Oleh: Arki Rifazka

Kita sering ada di posisi serba salah saat membangun layanan digital. Kalau keamanan dibuat ketat, tim merasa langkah jadi lambat dan ide baru sulit jalan. Kalau keamanan ditunda demi cepat, risikonya justru membesar karena konektivitas makin luas dan serangan makin mudah masuk lewat titik yang paling lemah. Dampaknya juga bukan lagi sekadar gangguan teknis, tetapi bisa merembet ke operasional, reputasi, sampai ke kerugian finansial yang terasa nyata (Whitman & Mattord, 2018; Ervural & Ervural, 2017). Di tengah dilema ini, minimum security baseline adalah jalan tengah yang masuk akal, yaitu standar minimum yang memastikan fondasi aman, tanpa mengunci kreativitas. Pertanyaan praktisnya, bagaimana merancang baseline yang cukup tegas untuk menaikkan ketahanan kolektif, tetapi cukup lentur agar inovasi tetap bergerak dan kepatuhan tidak berhenti di dokumen.

Baseline sebagai Pagar Risiko, Bukan Tembok Kreatif

Cara mudah memahaminya adalah melihat baseline sebagai pagar risiko, bukan tembok kreatif. Pagar itu memberi batas bawah kualitas, sehingga tim bisa berinovasi di atas lantai yang stabil, bukan berlari di atas lantai licin (Whitman & Mattord, 2018). Ini penting karena kualitas keamanan sulit dinilai dari luar. Pembeli, mitra, atau bahkan unit internal sering tidak punya cara cepat untuk membedakan layanan yang benar-benar aman dengan layanan yang hanya terlihat aman. Pasar seperti ini rawan sinyal yang salah, klaim yang tidak terverifikasi, dan keputusan yang lebih dipengaruhi presentasi daripada kepastian kontrol (Landwehr, 2004). Baseline yang disepakati lintas pelaku membantu membenahi masalah itu karena menyediakan bahasa bersama untuk mengevaluasi, membandingkan, dan meminta pertanggungjawaban, tanpa harus menciptakan aturan baru tiap kali bekerja sama (Taherdoost, 2022).

Kerangka Kerja, Standar, dan Insentif Ekosistem

Di sinilah kita perlu membedakan kerangka kerja dan standar. Kerangka kerja memberi peta jalan pengelolaan keamanan dan risiko, sedangkan standar biasanya memuat persyaratan yang bisa diaudit (Taherdoost, 2022). Baseline yang baik mengambil manfaat keduanya tanpa jatuh ke kuadran ekstrem. Ia tidak menjadi daftar periksa membabi buta, tetapi juga tidak terlalu abstrak. Ia mengunci hasil minimum yang harus dicapai, bukan mengunci satu cara yang wajib dipakai semua orang. Logikanya sederhana, kalau standar minimum ditulis sebagai ambang mutu, organisasi masih bisa bersaing lewat inovasi, performa, fitur, dan pengalaman pengguna, tetapi tidak dengan cara mengorbankan praktik dasar yang membuat risiko menyebar ke pihak lain. Ini penting karena keamanan sering kurang disediakan bila murni mengandalkan insentif pasar, mengingat sebagian biaya insiden ditanggung ekosistem, bukan hanya pelaku yang lalai (Moore, 2010).

Contoh konteks nyata yang sering kita lihat ada pada proyek integrasi sistem. Tim ingin cepat menyambungkan aplikasi layanan pelanggan dengan sistem pembayaran dan pelaporan. Kalau tidak ada baseline, tiap unit membawa aturan sendiri, lalu diskusi memanjang karena semua orang bicara dalam bahasa berbeda. Namun jika baseline sudah jelas, misalnya kontrol akses, pencatatan aktivitas penting, dan pengelolaan kerentanan minimum, proses penyelarasan justru lebih cepat karena kita tidak mengulang debat yang sama dari nol. Tantangan seperti biaya dokumentasi dan audit tetap ada, terutama untuk organisasi kecil dan menengah yang cenderung reaktif serta bergantung pada vendor (Antunes et al., 2021). Tetapi tantangan ini bisa dikelola dengan penerapan bertahap sesuai profil risiko, sehingga baseline menjadi tangga naik kelas, bukan beban yang mematikan.

Tata Kelola dan Budaya Keamanan sebagai Penopang Baseline

Kunci lain agar baseline tidak berubah menjadi kepatuhan kosmetik adalah tata kelola keamanan informasi atau information security governance (ISG). Banyak kegagalan terjadi ketika keamanan diperlakukan sebagai urusan teknis semata, tanpa dukungan pimpinan puncak, tanpa kejelasan peran, dan tanpa metrik yang mengikat keputusan bisnis (AlGhamdi et al., 2020). Jika aturan terasa tidak masuk akal terhadap kebutuhan kerja, orang cenderung membuat jalan pintas dan ketidakpatuhan terjadi diam-diam (Hina & Dominic, 2020). Karena itu baseline perlu ditopang budaya keamanan yang nyata, bukan sekadar poster. Budaya keamanan informasi adalah pola nilai dan norma yang membuat kontrol dijalankan konsisten (Veiga et al., 2020). Program kesadaran yang efektif harus berkelanjutan, relevan dengan peran kerja, dan diukur sampai ke perilaku, bukan berhenti pada kehadiran di pelatihan (Khando et al., 2021). Menariknya, perhatian pimpinan puncak juga terbukti berperan kuat, terutama setelah insiden, karena perhatian itu membuka koordinasi lintas unit dan alokasi sumber daya (Shaikh & Siponen, 2023). Praktiknya, baseline perlu dikaitkan ke bahasa yang dipahami pimpinan, seperti risiko layanan, biaya gangguan, dan target operasional, agar ia hidup dalam keputusan harian.

Takeaway praktisnya, mulailah dari baseline yang kecil namun tegas dan berdampak tinggi, lalu jalankan bertahap sesuai risiko. Pastikan setiap kontrol punya definisi operasional yang bisa dicek, punya bukti yang realistis, dan tidak memaksa satu cara yang seragam untuk semua konteks. Ketika baseline diposisikan sebagai bahasa bersama yang membuat kerja sama lebih cepat dan lebih aman, inovasi justru terbantu, karena organisasi tidak lagi menghabiskan energi untuk memadamkan kebakaran yang seharusnya bisa dicegah.

Referensi

1. AlGhamdi, S., Win, K. T., & Vlahu-Gjorgievska, E. (2020). Information security governance challenges and critical success factors: Systematic review. Computers & Security, 99, 102030.
2. Antunes, M., Maximiano, M., Gomes, R., et al. (2021). Information security and cybersecurity management: A case study with SMEs in Portugal. Journal of Cybersecurity and Privacy, 1(2), 12.
3. Ervural, B. C., & Ervural, B. (2017). Overview of cyber security in the industry 4.0 era. In Industry 4.0: Managing the digital transformation. Springer.
4. Hina, S., & Dominic, P. D. D. (2020). Information security policies’ compliance: A perspective for higher education institutions. Journal of Computer Information Systems, 60(5), 413–424.
5. Khando, K., Gao, S., Islam, S. M., & Salman, A. (2021). Enhancing employees’ information security awareness in private and public organisations: A systematic literature review. Computers & Security, 106, 102265.
6. Landwehr, C. E. (2004). Improving information flow in the information security market: DoD experience and future directions. In The economics of information security (pp. 155–163). Kluwer Academic Publishers.
7. Moore, T. (2010). The economics of cybersecurity: Principles and policy options. International Journal of Critical Infrastructure Protection, 3(3–4), 103–117.
8. Shaikh, F. A., & Siponen, M. (2023). Information security risk assessments following cybersecurity breaches: The mediating role of top management attention to cybersecurity. Computers & Security, 124, 102974.
9. Taherdoost, H. (2022). Understanding cybersecurity frameworks and information security standards: A review and comprehensive overview. Electronics, 11(14), 2181.
10. Veiga, A. da, Astakhova, L. V., Botha, A., & Herselman, M. (2020). Defining organisational information security culture: Perspectives from academia and industry. Computers & Security, 92, 101713.
11. Whitman, M. E., & Mattord, H. J. (2018). Principles of information security (6th ed.). Cengage Learning.