartal kedua, peningkatannya bahkan lebih signifikan, mencapai 67% dibandingkan tahun sebelumnya, dengan rata-rata 2.754 serangan per minggu per organisasi. Pada kuartal ketiga, rata-rata jumlah serangan per minggu per organisasi di Brasil mencapai 2.766, meningkat 95% dibandingkan periode yang sama pada tahun 2023. Sektor yang paling banyak menjadi target adalah keuangan, layanan kesehatan, pemerintahan, dan energi, dengan jenis serangan utama berupa ransomware, phishing, DDoS, dan APT (Advanced Persistent Threats).
CISO harus beradaptasi dengan era baru serangan siber yang belum pernah terjadi sebelumnya ini – sering kali menjalankan beberapa peran secara bersamaan dan, dalam kasus Brasil, mengelola skenario pengendalian biaya dan investasi keamanan siber.
Peran CISO modern.
Peran CISO relatif baru. Tidak seperti CFO atau CEO, fungsi Chief Information Security Officer (CISO) baru ada secara resmi pada pertengahan 1990-an.
Lebih lanjut, peran CISO terus berubah di dalam organisasi. Menurut laporan CISO Splunk tahun 2023, 90% responden percaya bahwa peran tersebut telah menjadi "pekerjaan yang sama sekali berbeda" dari saat mereka memulai.
Meskipun awalnya CISO bertanggung jawab untuk mengembangkan kebijakan, tata kelola keamanan, dan menerapkan kontrol keamanan yang lebih mendasar, yang membuat profesional ini memiliki perspektif yang jauh lebih teknis daripada manajerial, kini daftar tanggung jawabnya telah berkembang secara signifikan. Salah satu contohnya adalah fungsi politik dari peran ini: CISO perlu memiliki hubungan kerja yang erat dengan CEO, CFO, dan departemen Hukum organisasi. Anggaran keamanan sangat penting untuk menghadapi berbagai ancaman yang ada saat ini.
Dan ini tetap menjadi masalah bagi perusahaan-perusahaan di seluruh dunia, terutama di Brasil. Kompleksitas skenario ini, di satu sisi, menghadirkan negara dengan salah satu tingkat serangan tertinggi di dunia. Di sisi lain, ketidakpastian ekonomi dan fluktuasi dolar (karena sebagian besar solusi dijual dalam mata uang asing) mengharuskan CISO menyeimbangkan sumber daya yang tersedia untuk memastikan perlindungan perusahaan.
Komunikator yang baik
Berbeda dengan citra stereotip CISO yang paham teknologi di masa lalu, CISO saat ini perlu mengambil peran kepemimpinan dan menjadi komunikator yang baik untuk memimpin terciptanya budaya keamanan siber yang solid dalam perusahaan.
Poin penting lainnya adalah bahwa CISO tidak dapat bertindak sendiri dalam mengelola keamanan informasi. Mereka membutuhkan dukungan dan kolaborasi dari ekosistem eksternal, yang mencakup pemasok, pelanggan, mitra, badan regulator, asosiasi industri, dan komunitas keamanan. Para aktor ini dapat menyumbangkan informasi, sumber daya, solusi, dan praktik terbaik yang membantu eksekutif meningkatkan dan memperkuat keamanan organisasi mereka. Oleh karena itu, komunikasi dan membangun hubungan dengan pasar juga merupakan hal yang fundamental.
Keamanan perlu dimulai dari perspektif holistik.
Memiliki alat dan proses keamanan yang terisolasi dan reaktif saja tidak cukup. CISO membutuhkan pandangan keamanan yang holistik dan terintegrasi, yang mencakup segala hal mulai dari budaya dan kesadaran karyawan hingga tata kelola dan keselarasan dengan tujuan bisnis.
Keamanan harus dipandang sebagai elemen lintas sektor dan esensial bagi kelangsungan dan pertumbuhan organisasi, bukan sebagai biaya atau hambatan. Untuk mencapai hal ini, CISO harus melibatkan area dan pimpinan lain di dalam perusahaan, menunjukkan nilai dan imbal hasil investasi keamanan, serta menetapkan kebijakan dan indikator yang jelas dan terukur.
Rasa urgensi penting untuk mengantisipasi ancaman.
Ancaman siber terus berkembang dan semakin canggih, serta dapat memengaruhi organisasi mana pun, terlepas dari skala atau sektornya. Oleh karena itu, penting untuk selalu waspada dan mengikuti perkembangan tren dan kerentanan pasar, serta berinvestasi dalam solusi dan metodologi yang memungkinkan Anda mengantisipasi ancaman dan risiko.
Salah satu cara untuk mencapai hal ini adalah dengan mengadopsi pendekatan keamanan berdasarkan desain, yang mengintegrasikan keamanan sejak awal hingga penyampaian produk dan layanan organisasi. Cara lain adalah dengan melakukan uji coba dan simulasi berkala yang menilai efektivitas dan ketahanan sistem dan proses keamanan, serta mengidentifikasi peluang untuk perbaikan dan mitigasi.
Meskipun peran CISO masih terus bertransformasi, profesi ini memegang peran kunci dalam melindungi dan berinovasi organisasi di era digital. CISO perlu siap menghadapi tingkat ancaman yang belum pernah terjadi sebelumnya, yang membutuhkan manajemen keamanan informasi yang proaktif, strategis, dan kolaboratif.
Akhirnya, CISO harus mengingat bahwa keamanan informasi bukan sekadar masalah teknis, tetapi juga faktor daya saing dan nilai bagi pelanggan. Mereka yang berhasil menyelaraskan keamanan dengan tujuan bisnis dan ekspektasi pemangku kepentingan, serta mampu mengomunikasikan manfaat dan tantangan keamanan secara jelas dan meyakinkan, akan mampu membangun budaya keamanan yang kuat dan berkelanjutan di dalam organisasi, dan berkontribusi pada kesuksesan serta pertumbuhannya di lanskap digital.
