Oleh: Arki Rifazka

Kita makin sering melihat pola yang sama saat organisasi belanja teknologi. Presentasi produknya rapi, fiturnya panjang, harganya kompetitif, tetapi tetap saja ada vendor yang gugur bahkan sebelum penawarannya dibahas. Alasannya biasanya bukan karena produknya jelek, melainkan karena pembeli merasa risikonya terlalu besar. Begitu layanan bisnis, layanan publik, dan layanan keuangan bergantung pada sistem yang saling terhubung, satu celah kecil di pemasok bisa merembet jadi gangguan layanan, kerusakan reputasi, dan biaya pemulihan yang nilainya jauh melampaui kontrak. Di titik ini, keamanan berubah fungsi. Ia bukan aksesori yang dinegosiasikan belakangan, melainkan semacam mata uang pengadaan yang menentukan siapa boleh masuk arena kompetisi.

Keamanan sebagai Mata Uang Baru dalam Proses Tender

Masalahnya, keamanan itu sulit dilihat dari luar. Bahkan setelah sistem dipakai, kelemahan sering baru muncul saat terjadi insiden atau saat integrasi memperlihatkan celah yang sebelumnya tidak terlihat. Karena itulah tender modern terasa semakin ketat. Pembeli meminta bukti yang bisa diuji, bukan sekadar janji. Di sinilah standar, kerangka kerja, dan dokumen kontrol jadi penting, bukan untuk gaya, tetapi untuk menutup asimetri informasi antara pemasok yang tahu detail sistemnya dan pembeli yang menanggung risiko bisnisnya (Landwehr, 2004; Taherdoost, 2022). Dorongan ini juga masuk akal secara ekonomi. Keamanan kolektif sering kurang terpenuhi jika hanya mengandalkan pilihan sukarela, karena biaya dan manfaat keamanan tidak selalu jatuh pada pihak yang sama (Moore, 2010).

Menutup Asimetri Informasi dengan Standar dan Bukti Kontrol

Kalau kita sederhanakan, banyak tender sebenarnya sedang memaksa vendor membuktikan tiga hal yang paling fundamental, yaitu kerangka CIA yang berarti confidentiality, integrity, dan availability atau kerahasiaan, integritas, dan ketersediaan (Whitman & Mattord, 2018). Kerahasiaan penting karena kebocoran data pelanggan bisa langsung merusak kepercayaan. Integritas penting karena manipulasi data atau transaksi bisa mengubah keputusan bisnis dan memicu risiko hukum. Ketersediaan penting karena layanan yang turun mendadak bisa memukul pendapatan dan kredibilitas, apalagi saat proses inti sudah sangat digital dan saling bergantung (Whitman & Mattord, 2018; Saeed et al., 2023). Jadi ketika pembeli minta bukti kontrol, mereka bukan sedang rewel. Mereka sedang membeli batas risiko reputasi.

Contoh paling dekat biasanya terasa di kantor. Kita pernah ikut rapat saat tim pengadaan membandingkan dua kandidat penyedia aplikasi. Vendor A fiturnya lebih lengkap, tetapi ketika ditanya rencana tanggap insiden dan cara melindungi data, jawabannya berputar-putar dan banyak yang tidak bisa dibuktikan. Vendor B fiturnya lebih sederhana, tetapi bisa menunjukkan proses yang jelas, siapa penanggung jawabnya, dan bagaimana bukti kontrolnya ditata. Dalam rapat lintas fungsi, keputusan sering mengarah ke vendor B. Bukan karena tim ingin bermain aman berlebihan, tetapi karena mereka butuh alasan yang bisa dipertanggungjawabkan saat ditanya manajemen atau auditor. Ini juga menjelaskan kenapa keamanan semakin dipandang sebagai pengungkit pendapatan oleh vendor. Kalau kredensialnya kuat, proses seleksi dan onboarding bisa lebih lancar, dan peluang masuk proyek besar meningkat.

CIA sebagai Fondasi Evaluasi Risiko dalam Pengadaan

Tantangannya, tidak semua vendor punya sumber daya yang sama. Jika persyaratan tender dibuat terlalu kaku, usaha kecil dan menengah bisa berat karena harus menanggung biaya dokumentasi, audit, dan pemeliharaan kontrol (Antunes et al., 2021). Ada juga risiko kepatuhan kosmetik, dokumennya bagus tetapi praktik hariannya tidak berubah (AlGhamdi et al., 2020; Taherdoost, 2022). Kabar baiknya, ini bisa dikelola dengan pendekatan yang lebih sehat. Pembeli bisa merancang pemenuhan bertahap sesuai profil risiko. Vendor bisa fokus dulu pada kontrol dasar yang berdampak tinggi dan membangun budaya keamanan yang konsisten, karena banyak serangan memanfaatkan faktor manusia melalui rekayasa sosial (Khando et al., 2021; Hijji & Alam, 2021).

Di level ekosistem, berbagi intelijen ancaman siber atau CTI yang berarti cyber threat intelligence juga membantu menekan biaya deteksi dan respons, selama ada aturan tujuan, distribusi, dan kontrol akses yang jelas (Johnson et al., 2016; Gal-Or & Ghose, 2005). Standar seperti STIX yang berarti Structured Threat Information eXpression membuat informasi ancaman lebih mudah diproses mesin sehingga respons bisa lebih cepat (Barnum, 2014; Jasper, 2017).

Menjaga Keseimbangan: Antara Kepatuhan, Kapasitas Vendor, dan Kolaborasi Ekosistem

Takeaway praktisnya sederhana. Kalau kita ada di sisi pembeli, perlakukan keamanan sebagai syarat masuk yang jelas sejak awal, lalu buat ukurannya proporsional dengan risiko agar kompetisi tetap sehat. Kalau kita ada di sisi vendor, jangan menunggu tender memaksa. Bangun bukti yang rapi, proses yang bisa dijelaskan, dan kebiasaan kerja yang konsisten. Di pasar yang makin digital, pemenang tender bukan hanya yang punya fitur paling banyak, tetapi yang bisa menunjukkan kepastian risiko dengan cara yang mudah diuji.

Referensi

1. AlGhamdi, S., Win, K. T., & Vlahu-Gjorgievska, E. (2020). Information security governance challenges and critical success factors: Systematic review. Computers & Security, 99, 102030.
2. Antunes, M., Maximiano, M., Gomes, R., et al. (2021). Information security and cybersecurity management: A case study with SMEs in Portugal. Journal of Cybersecurity and Privacy, 1(2), 12.
3. Barnum, S. (2014). Standardizing cyber threat intelligence information with the Structured Threat Information eXpression (STIX™) (Version 1.1, Revision 1). The MITRE Corporation.
4. Gal-Or, E., & Ghose, A. (2005). The economic incentives for sharing security information. Information Systems Research, 16(2), 186–208.
5. Hijji, M., & Alam, G. (2021). A multivocal literature review on growing social engineering based cyber-attacks/threats during the COVID-19 pandemic: Challenges and prospective solutions. IEEE Access, 9, 7152–7208.
6. Jasper, S. E. (2017). U.S. cyber threat intelligence sharing frameworks. International Journal of Intelligence and CounterIntelligence, 30(1), 53–65.
7. Johnson, C., Badger, L., Waltermire, D., Snyder, J., & Skorupka, C. (2016). Guide to cyber threat information sharing (NIST Special Publication 800-150). National Institute of Standards and Technology.
8. Khando, K., Gao, S., Islam, S. M., & Salman, A. (2021). Enhancing employees’ information security awareness in private and public organisations: A systematic literature review. Computers & Security, 106, 102265.
9. Landwehr, C. E. (2004). Improving information flow in the information security market: DoD experience and future directions. In The economics of information security (pp. 155–163). Kluwer Academic Publishers.
10. Moore, T. (2010). The economics of cybersecurity: Principles and policy options. International Journal of Critical Infrastructure Protection, 3(3–4), 103–117.
11. Saeed, S., Altamimi, S. A., Alkayyal, N. A., Alshehri, E., Alshamrani, A., & Alsubhi, K. (2023). Digital transformation and cybersecurity challenges for businesses resilience: Issues and recommendations. Sensors, 23(15), 6666.
12. Taherdoost, H. (2022). Understanding cybersecurity frameworks and information security standards: A review and comprehensive overview. Electronics, 11(14), 2181.
13. Whitman, M. E., & Mattord, H. J. (2018). Principles of information security (6th ed.). Cengage Learning.