Risk Assessment
Definisi Risk
Risk assessment adalah proses sistematis untuk mengidentifikasi, menganalisis, dan mengevaluasi risiko keamanan yang mungkin memengaruhi aset organisasi. Dalam konteks keamanan siber, risk didefinisikan sebagai perkalian antara ancaman (threat), kerentanan (vulnerability), dan dampak (impact):
Risk = Threat × Vulnerability × Impact
- Threat (Ancaman): Segala sesuatu yang berpotensi mengeksploitasi kerentanan - mencakup aktor jahat (malicious insiders, cybercriminals, nation-state actors), bencana alam, atau kesalahan manusia.
- Vulnerability (Kerentanan): Kelemahan dalam aset, sistem, atau kontrol keamanan yang dapat dieksploitasi oleh ancaman. Contoh: unpatched software, konfigurasi lemah, weak passwords.
- Impact (Dampak): Konsekuensi jika ancaman berhasil mengeksploitasi kerentanan - mencakup kerugian finansial, reputasi, hukum, atau operasional.
Risk Matrix (5×5)
Risk matrix 5×5 adalah alat visual untuk memetakan likelihood (kemungkinan) terhadap impact (dampak):
| Likelihood ↓ / Impact → | Insignificant | Minor | Moderate | Major | Catastrophic |
|---|---|---|---|---|---|
| Almost Certain | Medium | High | High | Extreme | Extreme |
| Likely | Medium | Medium | High | High | Extreme |
| Possible | Low | Medium | Medium | High | High |
| Unlikely | Low | Low | Medium | Medium | High |
| Rare | Low | Low | Low | Medium | Medium |
Setiap kombinasi menghasilkan level risiko yang menentukan prioritas penanganan.
Qualitative vs Quantitative
- Qualitative Risk Assessment: Menggunakan skala deskriptif (Low, Medium, High, Critical). Cepat, mudah dipahami, cocok untuk initial screening. Namun subjektif dan bergantung pada keahlian penilai.
- Quantitative Risk Assessment: Menggunakan nilai numerik dan metrik seperti Annual Loss Expectancy (ALE), Single Loss Expectancy (SLE), Annual Rate of Occurrence (ARO). Memberikan hasil yang lebih objektif tetapi membutuhkan data historis dan lebih kompleks.
Risk Scoring
Risk scoring adalah proses memberikan nilai numerik pada risiko untuk membandingkan dan memprioritaskan penanganan. Formula umum:
Risk Score = Likelihood × Impact
Scoring bisa menggunakan skala 1 - 5, 1 - 10, atau sistem bobot. Hasilnya digunakan untuk menentukan risk appetite dan risk tolerance organisasi.
Risk Treatment
Setelah risiko diidentifikasi dan dinilai, organisasi harus memilih strategi penanganan:
- Mitigate (Risk Reduction): Menerapkan kontrol untuk mengurangi likelihood dan/atau impact - misalnya patch management, firewall, encryption.
- Accept (Risk Acceptance): Menerima risiko karena biaya mitigasi lebih besar dari dampak potensial; perlu dokumentasi formal dan persetujuan manajemen.
- Transfer (Risk Transfer): Memindahkan risiko ke pihak ketiga - misalnya cyber insurance, outsourcing ke managed security service provider (MSSP).
- Avoid (Risk Avoidance): Menghentikan aktivitas yang menimbulkan risiko - misalnya menonaktifkan layanan yang tidak aman.
Kerangka Kerja (Frameworks)
- ISO/IEC 27005: Standar internasional untuk information security risk management. Menyediakan pedoman sistematis mulai dari context establishment, risk assessment, risk treatment, hingga risk acceptance. Terintegrasi penuh dengan ISO 27001.
- NIST SP 800-30: Panduan dari National Institute of Standards and Technology untuk melakukan risk assessments pada sistem informasi federal AS. Menggunakan pendekatan tiered risk management yang mencakup level organisasi, business process, dan sistem.
- OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation): Dikembangkan oleh Carnegie Mellon University. Berfokus pada organizational risk dan self-assessment tanpa ketergantungan berat pada konsultan eksternal.
- FAIR (Factor Analysis of Information Risk): Model kuantitatif yang memecah risiko menjadi komponen Loss Event Frequency (LEF) dan Loss Magnitude (LM). Menjadi dasar standar Open Group (O-RA) dan diadopsi oleh banyak organisasi untuk cyber risk quantification.
Kesimpulan
Risk assessment bukan sekadar aktivitas satu kali, melainkan proses berkelanjutan yang harus diintegrasikan dalam siklus hidup keamanan organisasi. Pemilihan metodologi dan kerangka kerja yang tepat harus disesuaikan dengan konteks, ukuran, dan risk appetite organisasi. Dokumentasi yang baik, stakeholder engagement, dan continuous monitoring adalah kunci keberhasilan program risk management.