Direksi Perusahaan Infrastruktur Kritis Singapura Kini Bertanggung Jawab Penuh atas Keamanan Siber

Singapura mengambil langkah tegas dengan menjadikan jajaran direksi dan manajemen senior pemilik infrastruktur informasi kritis sebagai pihak yang langsung bertanggung jawab atas ketahanan siber perusahaan. Aturan baru ini, yang diumumkan Menteri Pembangunan Digital dan Informasi Josephine Teo pada Rabu (22/7), menandai perubahan fundamental dalam pendekatan keamanan siber di negara kota tersebut.

Infrastruktur informasi kritis mencakup sistem komputer yang mendukung layanan esensial seperti energi, air, perbankan dan keuangan, kesehatan, transportasi, telekomunikasi, media, keamanan dan layanan darurat, serta pemerintahan. Dalam pidatonya di forum Operational Technology Cybersecurity Expert Panel, Teo menegaskan bahwa pemilik infrastruktur ini kini tidak hanya dituntut untuk mencegah serangan, tetapi juga harus mampu mendeteksi, merespons, dan memulihkan diri dari serangan siber.

“Ini mencerminkan pergeseran mendasar dari mengandalkan pertahanan perimeter menjadi secara aktif mempertahankan diri dari ancaman. Dewan direksi dan manajemen senior akan dimintai pertanggungjawaban langsung atas ketahanan siber,” ujar Teo. Ia menambahkan bahwa pemimpin di setiap level harus memiliki pengetahuan keamanan siber yang memadai untuk mengelola risiko siber. Langkah awal yang diperlukan adalah pengawasan jelas terhadap aset kritis dan penerapan pemantauan berkelanjutan. “Bagaimanapun, Anda tidak bisa mempertahankan aset yang tidak Anda lihat, dan Anda tidak bisa memulihkan aset yang tidak Anda ketahui,” katanya.

Dengan semakin banyaknya pemilik infrastruktur kritis yang mengadopsi teknologi cloud, Teo menekankan perlunya memperluas pengamanan ke lingkungan cloud dan meningkatkan standar keamanan. Untuk itu, Badan Keamanan Siber Singapura (CSA) akan merilis kode praktik khusus untuk cloud pada akhir tahun ini, yang mengatur persyaratan keamanan siber untuk penerapan, pengoperasian, dan pengelolaan sistem infrastruktur kritis yang dihosting di cloud.

Sebelumnya, pada awal tahun ini, CSA telah mengirimkan surat kepada dewan direksi dan manajemen puncak semua pemilik infrastruktur kritis untuk meninjau keamanan siber mereka dalam menghadapi ancaman yang didukung AI. Senior Menteri Negara Pembangunan Digital dan Informasi Tan Kiat How menyatakan bahwa surat tersebut menetapkan ekspektasi jelas mengenai cakupan tinjauan. Tinjauan itu harus mencakup apakah penilaian risiko siber saat ini telah mempertimbangkan ancaman AI, serta apakah visibilitas terhadap sistem kritis, aset yang terhubung internet, akses istimewa, layanan cloud, dan ketergantungan pihak ketiga masih memadai. Selain itu, organisasi juga harus mengevaluasi kecepatan manajemen kerentanan, penambalan, pemantauan, dan respons insiden, serta memastikan penggunaan AI telah diatur dengan baik.

Kode praktik yang diperbarui tidak hanya memperkuat akuntabilitas dewan direksi dan manajemen senior, tetapi juga mewajibkan pemilik infrastruktur kritis untuk mencapai sertifikasi Cyber Trust Mark Level 5 guna meningkatkan postur keamanan siber mereka. Mereka juga harus mengawasi sistem yang terhubung dengan infrastruktur kritis untuk meningkatkan manajemen risiko siber, serta mengembangkan rencana latihan keamanan siber yang komprehensif untuk memastikan respons yang terkoordinasi dan efektif terhadap insiden. CSA akan bekerja sama dengan pemilik infrastruktur kritis untuk menerapkan sistem deteksi ancaman di seluruh segmen jaringan guna mendeteksi aktivitas berbahaya.

Meskipun langkah-langkah ini difokuskan pada pemilik infrastruktur kritis, Teo mengingatkan bahwa risiko tidak berhenti di organisasi tersebut. Vendor atau mitra yang dikompromikan juga dapat menjadi titik masuk yang rentan. Untuk mengatasi hal ini, CSA meluncurkan sandbox yang berfokus pada penggunaan AI untuk keamanan siber, dan akan menggandeng vendor untuk menguji coba operasi keamanan yang didukung AI di seluruh infrastruktur kritis Singapura. “Kami bermaksud membagikan pembelajaran dari uji coba ini kepada komunitas pertahanan siber yang lebih luas. Ini akan meningkatkan kemampuan seluruh ekosistem, bukan hanya organisasi yang memiliki sumber daya untuk bereksperimen,” kata Teo.

Langkah Singapura ini menjadi sorotan di kawasan, termasuk Indonesia, yang juga tengah memperkuat keamanan siber infrastruktur kritisnya. Dengan meningkatnya ancaman siber global, pendekatan akuntabilitas langsung dan sertifikasi ketat seperti yang diterapkan Singapura dapat menjadi model bagi negara lain. Pertanyaannya, apakah Indonesia akan mengadopsi langkah serupa untuk melindungi sektor-sektor vitalnya?