Ancaman siber tidak terbatas pada perusahaan besar. Bisnis kecil dan menengah di seluruh Inggris Raya semakin banyak menjadi sasaran serangan otomatis seperti phishing, credential stuffing, ransomware, dan eksploitasi sistem yang belum diperbarui. Serangan ini berhasil karena mengeksploitasi kelemahan umum yang dapat dicegah.
Skema Cyber Essentials(jendela baru) dirancang untuk membantu organisasi dari semua ukuran di Inggris Raya melindungi diri dari ancaman keamanan siber. Didukung oleh National Cyber Security Centre, Cyber Essentials adalah skema sertifikasi yang didukung pemerintah Inggris Raya. Skema ini berfokus pada lima kontrol berdampak tinggi yang, jika diterapkan dengan benar, akan mengurangi risiko secara signifikan.
Bagi banyak organisasi di Inggris Raya, memiliki sertifikasi Cyber Essentials semakin diperlukan untuk memenuhi persyaratan pengadaan, ekspektasi rantai pasokan, dan kepercayaan pelanggan. Baik untuk memperkuat postur keamanan internal maupun memposisikan bisnis untuk berkembang, memahami cara kerja skema ini adalah langkah pertama untuk menjadi patuh dan memperoleh keunggulan kompetitif yang krusial.
Apa itu Cyber Essentials?
Cyber Essentials adalah skema sertifikasi yang dirancang untuk membantu organisasi menerapkan kontrol keamanan siber yang esensial secara terstruktur dan terukur. Skema ini dirancang untuk menjawab pertanyaan sederhana: apakah langkah-langkah dasar yang diperlukan untuk melindungi sistem dari ancaman umum telah diambil?
Alih-alih mencoba mengatasi setiap skenario risiko yang mungkin terjadi, skema ini berfokus pada lima kontrol teknis yang menyasar titik masuk serangan yang paling umum. Ini termasuk autentikasi yang lemah, konfigurasi yang buruk, sistem yang belum diperbarui, dan hak akses yang berlebihan, yang merupakan lima area utama yang terus-menerus dieksploitasi dalam pembobolan di dunia nyata.
Pendekatan terfokus inilah yang membuat Cyber Essentials efektif. Alih-alih mencoba mengeliminasi semua risiko, skema ini memastikan organisasi tidak rentan terhadap jenis serangan otomatis yang merupakan penyebab sebagian besar insiden di seluruh Inggris Raya.
Bagi UKM, hal ini membuat Cyber Essentials sangat berharga karena menyediakan kerangka kerja yang praktis dan dapat dicapai untuk meningkatkan keamanan tanpa memerlukan sumber daya atau kompleksitas skala perusahaan.
Persyaratan Cyber Essentials Inggris Raya: penjelasan tentang 5 kontrol utama
Persyaratan Cyber Essentials Inggris Raya dibangun berdasarkan lima kontrol teknis. Kontrol teknis ini membentuk dasar dari Cyber Essentials dan Cyber Essentials Plus.
1. Firewall dan gateway internet
Firewall(jendela baru) bertindak sebagai batas antara sistem internal dan jaringan eksternal. Firewall menentukan lalu lintas apa yang diizinkan dan apa yang diblokir.
Dalam praktiknya, ini berarti:
- Semua perangkat yang terhubung ke internet dilindungi oleh firewall yang dikonfigurasi
- Port dan layanan yang tidak diperlukan diblokir secara bawaan
- Sistem internal tidak terpapar langsung ke internet
- Akses jarak jauh dirutekan melalui solusi terkontrol seperti VPN bisnis
Dalam penilaian nyata, lembaga sertifikasi melihat lebih dari sekadar keberadaan firewall. Mereka menilai apakah aturan dikelola secara aktif, apakah layanan yang tidak diperlukan terpapar, dan apakah akses jarak jauh dikontrol dengan benar. Port terbuka seperti RDP atau SSH yang terpapar ke internet adalah alasan umum organisasi gagal.
2. Konfigurasi yang aman
Konfigurasi bawaan dirancang untuk kemudahan penggunaan, bukan keamanan. Membiarkannya tidak diubah akan menciptakan paparan risiko yang tidak perlu.
Pendekatan konfigurasi yang aman meliputi:
- Mengubah kata sandi bawaan sebelum penerapan
- Menghapus atau menonaktifkan akun dan layanan yang tidak diperlukan
- Memperkuat sistem sebelum digunakan
- Menerapkan standar konfigurasi yang konsisten
Dalam praktiknya, auditor mencari bukti adanya proses yang dapat diulang. Tidak cukup hanya satu sistem yang dikonfigurasi dengan benar; organisasi harus menunjukkan bahwa semua sistem diamankan secara konsisten. Kesalahan konfigurasi cloud, seperti penyimpanan yang dapat diakses publik atau API terbuka, sering kali diidentifikasi selama sertifikasi.
3. Kontrol akses pengguna
Kontrol akses mengatur siapa yang dapat mengakses sistem dan data, serta pada tingkat apa.
Persyaratan utama meliputi:
- Akses berdasarkan hak istimewa paling rendah
- Akun admin dan pengguna standar yang terpisah
- Peninjauan akses secara berkala
- Pencabutan akses segera bagi karyawan yang keluar
- Tidak ada kredensial yang dibagikan
Penilaian sering kali mengungkap isu terkait pengelolaan siklus hidup akun. Akun tidak aktif, izin berlebih, dan kredensial yang dibagikan adalah beberapa temuan yang paling umum. Kini, autentikasi dua faktor (2FA) semakin diharapkan sebagai kontrol dasar.
4. Perlindungan malware
Perlindungan malware memastikan sistem dipertahankan secara aktif dari perangkat lunak berbahaya.
Ini termasuk:
- Perlindungan endpoint yang mutakhir di semua perangkat
- Pemindaian real-time yang diaktifkan
- Pembaruan otomatis untuk definisi ancaman
- Kontrol untuk mencegah eksekusi perangkat lunak yang tidak dikenal
Perlindungan harus aktif secara konsisten. Lisensi yang kedaluwarsa, pemindaian yang dinonaktifkan, atau celah dalam cakupan perlindungan, terutama pada perangkat jarak jauh, adalah alasan umum organisasi gagal dalam kontrol ini.
5. Manajemen pembaruan keamanan
Sistem yang belum diperbarui adalah salah satu titik masuk yang paling sering digunakan oleh penyerang. Itulah mengapa Cyber Essentials mewajibkan:
- Pembaruan penting diterapkan dalam waktu 14 hari sejak dirilis
- Pembaruan otomatis diaktifkan jika memungkinkan
- Perangkat lunak yang tidak didukung dihapus
- Semua sistem selalu diperbarui
Ini adalah persyaratan ketat untuk perlindungan pembobolan data. Organisasi yang mengandalkan siklus pembaruan patch yang lebih lambat atau terus menggunakan sistem yang sudah habis masa pakainya sering kali menghadapi tantangan di sini. Perangkat lunak yang tidak didukung tidak dapat memenuhi persyaratan sertifikasi.
Secara bersama-sama, kelima kontrol ini membentuk tulang punggung sertifikasi Cyber Essentials, memastikan organisasi mengatasi kerentanan yang paling umum dan mudah dieksploitasi.
Cyber Essentials vs Cyber Essentials Plus
Cyber Essentials tersedia dalam dua tingkat sertifikasi: Cyber Essentials (CE) dan Cyber Essentials Plus (CE+).
| Fitur | Cyber Essentials | Cyber Essentials Plus |
| Metode penilaian | Kuesioner penilaian mandiri | Pengujian teknis independen |
| Verifikasi | Ditinjau oleh lembaga sertifikasi | Validasi langsung |
| Tingkat jaminan | Dasar | Tinggi |
| Cakupan pengujian | Dokumentasi dan deklarasi | Pemindaian kerentanan dan pemeriksaan endpoint |
| Kasus penggunaan umum | Kepatuhan keamanan siber tingkat dasar | Lingkungan dan kontrak dengan tingkat kepercayaan tinggi |
Cyber Essentials mengonfirmasi bahwa bisnis telah menerapkan kontrol yang diperlukan, sedangkan Cyber Essentials Plus melangkah lebih jauh dengan memverifikasi secara independen bahwa kontrol tersebut berfungsi dalam praktiknya.
Bagi organisasi yang beroperasi di lingkungan yang teregulasi, menangani data sensitif, atau bersaing untuk mendapatkan kontrak bernilai tinggi, Cyber Essentials Plus memberikan tingkat jaminan yang lebih kuat yang dapat memberikan keunggulan kompetitif bagi bisnis.
Bisnis mana saja yang membutuhkan sertifikasi Cyber Essentials?
Cyber Essentials tidak diwajibkan secara hukum untuk semua organisasi, tetapi telah menjadi ekspektasi dasar di banyak sektor.
Sangat disarankan untuk mempertimbangkan sertifikasi Cyber Essentials jika organisasi:
- Bekerja dengan sektor publik atau mengajukan penawaran untuk kontrak pemerintah
- Menangani data sensitif pelanggan, keuangan, atau karyawan
- Beroperasi dalam rantai pasokan yang menerapkan standar keamanan
- Menyediakan layanan TI, konsultasi, atau digital
- Sedang berkembang dan membutuhkan praktik keamanan yang terstruktur
Dalam banyak lingkungan pengadaan, Cyber Essentials merupakan persyaratan tidak resmi. Organisasi tanpa sertifikasi sering kali langsung dikecualikan sebelum kemampuan atau harga dipertimbangkan.
Proses dan lini masa sertifikasi Cyber Essentials
Proses untuk mendapatkan sertifikasi Cyber Essentials relatif terstruktur, tetapi pekerjaan yang sebenarnya dilakukan sebelum menyerahkan apa pun. Sebagian besar penundaan dan kegagalan terjadi selama persiapan, bukan saat penilaian itu sendiri.
Pada tingkat praktis, organisasi melalui proses ini dalam lima tahap, tetapi setiap tahap melibatkan lebih banyak hal daripada yang terlihat pada awalnya.
1. Menentukan cakupan
Langkah pertama adalah menentukan dengan jelas apa saja yang masuk dalam cakupan sertifikasi. Ini biasanya mencakup semua perangkat, sistem, dan layanan yang terhubung ke internet dan menangani data organisasi.
Dalam praktiknya, ini berarti mengidentifikasi:
- Perangkat pengguna akhir seperti laptop, desktop, dan perangkat seluler
- Platform cloud dan aplikasi SaaS (misalnya Microsoft 365, Google Workspace)
- Jaringan internal dan sistem yang menghadap ke internet
- Titik akses jarak jauh, termasuk VPN dan lingkungan kerja dari rumah
Penentuan cakupan sangatlah penting. Jika terlalu sempit, sertifikasi tidak akan mencerminkan risiko yang sebenarnya. Jika terlalu luas, hal ini akan menimbulkan kompleksitas yang tidak perlu dan memperlambat proses. Salah satu isu paling umum pada tahap ini adalah mengabaikan perangkat jarak jauh atau layanan cloud, padahal keduanya sepenuhnya masuk dalam cakupan Cyber Essentials.
2. Menilai lingkungan berdasarkan persyaratan
Setelah cakupan ditentukan, langkah berikutnya adalah menilai sistem berdasarkan lima persyaratan Cyber Essentials.
Di sinilah sebagian besar pekerjaan dilakukan. Ini secara efektif seperti menjalankan audit internal untuk mengidentifikasi celah seperti:
- Firewall yang salah dikonfigurasi atau layanan yang terpapar
- Kata sandi bawaan, yang digunakan kembali, atau yang lemah
- Izin pengguna yang berlebihan
- Pembaruan keamanan yang terlewat atau tertunda
- Perlindungan malware yang tidak konsisten di berbagai perangkat
Dalam praktiknya, langkah ini sering kali mengungkap inkonsistensi, bukan kegagalan total. Kontrol mungkin sudah ada, tetapi tidak diterapkan secara seragam di semua sistem. Tujuannya adalah mengidentifikasi dan mendokumentasikan celah tersebut sebelum beralih ke penilaian formal.
3. Menyelesaikan penilaian (CE atau CE+)
Untuk Cyber Essentials, kuesioner penilaian mandiri yang terstruktur perlu diselesaikan. Pertanyaannya spesifik dan teknis, serta mengharuskan untuk mendeskripsikan secara akurat bagaimana kontrol diterapkan di seluruh lingkungan.
Lembaga sertifikasi akan meninjau tanggapan dan mungkin meminta klarifikasi jika ada hal yang kurang jelas atau tidak konsisten.
Untuk Cyber Essentials Plus, prosesnya melangkah lebih jauh. Auditor eksternal akan memvalidasi kontrol melalui pengujian langsung, yang biasanya meliputi:
- Pemindaian kerentanan pada sistem yang menghadap ke internet
- Pemeriksaan endpoint untuk memverifikasi konfigurasi dan penerapan patch
- Upaya untuk mengonfirmasi bahwa perlindungan malware dan kontrol akses berfungsi seperti yang diharapkan
Pada tahap ini, akurasi sangat penting. Melebih-lebihkan kontrol atau salah memahami persyaratan sering kali menyebabkan penundaan atau kegagalan selama peninjauan.
4. Memperbaiki celah dan menyempurnakan kontrol
Sangat umum bagi organisasi untuk mengidentifikasi isu selama penilaian, terutama pada upaya pertama. Ini biasanya bukan kegagalan teknis yang rumit, melainkan celah operasional seperti:
- Akun dengan izin yang berlebihan
- Perangkat yang melewatkan pembaruan terbaru
- Penerapan kebijakan keamanan yang tidak konsisten
Tindakan perbaikan melibatkan penanganan isu-isu ini dan memastikan kontrol diterapkan secara konsisten di semua sistem yang masuk dalam cakupan.
Tahap ini juga merupakan saat organisasi mendapatkan manfaat dari standardisasi. Alih-alih memperbaiki isu satu per satu, sering kali lebih efektif untuk menerapkan proses yang dapat diulang; misalnya, menstandardisasi konfigurasi perangkat atau memusatkan kontrol akses.
Dalam banyak kasus, ini termasuk memperkenalkan alat manajemen kredensial terstruktur yang memungkinkan tim untuk menerapkan kebijakan kata sandi, mengelola izin secara terpusat, dan mencabut akses dengan cepat saat peran berubah. Kemampuan ini sulit dipertahankan jika hanya mengandalkan proses manual.
Itulah sebabnya mengadopsi pengelola kata sandi bisnis seperti Proton Pass for Business membantu menstandardisasi cara kredensial dibuat, disimpan, dan dibagikan di seluruh organisasi, sehingga mengurangi ketergantungan pada proses informal yang sering kali menimbulkan celah keamanan.
5. Mendapatkan sertifikasi
Setelah tanggapan divalidasi, atau dalam kasus Cyber Essentials Plus, sistem berhasil lulus pengujian independen, sertifikasi akan diterima.
Penting untuk diingat bahwa sertifikasi Cyber Essentials berlaku selama 12 bulan dan harus diperbarui setiap tahun untuk mempertahankan status bersertifikat. Pembaruan melibatkan penyelesaian penilaian baru, yang dapat berupa penilaian mandiri baru untuk Cyber Essentials atau penilaian teknis independen lainnya untuk Cyber Essentials Plus. Jika sertifikasi kedaluwarsa, organisasi tidak lagi diakui sebagai organisasi bersertifikasi Cyber Essentials hingga berhasil menyelesaikan proses pembaruan.
Mendapatkan sertifikasi bukanlah akhir dari proses. Sepanjang tahun, penerapan pembaruan keamanan, peninjauan akses pengguna, pemeliharaan konfigurasi yang aman, dan integrasi sistem baru harus terus dilakukan sesuai dengan standar yang sama. Dengan kata lain, organisasi harus memandang Cyber Essentials sebagai disiplin operasional yang berkelanjutan, bukan sekadar rutinitas tahunan.
Apa saja yang dilibatkan dalam penilaian
Kuesioner Cyber Essentials terstruktur di sekitar pertanyaan teknis khusus ya/tidak. Pertanyaan ini memerlukan interpretasi yang akurat tentang lingkungan. Banyak organisasi mengalami kesulitan bukan karena kontrol tidak ada, melainkan karena kontrol tersebut diterapkan secara tidak konsisten atau didokumentasikan dengan buruk.
Untuk Cyber Essentials Plus, asesor independen memvalidasi kontrol melalui:
- Pemindaian kerentanan
- Pemeriksaan konfigurasi endpoint
- Verifikasi pembaruan patch dan perlindungan malware
Berapa lama lini masa yang dapat diharapkan untuk sertifikasi Cyber Essentials?
Tidak ada lini masa yang pasti untuk sertifikasi Cyber Essentials, tetapi sebagian besar organisasi dapat mengharapkan hal berikut:
- Minggu 1–2: Penentuan cakupan dan penilaian awal
- Minggu 2–4: Perbaikan dan penyelarasan kontrol
- Minggu 4–6: Pengajuan, peninjauan, dan sertifikasi
Organisasi yang siap dengan baik dan memiliki lingkungan terstruktur mungkin dapat menyelesaikan proses ini dengan lebih cepat. Organisasi dengan sistem yang terfragmentasi, kepemilikan yang tidak jelas, atau kontrol yang tidak konsisten mungkin memerlukan waktu tambahan untuk mengidentifikasi dan mengatasi celah.
Mendapatkan sertifikasi pada prinsipnya tidak sulit, tetapi memerlukan kejelasan, konsistensi, dan perhatian terhadap rincian. Semakin terstruktur lingkungan sebelum memulai, semakin lancar proses sertifikasi nantinya.
Berapa biaya sertifikasi Cyber Essentials?
Biaya sertifikasi Cyber Essentials bergantung pada ukuran organisasi dan apakah memilih Cyber Essentials atau Cyber Essentials Plus.
Untuk sertifikasi Cyber Essentials standar, IASME menggunakan model harga tetap(jendela baru) berdasarkan ukuran organisasi. Pada saat tulisan ini dibuat, biaya penilaian resmi berkisar dari £320 + PPN untuk bisnis mikro (1–9 karyawan) hingga £600 + PPN untuk organisasi besar (250+ karyawan). Sebagian besar bisnis kecil dan menengah dapat mengharapkan untuk membayar £440–£500 + PPN (sekitar $580–$660 USD) untuk penilaian tersebut.
Harga Cyber Essentials Plus ditentukan secara berbeda karena melibatkan pengujian teknis independen, bukan penilaian mandiri. Tidak ada biaya nasional yang tetap, dan biaya ditentukan oleh lembaga sertifikasi serta kompleksitas lingkungan TI. Untuk sebagian besar UKM, harga biasanya dimulai dari sekitar £1.500 (sekitar $2.000 USD) dan dapat melebihi £3.000 (sekitar $4.000 USD) untuk lingkungan yang lebih besar atau lebih kompleks.
Biaya persiapan juga perlu dipertimbangkan. Bagi banyak organisasi, investasi terbesar bukanlah biaya sertifikasi itu sendiri, melainkan waktu yang dihabiskan untuk meninjau sistem, memperbaiki celah keamanan, dan menstandardisasi kontrol sebelum penilaian. Perbaikan tersebut memperkuat postur keamanan secara keseluruhan, apa pun hasil sertifikasinya.
Daftar periksa pra-sertifikasi untuk Cyber Essentials
Sebelum mendaftar, ada baiknya untuk melakukan pemeriksaan internal yang terstruktur. Daftar periksa ini akan memberikan daftar komprehensif untuk diikuti oleh organisasi.
| Persyaratan | Hal yang perlu diperiksa | Status |
| Penentuan cakupan | Semua sistem, perangkat, dan layanan telah diidentifikasi, termasuk lingkungan jarak jauh | ☐ |
| Konfigurasi yang aman | Pengaturan bawaan diubah, layanan yang tidak diperlukan dihapus, sistem diperkuat | ☐ |
| Kontrol akses | Izin ditinjau, hak istimewa paling rendah diterapkan, tidak ada kredensial yang dibagikan | ☐ |
| Manajemen kredensial | Kata sandi yang kuat dan unik telah diterapkan, penyimpanan dan pembagian yang aman | ☐ |
| Perlindungan malware | Perlindungan yang aktif dan mutakhir di semua perangkat | ☐ |
| Manajemen patch | Semua sistem diperbarui, tidak ada perangkat lunak yang tidak didukung yang digunakan | ☐ |
| Keamanan kerja jarak jauh | Perangkat jarak jauh dan BYOD diamankan dan dimasukkan dalam cakupan | ☐ |
| Akses cloud | Platform SaaS ditinjau, akses dikontrol, akun yang tidak digunakan dihapus | ☐ |
| Kesiapan bukti | Dokumentasi dan bukti tingkat sistem tersedia | ☐ |
| Jalur sertifikasi | CE atau CE+ ditentukan dengan jelas | ☐ |
Apa yang tidak dicakup oleh Cyber Essentials
Cyber Essentials sengaja dibuat terfokus, dan fokus tersebut merupakan bagian dari kekuatannya. Namun, skema ini tidak mengatasi setiap aspek keamanan siber di dalam organisasi.
Skema ini tidak mencakup:
- Kerangka kerja manajemen risiko formal
- Struktur tata kelola yang komprehensif
- Pendeteksian atau monitoring ancaman tingkat lanjut
- Kematangan respons insiden yang mendalam
- Budaya keamanan di seluruh organisasi
Itulah sebabnya Cyber Essentials paling baik dipahami sebagai dasar. Skema ini memastikan kontrol dasar telah diterapkan, tetapi tidak menggantikan kerangka kerja yang lebih luas seperti ISO 27001.
Bagi banyak organisasi, Cyber Essentials berfungsi sebagai titik awal untuk strategi keamanan yang lebih komprehensif.
Kontrol akses dan manajemen kata sandi di Cyber Essentials
Kontrol akses adalah salah satu area paling krusial dalam Cyber Essentials, dan salah satu yang paling sulit untuk diterapkan secara konsisten.
Dalam praktiknya, sebagian besar isu muncul dari perilaku sehari-hari:
- Penggunaan kembali kata sandi di berbagai sistem
- Pembagian kredensial secara informal
- Izin yang berlebihan
- Kurangnya visibilitas terhadap akses
- Kurangnya autentikasi dua faktor (2FA)
- Kebijakan kata sandi yang lemah dan kontrol organisasi yang buruk
Seiring berjalannya waktu, kompromi kecil ini akan menimbulkan risiko yang signifikan.
Di bawah Cyber Essentials, kontrol akses bukan hanya tentang menentukan izin, melainkan tentang menunjukkan bahwa izin tersebut diterapkan secara konsisten di semua sistem yang masuk dalam cakupan.
Pendekatan terstruktur untuk manajemen kredensial membantu mencapai hal ini. Ini termasuk menerapkan kata sandi yang kuat dan unik, mempertahankan visibilitas terhadap akses, serta memastikan kredensial disimpan dan dibagikan secara aman di antara tim. Temukan info lebih lanjut dalam panduan praktik terbaik manajemen kata sandi untuk bisnis.
Dalam praktiknya, many organisasi beralih dari penanganan kredensial secara manual dan mengadopsi solusi khusus yang memusatkan kontrol akses dan membuat penerapannya konsisten. Misalnya, pengelola kata sandi untuk tim TI seperti Proton Pass for Business memungkinkan organisasi mengelola kredensial dalam skala besar, menetapkan akses berdasarkan peran, dan mempertahankan visibilitas yang jelas tentang siapa yang memiliki akses ke apa.
