Laporan risiko siber sering kali gagal dipahami oleh dewan direksi karena perbedaan bahasa komunikasi. Tim keamanan cenderung berfokus pada istilah teknis seperti kerentanan zero-day atau ancaman ransomware, sedangkan direksi membutuhkan kepastian dampak finansial dan probabilitas kerugian bagi bisnis.
Penggunaan matriks risiko tradisional berbasis warna dan skala kualitatif (tinggi, sedang, rendah) tidak lagi efektif untuk pengambilan keputusan. Direksi memerlukan nilai yang terukur dalam satuan rupiah untuk mengevaluasi kesepadanan antara potensi kerugian operasional dan besarnya investasi keamanan siber yang diajukan.
Cyber Risk Quantification (CRQ) hadir sebagai solusi untuk menerjemahkan risiko siber ke dalam metrik keuangan yang jelas. Dengan menyajikan data dalam bentuk probabilitas dan perkiraan potensi kerugian tahunan, CRQ memungkinkan direksi menilai serta memprioritaskan risiko siber secara setara dengan risiko bisnis lainnya.
Baca juga: Pelajaran Penting Insiden Siber Bank Daerah: Mengapa Rentan Diserang & Cara Mencegahnya
Kelemahan Analisis Risiko Kualitatif Tradisional
Mari jujur tentang kelemahan pendekatan tradisional sebelum membahas solusinya.
Sebagian besar organisasi saat ini menggunakan risk assessment kualitatif. Prosesnya kurang-lebih begini: identifikasi aset, identifikasi ancaman, tentukan likelihood (rendah/sedang/tinggi), tentukan impact (rendah/sedang/tinggi), plot di heat map, lalu prioritaskan yang berwarna merah.
Pendekatan ini tidak salah secara fundamental. ISO 27005 dan ISO 31000 mengakomodasi assessment kualitatif. Banyak framework keamanan informasi dibangun di atasnya. Tapi ada beberapa masalah mendasar yang makin terasa seiring keamanan siber menjadi agenda C-level.
Subjektivitas yang sulit dikontrol. Apa bedanya likelihood “sedang” dengan “tinggi”? Dua orang analis bisa menilai risiko yang sama dengan level berbeda. Tanpa kalibrasi yang ketat, yang jarang dilakukan, heat map mencerminkan persepsi penilai, bukan realitas risiko.
Tidak bisa dibandingkan lintas domain. Risiko “tinggi” di keamanan siber apakah sama “tinggi”-nya dengan risiko “tinggi” di compliance atau operasional? Tanpa satuan yang sama, direksi tidak punya dasar untuk membandingkan dan memprioritaskan investasi antar domain risiko.
Tidak membantu justifikasi investasi. “Kita perlu investasi Rp3 miliar untuk mengurangi risiko dari tinggi ke sedang” bukanlah argumen yang kuat di meja direksi. Bandingkan dengan: “Investasi Rp3 miliar mengurangi expected annual loss dari Rp12 miliar menjadi Rp2 miliar, ROI positif di tahun pertama.”
Akumulasi merah. Seiring waktu, heat map cenderung terisi warna merah. Ketika semuanya “tinggi,” tidak ada yang benar-benar diprioritaskan. Risk assessment kehilangan kemampuan membedakan mana yang benar-benar kritis dan mana yang sekadar penting.
| Aspek | Pendekatan Kualitatif | Pendekatan Kuantitatif (CRQ) |
| Satuan ukur | Rendah / Sedang / Tinggi | Rupiah, probabilitas (%) |
| Kalibrasi antar penilai | Sulit dikontrol | Berbasis data dan model statistik |
| Perbandingan lintas domain | Tidak mungkin langsung | Bisa, semua dalam satuan finansial |
| Justifikasi investasi | “Mengurangi risiko dari tinggi ke sedang” | “ROI = Rp9 miliar per tahun” |
| Komunikasi ke direksi | Heat map | Expected loss curve, Value at Risk |
| Granularitas | Terbatas pada 3-5 level | Continuous, distribusi probabilitas |
Mengenal Cyber Risk Quantification (CRQ)
CRQ adalah pendekatan yang menerjemahkan risiko siber ke dalam metrik keuangan, menggunakan data empiris, pemodelan statistik, dan analisis probabilistik. Hasilnya bukan warna, tapi angka: berapa probabilitas skenario serangan terjadi dalam 12 bulan ke depan, dan kalau terjadi, berapa kerugian yang diharapkan?
Ini bukan konsep akademis yang baru muncul. Framework CRQ paling mapan, FAIR (Factor Analysis of Information Risk), sudah dikembangkan sejak 2005. Tapi adopsinya baru meningkat drastis dalam 2-3 tahun terakhir, seiring tekanan regulasi dan kebutuhan komunikasi risiko ke board of directors. Yang baru adalah tekanan eksternal: auditor, regulator, dan dewan mulai menuntut angka, bukan warna.
NIST Cybersecurity Framework 2.0 mendorong organisasi menilai risiko siber dalam konteks dampak bisnis dan misi organisasi, bukan sekadar daftar kerentanan. Dan regulator di berbagai sektor, dari perbankan sampai infrastruktur kritis, makin mengharapkan organisasi bisa menyatakan risiko siber dalam istilah finansial.
Baca juga: Punya ISO 27001 tapi Masih Kebobolan? Ini yang Salah Dipahami Soal Compliance
FAIR Framework: Standar Kuantifikasi Risiko Siber Global
FAIR, Factor Analysis of Information Risk, adalah framework kuantifikasi risiko yang paling banyak digunakan secara global. Dikembangkan oleh Jack Jones, FAIR menyediakan taksonomi dan metode untuk mengukur risiko informasi dalam istilah keuangan.
Konsep dasarnya intuitif. Risiko didekomposisi menjadi dua komponen utama: Loss Event Frequency (LEF), seberapa sering kerugian diprediksi terjadi, dan Loss Magnitude (LM), berapa besar kerugian yang diprediksi per kejadian.
4 Langkah Praktis Penerapan Framework FAIR
Misalnya organisasi ingin mengkuantifikasi risiko ransomware yang melumpuhkan sistem ERP selama 7 hari.
Langkah 1: Tentukan skenario risiko secara spesifik. Bukan “risiko ransomware” secara umum, tapi skenario konkret: “Aktor eksternal mengeksploitasi kerentanan di VPN untuk menyebarkan ransomware yang mengenkripsi database ERP, menyebabkan gangguan operasional selama 7 hari.”
Langkah 2: Estimasi frekuensi. Berdasarkan data industri, threat intelligence, dan konteks organisasi, berapa probabilitas skenario ini terjadi dalam 12 bulan? FAIR menggunakan distribusi probabilitas, bukan angka tunggal. Misalnya: “10-20% probabilitas dalam 12 bulan” (bukan “kemungkinan sedang”).
Langkah 3: Estimasi dampak. Dekomposisi kerugian menjadi komponen-komponen: biaya response dan recovery, kehilangan pendapatan selama downtime, denda regulasi, biaya notifikasi, kerusakan reputasi, dan biaya hukum. Masing-masing diestimasi dengan range, bukan angka tetap.
Langkah 4: Monte Carlo simulation. Distribusi frekuensi dan dampak dimasukkan ke simulasi Monte Carlo, yang menjalankan ribuan iterasi untuk menghasilkan distribusi probabilitas kerugian. Hasilnya: “90% confidence interval, kerugian tahunan antara Rp500 juta sampai Rp15 miliar, dengan expected value Rp4,2 miliar.”
| Komponen Kerugian | Estimasi Range | Catatan |
| Biaya incident response | Rp200 juta – Rp1 miliar | Tim internal + konsultan eksternal |
| Kehilangan pendapatan (7 hari downtime) | Rp2 miliar – Rp8 miliar | Tergantung revenue harian dan ketergantungan pada ERP |
| Biaya recovery dan restorasi | Rp500 juta – Rp2 miliar | Rebuild system, restore data, hardening |
| Denda regulasi (UU PDP, OJK) | Rp0 – Rp5 miliar | Tergantung data yang terdampak |
| Kerusakan reputasi | Rp500 juta – Rp3 miliar | Churn pelanggan, biaya akuisisi meningkat |
| Biaya hukum | Rp100 juta – Rp500 juta | Konsultasi hukum, potensi litigasi |
Angka-angka seperti ini adalah bahasa yang dipahami direksi. Mereka terbiasa mengambil keputusan berdasarkan expected value, confidence interval, dan ROI. CRQ membawa keamanan siber ke level percakapan yang sama.
Manfaat Utama CRQ untuk Pengambilan Keputusan Bisnis
CRQ bukan sekadar latihan akademis untuk menghasilkan angka-angka impresif. Nilai sebenarnya terletak pada bagaimana angka-angka ini mengubah kualitas keputusan.
1. Justifikasi Investasi Keamanan Siber yang Terukur
Tanpa CRQ: “Kita perlu investasi Rp2 miliar untuk EDR karena ancaman siber meningkat.”
Dengan CRQ: “EDR mengurangi probabilitas ransomware berhasil dari 18% menjadi 5% dan mempercepat deteksi dari rata-rata 45 hari menjadi 2 hari. Expected annual loss turun dari Rp4,2 miliar menjadi Rp800 juta. Net benefit: Rp1,4 miliar per tahun setelah dikurangi biaya solusi.”
2. Prioritisasi Penanganan Risiko Berbasis Data
Organisasi punya puluhan, bahkan ratusan, risiko siber yang teridentifikasi. Mana yang harus diaddress pertama? CRQ memungkinkan ranking berdasarkan expected financial impact, bukan intuisi atau “yang paling menakutkan.”
3. Optimalisasi dan Alokasi Anggaran Keamanan
CRQ membantu menjawab: apakah Rp5 miliar security budget lebih baik dialokasikan untuk EDR, security awareness training, segmentasi jaringan, atau MDR? Dengan mengkuantifikasi risk reduction dari setiap opsi, organisasi bisa mengalokasikan budget ke kombinasi kontrol yang memberikan pengurangan risiko terbesar per rupiah yang diinvestasikan.
4. Komunikasi Risiko yang Efektif ke Dewan Direksi
5. Integrasi Seamless dengan Enterprise Risk Management (ERM)
Integrasi dengan Enterprise Risk Management (ERM)
Risiko siber yang dinyatakan dalam istilah finansial bisa langsung masuk ke framework ERM organisasi, berdampingan dengan risiko kredit, risiko operasional, dan risiko pasar. Ini menghilangkan “siber sebagai dunia terpisah” dan menjadikannya bagian integral dari manajemen risiko perusahaan.
Baca juga: Audit IT Maturity OJK: Langkah Persiapan untuk BPR/FintechÂ
Tahapan Implementasi CRQ di Perusahaan
Implementasi CRQ tidak harus dimulai dari nol atau memerlukan investasi besar. Berikut pendekatan bertahap yang realistis.
Fase 1: Foundation (Bulan 1-3)
Mulai dari 3-5 skenario risiko tertinggi. Jangan mencoba mengkuantifikasi semua risiko sekaligus, ini resep kegagalan. Pilih skenario yang paling relevan untuk direksi: ransomware, data breach, business email compromise, atau gangguan layanan.
Bangun tim kecil, biasanya 2-3 orang, yang menggabungkan keahlian keamanan siber dan pemahaman bisnis. Idealnya ada representation dari risk management atau finance. Pelatihan FAIR Foundation bisa diselesaikan dalam beberapa hari.
Fase 2: Data Collection (Bulan 2-4)
Kumpulkan data yang relevan: data loss event internal (jika ada), data industri dari laporan seperti Verizon DBIR dan IBM Cost of Data Breach, threat intelligence spesifik industri, dan data keuangan internal (pendapatan, biaya operasional per hari, biaya rata-rata incident response sebelumnya).
Jangan tunggu data sempurna. CRQ bekerja dengan estimasi berbasis range, bukan angka presisi. Data yang “cukup baik” lebih berharga daripada menunggu data sempurna yang tidak pernah datang.
Fase 3: Modeling dan Analisis (Bulan 3-5)
Jalankan analisis FAIR untuk skenario yang dipilih. Bisa menggunakan spreadsheet untuk awal, tapi tools khusus seperti RiskLens, SAFE One, atau bahkan model Monte Carlo di Python memberikan hasil yang lebih robust. Output utama: distribusi kerugian, expected annual loss, dan Value at Risk untuk setiap skenario.
Fase 4: Integrasi ke Proses Pengambilan Keputusan (Bulan 4-6)
Presentasikan hasil ke direksi dan integrasikan ke siklus perencanaan anggaran keamanan siber. Gunakan output CRQ untuk mendukung, atau menolak, proposal investasi security. Bandingkan cost-benefit berbagai opsi mitigasi.
Fase 5: Continuous Improvement (Ongoing)
Perbarui model setiap kuartal atau ketika ada perubahan signifikan: insiden baru, perubahan threat landscape, implementasi kontrol baru, atau perubahan profil bisnis. CRQ yang tidak diperbarui sama buruknya dengan heat map yang dibuat setahun lalu.
| Fase | Aktivitas Utama | Output | Timeline |
| Foundation | Pilih skenario, bangun tim, pelatihan FAIR | Top 3-5 skenario risiko terdefinisi | Bulan 1-3 |
| Data Collection | Kumpulkan data internal dan industri | Dataset untuk modeling | Bulan 2-4 |
| Modeling | Analisis FAIR, Monte Carlo simulation | Distribusi kerugian per skenario | Bulan 3-5 |
| Integrasi | Presentasi ke board, link ke budget planning | Keputusan investasi berbasis data | Bulan 4-6 |
| Continuous | Update model, kalibrasi ulang | Model yang makin akurat seiring waktu | Ongoing |
Kepatuhan Regulasi dan Kompatibilitas CRQ di Indonesia
CRQ belum menjadi kewajiban regulasi di Indonesia. Tapi tren regulasi mengarah ke sana, dan organisasi yang mengadopsi lebih awal akan punya keunggulan.
POJK tentang Manajemen Risiko TI untuk sektor perbankan sudah mensyaratkan risk assessment yang mencakup risiko siber. Meski belum secara eksplisit mengharuskan kuantifikasi, regulator makin mengharapkan bank bisa menyatakan risiko siber dalam istilah yang bisa dibandingkan dengan risiko lainnya.
UU PDP No. 27 Tahun 2022 mengharuskan organisasi mengambil langkah “yang wajar” untuk melindungi data. Apa yang “wajar” seringkali dinilai berdasarkan analisis risiko, dan CRQ memberikan evidence yang jauh lebih kuat dibanding heat map kualitatif.
ISO 27001:2022 dalam kontrol risk assessment-nya mengakomodasi pendekatan kuantitatif. Organisasi yang sudah sertifikasi ISO 27001 bisa mengintegrasikan CRQ sebagai peningkatan atas assessment kualitatif yang ada.
Di tingkat global, DORA (Digital Operational Resilience Act) di Uni Eropa dan SEC Cybersecurity Disclosure Rules di AS sudah mendorong disclosure risiko siber dalam istilah yang bisa dimengerti investor, yang secara praktis berarti metrik keuangan. Perusahaan Indonesia yang listed di bursa internasional atau memiliki investor global perlu mempersiapkan diri.
Tantangan Utama Penerapan CRQ dan Solusinya
Implementasi CRQ bukan tanpa tantangan. Beberapa yang paling umum dan cara mengatasinya.
“Data kami tidak cukup.” Ini keberatan paling sering. Jawaban: CRQ tidak memerlukan data sempurna. Model FAIR dirancang untuk bekerja dengan estimasi berbasis range. Studi menunjukkan bahwa estimasi berbasis range dari subject matter expert, meskipun imperfect, jauh lebih informatif dibanding label kualitatif.
“Terlalu kompleks untuk organisasi kami.” Mulai sederhana. Tiga skenario, spreadsheet, tim kecil. Kompleksitas bisa ditambahkan seiring kematangan. Organisasi tidak perlu langsung menggunakan tools mahal atau mengkuantifikasi ratusan skenario.
“Direksi tidak akan percaya angkanya.” Transparansi adalah kuncinya. Sajikan asumsi secara terbuka, tunjukkan sumber data, dan jelaskan margin of error. Direksi yang terbiasa dengan forecasting keuangan memahami bahwa model adalah estimasi terbaik, bukan prediksi pasti. Mereka lebih skeptis terhadap klaim kualitatif yang tidak bisa diverifikasi.
“Ini hanya menambah beban kerja tim security.” Dalam jangka pendek, ya. Tapi dalam jangka menengah, CRQ justru mengurangi beban karena mengeliminasi debat subjektif tentang prioritas dan mempercepat approval budget security.
Kesimpulan: Saatnya Mentransformasi Manajemen Risiko Siber Anda
Keamanan siber sudah terlalu lama berbicara dalam bahasa yang tidak dimengerti pengambil keputusan. Heat map berwarna merah tidak membantu direksi memutuskan apakah investasi Rp5 miliar untuk security sepadan. Label “risiko tinggi” tidak bisa dibandingkan dengan risiko kredit, risiko pasar, atau risiko operasional lainnya.
CRQ bukan pengganti risk assessment kualitatif, melainkan evolusinya. Organisasi yang mengadopsi CRQ tidak membuang heat map; mereka menambahkan layer di atasnya yang menghasilkan angka-angka yang bisa ditindaklanjuti.
Mulai dari yang kecil. Pilih tiga skenario risiko tertinggi. Kumpulkan data yang ada. Jalankan analisis FAIR sederhana. Presentasikan hasilnya dalam bahasa yang dimengerti direksi. Lalu iterasi dan tingkatkan.
Ketika direksi bertanya “berapa besar risiko siber kita?”, jawabannya bukan lagi warna merah di heat map. Tapi angka yang konkret, bisa dibandingkan, dan bisa digunakan untuk pengambilan keputusan.
Kuantifikasi Risiko Siber Perusahaan Anda Bersama Proxsis IT
Proxsis IT membantu organisasi mengukur dan mengelola risiko siber dengan pendekatan yang terstruktur dan terukur. Melalui Cyber Security Maturity Assessment, implementasi framework manajemen risiko, dan konsultasi keamanan informasi, kami membantu menerjemahkan postur keamanan siber Anda ke dalam bahasa bisnis yang dipahami seluruh level manajemen, sehingga investasi security bisa dijustifikasi dan diprioritaskan secara optimal.
Konsultasikan Strategi Keamanan Siber Perusahaan Anda →
Pertanyaan Umum Seputar Cyber Risk Quantification (FAQ)
Apakah CRQ menggantikan risk assessment kualitatif?
Tidak. CRQ melengkapi pendekatan kualitatif dengan menambahkan lapisan metrik keuangan. Banyak organisasi menjalankan keduanya secara paralel, kualitatif untuk assessment cepat dan operasional, kuantitatif untuk komunikasi ke board dan justifikasi investasi besar.
Apakah perlu membeli tools khusus untuk mulai CRQ?
Tidak untuk tahap awal. Analisis FAIR sederhana bisa dilakukan dengan spreadsheet. Tools khusus seperti RiskLens atau SAFE One menjadi relevan ketika organisasi ingin scaling ke banyak skenario dan mengintegrasikan CRQ ke proses enterprise risk management.
Berapa lama waktu yang dibutuhkan untuk implementasi?
Untuk analisis pertama terhadap 3-5 skenario risiko, biasanya 3-6 bulan. Ini termasuk pelatihan tim, pengumpulan data, modeling, dan presentasi pertama ke direksi. Setelah itu, update per kuartal memerlukan effort yang jauh lebih kecil.
Apakah FAIR satu-satunya framework CRQ?
FAIR adalah framework yang paling banyak dirujuk, tapi ada alternatif lain seperti NIST SP 800-30 yang mengakomodasi semi-kuantitatif, OCTAVE, dan beberapa model proprietary. Untuk sebagian besar organisasi, FAIR adalah titik awal yang solid.
Sumber utama
Referensi utama untuk framework dan data industri dalam artikel ini.
FIBRE/FAIR Institute: portal framework FAIR
NIST Cybersecurity Framework 2.0
