Telset.id – Pemerintah Inggris telah merombak kerangka Cyber Essentials dengan standar yang lebih ketat, menandai pergeseran dari kepatuhan tahunan menuju ketahanan siber berkelanjutan. Perubahan ini hadir di tengah meningkatnya ancaman siber, di mana 4 dari 10 bisnis di Inggris dilaporkan mengalami kompromi keamanan dalam 12 bulan terakhir menurut UK Government Cyber Security Breaches Survey.
Kerangka baru yang dijuluki ‘Denzel’ ini menaikkan standar bagi organisasi dari semua ukuran. Dengan adanya serangan siber profil tinggi terhadap perusahaan seperti M&S dan JLR, pemerintah menilai sudah waktunya untuk memperketat kontrol keamanan dasar yang dirancang untuk melindungi bisnis dan staf mereka.
Meskipun banyak bisnis masih kesulitan memenuhi standar keamanan dasar, kerangka terbaru ini memperkenalkan aturan yang lebih ketat yang berpotensi menjegal perusahaan yang tidak siap. Kurangnya anggaran, sumber daya terbatas, dan fokus pada prioritas lain menjadi faktor utama yang menahan organisasi dan meningkatkan kemungkinan terjadinya pelanggaran besar.
David Robinson, Head of cyber security di Restore Information Management, memaparkan perubahan-perubahan kunci dan bagaimana cara menghadapinya untuk mengurangi risiko pelanggaran.
Penerapan Regimen Patching yang Kuat
Di bawah kerangka baru, ekspektasi seputar manajemen patch dan kerentanan diperketat. Sebelumnya, bisnis dapat menunjukkan kepatuhan melalui proses terdokumentasi dan pembaruan berkala. Namun kenyataannya, tim kesulitan membangun rutinitas patching yang tidak mengganggu layanan live karena downtime dan pengujian berkelanjutan.
Belum lagi patch pihak ketiga yang perlu diterapkan selain patch sistem operasi kritis. Data menunjukkan bahwa tidak menangani masalah aplikasi dan kerentanan menyebabkan lebih banyak pelanggaran. Laporan 2026 Verizon Data Breach Investigations Report menunjukkan kompromi sistem kini naik hingga 61%, tertinggi dalam tiga tahun terakhir.
Timeline untuk menerapkan patch kritis kini diperketat dengan jendela 14 hari untuk mematuhinya. Patch kritis harus diterapkan secara konsisten dalam periode ini, dan bisnis harus dapat membuktikan regimen patching mereka berjalan efektif. Perusahaan diberi dua kesempatan untuk membuktikan patch berhasil diterapkan melalui proses bernama “double sampling”. Jika bukti pertama memiliki masalah kritis, kesempatan kedua diberikan untuk memperbaiki dan membuktikannya. Jika gagal, bisnis akan kehilangan sertifikasi.
Tim IT harus meninjau sistem sekarang untuk menentukan apakah semuanya di-patch dalam jendela 14 hari. Jika belum, mereka perlu bekerja sama dengan tim operasional untuk memenuhi persyaratan sebelum penilaian berikutnya.
Penerapan Multi Factor Authentication (MFA) Menyeluruh
MFA tetap menjadi salah satu kontrol paling efektif terhadap kompromi akun. Masalah bagi banyak organisasi bukanlah kurangnya kapabilitas MFA, melainkan penerapan yang tidak konsisten. Bisnis cenderung mengaktifkan MFA untuk akses jarak jauh seperti Virtual Private Networks (VPNs) dan layanan Microsoft 365, tetapi antarmuka admin, platform cloud, dan layanan pihak ketiga sering tidak mengikuti praktik yang sama, meninggalkan perusahaan dalam keadaan terekspos.
Aktor ancaman mengetahui hal ini dan memanfaatkan kelemahan tersebut untuk mencoba mendapatkan akses. Di bawah kerangka baru, jika Anda memiliki sistem cloud yang mendukung MFA, maka harus diaktifkan untuk semua pengguna, terlepas dari apakah itu opsi gratis, termasuk, atau berbayar. Tanpa MFA diaktifkan, itu adalah kegagalan sertifikasi otomatis.
Pertanyaannya sekarang: apakah Anda tahu apakah MFA diaktifkan di semua layanan cloud Anda? Jika tidak, berapa lama waktu yang dibutuhkan untuk membalikkan keadaan ini?
Akuntabilitas Layanan Cloud
Dalam versi kerangka sebelumnya, layanan cloud dapat dikecualikan dari penilaian dengan argumen bahwa layanan tersebut berada di luar lingkup. Argumen ini tidak lagi berlaku. Organisasi perlu menyediakan dokumen yang jelas dan terdefinisi dengan bukti untuk mendukung pemisahan yang tepat dari semua Sistem IT, jika tidak, mereka secara otomatis akan dianggap dalam lingkup.
Ini berarti bisnis harus memperhitungkan semua layanan, di mana pun mereka dihosting. Mengingat fleksibilitas solusi cloud, ini dapat dengan cepat menjadi masalah kompleks untuk mendapatkan visibilitas yang tepat atas semua sistem. Jika Anda memproses atau menyimpan data di layanan cloud, ini akan dimasukkan. Biasanya ini adalah platform CRM, software HR, sistem keuangan, solusi manajemen proyek, dan banyak lagi.
Karena bisa memakan waktu untuk menemukan apa yang digunakan dan dalam lingkup, ini adalah area lain di mana organisasi perlu menyediakan banyak waktu untuk memastikan semua layanan cloud tercakup.
Penggantian Hardware Lama dan Pembaruan Sistem Operasi
Perubahan besar, dan mungkin sakit kepala terbesar, adalah persyaratan untuk mengganti hardware dan software yang menua. Pensiunnya sistem operasi Windows 10 baru-baru ini adalah salah satu area di mana bisnis berada di bawah tekanan untuk mengganti semua hardware mereka agar tetap patuh. Infrastruktur IT yang menua, bersama dengan layanan dan solusi vendor besar, semua perlu diganti pada titik tertentu.
Jika organisasi tidak merencanakan ke depan, mereka bisa ditinggalkan dengan masalah yang menumpuk dan waktu yang tidak cukup untuk mengatasinya. Setelah vendor berhenti mendukung platform, risiko pelanggaran meningkat sampai ini ditangani. Patch keamanan tidak akan lagi tersedia dan mengingat waktu sistem ini telah beredar, hanya masalah waktu sebelum kerentanan lain ditemukan dan dieksploitasi.
Dalam jangka pendek, bisnis harus memastikan mereka memiliki pandangan yang jelas tentang aset mereka dalam lingkup Cyber Essentials dan memeriksa tanggal dukungan vendor untuk menghindari kejutan tersembunyi di menit-menit terakhir. Dalam jangka panjang, strategi yang kuat untuk mengganti semua hardware yang mendekati akhir masa pakainya akan menghemat kesulitan di kemudian hari.
Jangan Menunda Analisis Kesenjangan
Area inti dalam kerangka Cyber Essentials telah diperbarui untuk mencerminkan lanskap keamanan yang berubah cepat. Tidak semuanya berita buruk, karena bisnis memiliki waktu untuk memperbaiki keadaan. Organisasi harus membaca dengan hati-hati standar baru dan mempertimbangkan bagaimana mereka berlaku untuk perusahaan mereka sendiri.
Jangan memperlakukan Cyber Essentials sebagai latihan centang kotak dan menunggu sampai sebulan sebelum penilaian berikutnya. Lakukan analisis kesenjangan sekarang dan tangani temuannya. Pada akhirnya, ini sepadan dengan usaha yang dilakukan.
Perubahan dalam kerangka Cyber Essentials ini mencerminkan kebutuhan mendesak bagi bisnis untuk bergerak dari kepatuhan statis menuju ketahanan siber yang berkelanjutan. Dengan jendela patching yang lebih ketat, kewajiban MFA menyeluruh, akuntabilitas cloud yang lebih besar, dan tekanan untuk mengganti hardware lama, organisasi harus bertindak sekarang untuk memastikan mereka tidak tertinggal dalam lanskap ancaman yang terus berkembang.
Bisnis yang proaktif dalam memenuhi standar baru ini tidak hanya akan mengamankan sertifikasi mereka, tetapi juga secara fundamental memperkuat postur keamanan mereka terhadap ancaman yang semakin canggih. Kegagalan untuk beradaptasi berarti menghadapi risiko pelanggaran yang lebih tinggi dan konsekuensi yang menyertainya.
Komentar
Belum ada komentar.