Bayangkan rapat dewan triwulanan: CISO masuk dengan slide yang rapi, menyatakan organisasi beroperasi pada Tier 3 NIST Cybersecurity Framework dan skor kematangan ISO 27001 mencapai 4.2 dari 5. Para direktur mengangguk. Tiga bulan kemudian, organisasi yang sama tengah menjalani incident response — data pelanggan terbuka, operasi terganggu, dan dewan bertanya satu hal: bagaimana kita tidak melihat ini datang? Jawaban yang tidak nyaman adalah bahwa skor kematangan itu tidak salah; yang salah adalah apa yang diukur.
APA YANG TERJADI?
Penilaian kematangan menggambarkan keadaan organisasi pada hari penilaian dilakukan. Adversary tidak menyerang pada hari penilaian; mereka menyerang pada hari-hari di antaranya — hari-hari yang tidak dijelaskan oleh skor tersebut. Filosofi pengukuran ini diwarisi dari Capability Maturity Model (CMM) dan CMMI yang dibuat Software Engineering Institute pada 1991 untuk menilai proses pengembangan perangkat lunak, dengan asumsi bahwa praktik tersebut cukup stabil untuk diletakkan pada skala lima tingkat dalam satu titik waktu.
Masalahnya, asumsi tersebut tidak berlaku untuk keamanan siber. Lanskap ancaman berubah dalam hitungan jam, konfigurasi menyimpang dalam hitungan menit, status patch berubah setiap hari, sementara komposisi tenaga kerja, eksposur pihak ketiga, dan permukaan serangan terus berevolusi. NIST CSF tiers, skor kematangan ISO 27001, C2M2, CMMC, dan puluhan framework lain membawa DNA arsitektur yang sama: level diskrit, penilaian periodik, dan skor berbasis satu titik waktu — instrumen yang dirancang untuk domain stabil diterapkan pada salah satu lingkungan paling volatil dalam operasi perusahaan modern.
DETAIL TEKNIS
Penilaian kematangan memang menangkap beberapa hal dengan baik: apakah proses terdokumentasi ada, apakah struktur governance terdefinisi, apakah kebijakan telah direview, dan apakah prosedur telah diformalisasi. Namun yang tidak ditangkap justru faktor penentu hasil saat insiden terjadi: configuration drift antara dua tanggal penilaian, waktu deteksi aktual di bawah beban, apakah prosedur pemulihan di halaman 47 binder kebijakan benar-benar berfungsi Jumat pukul 02.00, eksposur baru dari integrasi SaaS yang disetujui minggu lalu, serta gap antara kontrol yang dijelaskan dalam audit dengan kontrol yang benar-benar beroperasi di produksi.
Analogi yang tepat adalah pengukuran pasang surut: bayangkan melaporkan kondisi laut dengan mengirim seseorang ke pantai setahun sekali, mencatat ketinggian air pada momen itu, dan menyajikan angka tersebut kepada perusahaan pelayaran sebagai dasar keputusan navigasi. Pengukurannya akurat, tetapi tidak berguna — pasang surut adalah fungsi waktu, begitu pula postur keamanan. Keamanan seharusnya dinyatakan sebagai fungsi S(t), bukan nilai tunggal S. CISO yang bertanggung jawab seharusnya memberikan deskripsi tentang sistem yang menghasilkan nilai tersebut secara kontinu: seberapa cepat drift terdeteksi, seberapa andal pemulihan diuji, seberapa cepat eksposur diidentifikasi dan ditutup.
DAMPAK TERHADAP INDONESIA
Di Indonesia, penilaian kematangan seperti Indeks Keamanan Informasi (Indeks KAMI) yang dikelola BSSN dan berbagai asesmen berbasis ISO 27001 banyak digunakan oleh instansi pemerintah, BUMN, dan perbankan sebagai ukuran utama kesiapan keamanan. Skor tinggi sering dijadikan bahan laporan tahunan, sementara insiden siber yang terjadi di antara dua penilaian — seperti kebocoran data yang kerap menimpa lembaga publik dan korporasi — membuktikan bahwa kepatuhan formal tidak sama dengan postur pertahanan aktual. Dewan komisaris dan direksi yang mengevaluasi CISO berdasarkan angka kematangan berisiko membuat keputusan berdasarkan informasi yang sudah basi enam hingga dua belas bulan.
REKOMENDASI MITIGASI
Pergeseran dari skor titik waktu ke pengukuran kontinu bukan sekadar menjalankan penilaian lebih sering — empat snapshot per tahun tetap bukan film. Praktik yang mendekati kondisi ideal meliputi continuous control monitoring yang menggantikan pengujian kontrol tahunan dengan verifikasi otomatis berkelanjutan, deteksi configuration drift sebagai sinyal langsung, waktu pemulihan sebagai metrik terukur yang diuji pada cadence terdefinisi, serta breach and attack simulation yang menjadi instrumentasi berkelanjutan bagi efektivitas pertahanan. Dewan perlu memahami bahwa jawaban jujur atas pertanyaan “apakah kita aman” bukanlah angka, melainkan deskripsi sistem yang terus memproduksi angka tersebut.
Analisa Retasan
Root cause dari fenomena ini adalah kesalahan epistemologis dalam tata kelola keamanan siber: menggunakan instrumen statis untuk mengukur sistem dinamis. Skor kematangan menggambarkan kondisi pada satu titik waktu, sementara postur keamanan sejati adalah fungsi kontinu dari hardening, segmentasi, monitoring, kesiapan pemulihan, dan kapabilitas respons insiden yang berevolusi setiap hari. Model apa pun yang menghasilkan satu angka untuk menggambarkan sistem yang berubah setiap hari — secara konstruksi — sedang berbohong kepada siapa pun yang membacanya. Inilah yang dijelaskan penulis melalui kerangka S4T yang menyatakan postur keamanan sebagai S(t) berdasarkan waktu.
Cross-reference terhadap sejarah pengukuran menunjukkan bahwa pola ini bukan baru: industri finansial telah lama beralih dari penilaian risiko berkala ke pengukuran risiko berkelanjutan, dan industri DevOps meninggalkan evaluasi kualitas tahunan demi continuous testing dalam pipeline. Keamanan siber tertinggal karena insentif regulasi dan audit masih menghargai sertifikasi titik waktu. Gap yang sama terlihat dalam kasus kebocoran data pada organisasi bersertifikasi ISO 27001 di berbagai negara — sertifikat berlaku, insiden tetap terjadi, dan pemicunya hampir selalu faktor yang tidak pernah diukur pada asesmen.
Bagi Indonesia, pelajaran terpenting adalah perlunya membangun kapasitas pengukuran kontinu alih-alih mengejar skor. BSSN dan regulator terkait dapat mendorong adopsi continuous control monitoring dan instrumentasi deteksi sebagai pelengkap Indeks KAMI, sementara perusahaan swasta perlu menggeser anggaran dari asesmen seremonial tahunan menuju telemetri keamanan yang berjalan setiap hari. Generasi CISO berikutnya tidak akan dinilai dari skor kematangan yang diraih, melainkan dari apa yang organisasi mereka selamatkan saat insiden benar-benar terjadi.
Sumber: Cyber Defense Magazine — Why Your Security Maturity Score Is Lying to You
