Teknologi membantu bisnis bekerja dengan efektif, mengidentifikasi jalan untuk tumbuh, dan mengelola data mereka. Namun, teknologi juga mengundang risiko dengan menciptakan kerentanan: perangkat lunak yang kedaluwarsa, manajemen akses yang longgar, dan penyimpanan data yang tidak aman adalah target yang menggiurkan bagi peretas. Membuat rencana manajemen risiko teknologi adalah cara paling efektif untuk memastikan bahwa teknologi yang diandalkan bisnis bekerja secara efektif dan aman.

Apa itu risiko teknologi?

Risiko teknologi merujuk pada segala jenis isu yang disebabkan oleh teknologi bisnis, baik perangkat keras maupun perangkat lunak. Ini adalah kategori yang luas, tetapi cenderung memiliki satu atau beberapa dampak berikut:

  • Kehilangan kelangsungan bisnis: aktivitas bisnis seperti biasa tidak dapat dilanjutkan karena pekerja tidak dapat mengakses data atau layanan yang mereka butuhkan, sehingga menyebabkan waktu henti yang tidak perlu.
  • Pembobolan keamanan: akun yang diretas atau laptop kerja yang hilang dapat menyebabkan kebocoran data, berdampak pada pelanggan dan merusak reputasi.
  • Pembobolan regulasi: pembobolan infrastruktur oleh peretas atau adanya kebocoran data di dark web dapat menyebabkan denda dari badan regulasi, dan berpotensi tuntutan pidana.
  • Kerugian finansial: waktu henti menyebabkan hilangnya pendapatan, tetapi ada risiko yang lebih serius. Kerusakan reputasi, denda regulasi, dan biaya hukum dapat merugikan bisnis dalam jumlah besar dan berpotensi membuat bisnis berhenti beroperasi.

Apa saja contoh risiko teknologi?

Seperti yang disebutkan sebelumnya, risiko teknologi mencakup berbagai potensi isu yang sangat luas. Untuk tujuan artikel ini, fokusnya adalah pada hal-hal berikut:

  • Risiko perangkat lunak: ini termasuk aplikasi dan layanan pihak ketiga, serta pengembangan perangkat lunak dalam bisnis sendiri.
  • Risiko perangkat keras: ini mencakup objek fisik seperti laptop, tablet, dan ponsel, serta server. Ini juga mencakup kunci keamanan, USB, dan hard drive portabel.
  • Risiko operasional: ini mencakup cara proses sehari-hari berjalan, baik cara tim menggunakan perangkat lunak bisnis atau bagaimana data dibagikan secara internal.
  • Risiko keamanan siber: ini mencakup potensi ancaman seperti phishing, ransomware, dan jenis malware(jendela baru) lainnya. Ini juga mencakup kekuatan manajemen identitas dan akses, misalnya apakah MFA diterapkan di seluruh organisasi.
  • Risiko kepatuhan: ini mencakup bagaimana dan di mana data klien dan pelanggan tersimpan, serta kepatuhan keseluruhan terhadap regulasi data lokal.

Bisnis perlu merencanakan risiko teknologi

Risiko teknologi bukanlah sesuatu yang hanya memengaruhi bisnis yang kekurangan sumber daya atau kurang bersiap: ini hanyalah produk sampingan dari penggunaan teknologi. Ini dapat terjadi pada bisnis dengan ukuran apa pun di industri apa pun, dan secara luas pada institusi apa pun yang menggunakan teknologi.

Departemen Keuangan AS terdampak oleh insiden siber besar(jendela baru) pada tahun 2025 yang disebabkan oleh alat dukungan jarak jauh yang terkompromi — peretas Tiongkok dapat mengakses dokumen karena alat dukungan jarak jauh tersebut menjadi titik kegagalan tunggal dalam manajemen akses Departemen Keuangan. Maskapai penerbangan Australia Qantas mendapati lebih dari 11 juta catatan pelanggannya bocor di dark web menyusul serangan dari grup peretas. Data pelanggan yang sensitif termasuk nama, alamat, dan alamat email telah bocor.

Jangan berasumsi bahwa organisasi terlalu kecil untuk menjadi target peretas, atau dapat beroperasi tanpa paket risiko teknologi apa pun. Sudah waktunya untuk membuat paket.

Buat paket manajemen risiko teknologi

Paket manajemen risiko teknologi akan melindungi bisnis sehari-hari dan memastikan kepatuhan terhadap standar keamanan organisasi serta persyaratan regulasi. Paket ini menggabungkan kebijakan, prosedur, dan alat untuk membantu mengelola potensi risiko yang disebabkan oleh teknologi di dalam bisnis. Ini harus menjadi dokumen hidup yang ditinjau kembali setiap kali ada perubahan pada infrastruktur TI, dan diubah saat persyaratan bisnis berubah.

Biasanya, paket manajemen risiko TI mengikuti langkah-langkah yang kurang lebih sama, terlepas dari kebutuhan spesifik bisnis yang membuatnya. Proses pembuatan paket manajemen risiko teknologi yang disesuaikan untuk bisnis akan dibahas langkah demi langkah untuk membantu memahami cara memulainya.

Lakukan penilaian risiko teknologi

Paket manajemen risiko teknologi yang baik dimulai dengan penilaian risiko. Ini adalah langkah kunci dari proses tersebut karena membantu mengidentifikasi area bisnis dan aset di dalamnya yang paling berharga atau yang menimbulkan risiko terbesar. Buat daftar untuk:

  • Setiap aplikasi bisnis di seluruh sistem
  • Setiap perangkat bisnis seperti laptop, ponsel, dan tablet
  • Setiap set data dan lokasinya
  • Setiap perangkat yang diakses sesuai dengan paket “bring your own device” (BYOD)
  • Setiap server dan/atau pusat data

Tujuan dari latihan ini adalah untuk menciptakan pandangan holistik tentang bisnis, memungkinkan identifikasi kerentanan dan risiko. Delegasi juga dapat diberikan kepada pemangku kepentingan dalam bisnis yang akan bertanggung jawab atas penilaian dan manajemen risiko di area bisnis masing-masing. Ini biasanya mencakup departemen TI serta keuangan, hukum, kepatuhan, dan kepemimpinan.

Nilai dan prioritaskan potensi risiko teknologi

Setelah mengidentifikasi setiap aset, penilaian dampak dari potensi risiko dan bagaimana hal itu dapat memengaruhi bisnis dapat dimulai. Pastikan untuk mencari risiko yang meliputi:

  • Kerentanan terhadap ancaman keamanan seperti penipuan phishing, ransomware, dan malware lainnya
  • Sistem usang atau sistem lama dan perangkat lunak yang tidak didukung
  • Praktik masuk yang tidak aman atau kurangnya autentikasi dua faktor (2FA) untuk layanan penting
  • Pembobolan data

Setelah mengidentifikasi setiap potensi risiko, prioritas sumber daya dapat mulai ditentukan secara sesuai. Pilih langkah-langkah keamanan siber tambahan untuk melindungi aset yang paling berharga dan pastikan untuk membangun pendekatan zero-knowledge untuk data paling sensitif yang tersimpan di dalam jaringan.

Mulai merencanakan mitigasi risiko

Pada akhir pekan, persiapan perlu dilakukan untuk menghadapi acara terjadinya risiko. Membuat strategi untuk mencegah atau memitigasi risiko adalah pendekatan realistis yang akan menguntungkan bisnis. Sebagai contoh, dalam acara akun bisnis anggota tim terkompromi, seberapa mudah untuk menghapus akses dari pengguna?

Metode mitigasi dan pengurangan bervariasi tergantung pada kebutuhan bisnis, tetapi pertimbangkan untuk memulai dengan hal mendasar:

  • Buat paket respons insiden. Ini akan bertindak sebagai panduan bisnis untuk bereaksi terhadap insiden, dan akan sangat membantu jika sudah siap saat pembobolan data atau peretasan terjadi.
  • Jika bisnis menyimpan data sensitif di beberapa lokasi (dan berpotensi tidak aman), kurangi penyebarannya. Pengelola kata sandi bisnis dan penyimpanan cloud yang aman dapat membuat perbedaan besar bagi keamanan data bisnis, serta meningkatkan manajemen akses.
  • Pertimbangkan kontrol teknis baru yang meningkatkan keamanan siber bisnis sekaligus meningkatkan produktivitas. Misalnya, SSO adalah cara terbaik untuk memastikan manajemen akses disederhanakan bagi admin TI, memungkinkan mereka mengelola akun pengguna dari satu lokasi dan menghapus akses secara instan jika diperlukan.
  • Pertimbangkan untuk meningkatkan sistem lama yang telah menjadi rentan atau tidak efisien dan pastikan versi terbaru dari semua aplikasi bisnis telah diterapkan.
  • Pastikan pemangku kepentingan risiko berkomunikasi secara efektif tentang praktik terbaik teknologi dan cara menghindari risiko di departemen masing-masing.
  • Lakukan pelatihan rutin, baik secara langsung maupun daring jika memungkinkan. Jaga agar percakapan tentang risiko teknologi terus berlanjut dengan setiap anggota tim agar selalu diingat.

Pantau risiko

Semakin banyak berinvestasi dalam memantau potensi risiko teknologi, semakin besar pula mitigasi yang dapat dilakukan. Mendeteksi potensi pembobolan data atau serangan siber sejak dini membantu bisnis mengurangi dampak potensialnya secara signifikan. Dengan pemikiran ini, monitoring dark web dan log penggunaan adalah alat yang berguna untuk mendeteksi masuk tanpa izin dan pembobolan data. Siapkan proses yang memungkinkan pemantauan aktivitas di jaringan, lalu tinjau efektivitas proses tersebut dari waktu ke waktu. Iterasi akan membantu bisnis menemukan kontrol paling efektif untuk lingkungan dan kebutuhan bisnis.