Punya ISO 27001 tapi Masih Kebobolan? Ini yang Salah Dipahami Soal Compliance

April 2026, Canvas LMS mengalami kebocoran data masif yang mencuri 3,65 terabyte data milik 275 juta pengguna. Kasus ini menjadi tamparan keras bagi industri karena Instructure, perusahaan di balik Canvas, memegang sertifikasi ISO 27001 yang diperbarui setiap tahun. Kejadian ini membuktikan fakta yang tidak nyaman: memiliki sertifikat ISO 27001 di dinding kantor tidak otomatis menjamin keamanan perusahaan dari serangan siber.

Banyak organisasi masih keliru menyamakan kepatuhan (compliance) dengan keamanan (security). Padahal, audit sertifikasi sering kali hanya bersifat administratif dan tidak mampu mengimbangi kecepatan ancaman modern, seperti human error yang menyumbang 62% pelanggaran data atau serangan berbasis AI yang makin marak. 

Memahami bahwa sertifikasi hanyalah fondasi,bukan solusi total,adalah langkah krusial untuk menghindari jebakan “aman di atas kertas” yang justru bisa berakibat fatal bagi keberlangsungan bisnis.

 

5 Mitos ISO 27001: Mengapa Sertifikat Saja Tidak Menjamin Keamanan Siber

Kesalahpahaman tentang apa yang dijamin sertifikasi ISO 27001 masih merata, terutama di kalangan manajemen yang jarang bersinggungan langsung dengan operasi keamanan sehari-hari. Berikut lima mitos yang paling umum, beserta kenyataan yang sering kali tidak enak didengar.

Apakah Sertifikasi ISO 27001 Benar-Benar Menjamin Keamanan?

Ini mitos paling klasik. ISO 27001 memastikan organisasi punya sistem manajemen keamanan informasi (SMKI) yang terstruktur. Proses, kebijakan, kontrol, semuanya sudah dirancang dan didokumentasikan. Tapi apakah kontrol tersebut benar-benar efektif menghadapi serangan nyata? Itu cerita lain sama sekali.

Canvas LMS membuktikannya. Sertifikasi yang diperbarui tiap tahun tidak menghentikan peretas yang sudah pernah masuk untuk kembali masuk lagi.

Seberapa Jauh Audit Sertifikasi Menguji Keamanan Teknis?

Kenyataannya, audit sertifikasi ISO 27001 bersifat sampling-based. Auditor mengevaluasi apakah SMKI diterapkan sesuai standar, bukan menguji seluruh infrastruktur secara teknis. Tidak ada pentest menyeluruh. Tidak ada simulasi serangan canggih. Tidak ada pemeriksaan setiap baris kode.

Padahal, eksploitasi kerentanan kini menjadi vektor serangan nomor satu, terlibat dalam 31% pelanggaran data secara global. Dan median waktu patch justru melambat, dari 32 hari menjadi 43 hari. Jendela kerentanan makin lebar, sementara audit sertifikasi hanya terjadi setahun sekali.

Bisakah Kepatuhan Menghapus Risiko Kesalahan Manusia?

ISO 27001 memang mensyaratkan awareness training. Tapi standar ini tidak mengukur apakah training tersebut benar-benar efektif mencegah karyawan mengklik link phishing yang makin canggih, atau mengunggah data sensitif ke ChatGPT.

Faktanya, phishing tetap menjadi vektor serangan utama selama empat tahun berturut-turut, dengan rata-rata biaya USD 5,29 juta per insiden. Dan 45% karyawan kini rutin menggunakan tools AI tanpa persetujuan, dengan 67% di antaranya melalui akun pribadi. Kebijakan yang cuma ada di dokumen, tanpa penegakan teknis, tidak akan mengubah perilaku ini.

Apakah Keamanan Selesai Setelah Sertifikat Didapatkan?

Ancaman siber berkembang jauh lebih cepat dari siklus audit tahunan. Dalam 12 bulan antara dua audit, banyak hal bisa berubah: puluhan kerentanan baru muncul, tools AI yang sebelumnya tidak ada kini dipakai setiap divisi, pola serangan bergeser, dan vendor yang tahun lalu aman kini bisa menjadi titik lemah.

Keterlibatan pihak ketiga dalam pelanggaran data sudah melonjak 60%, kini mencakup 48% dari seluruh insiden. ISO 27001 memang mengharuskan review berkala. Tapi kenyataannya, banyak organisasi memperlakukan sertifikasi sebagai pencapaian sekali jalan.

Apakah Compliance Melindungi Perusahaan dari Denda UU PDP?

Tidak juga. Di Indonesia, UU PDP No. 27 Tahun 2022 menilai kepatuhan berdasarkan apakah perusahaan telah mengambil langkah teknis dan organisasional yang memadai, bukan sekadar apakah perusahaan punya sertifikat. Kalau terjadi kebocoran dan terbukti kontrol keamanan tidak efektif, sertifikasi tidak akan jadi tameng.

 

Baca juga: Awas Denda UU PDP! Cek Kepatuhan Perusahaan

 

Batasan ISO 27001: Apa yang Dicakup dan Apa yang Masih Menjadi Celah

Ini bukan soal merendahkan standar. Justru sebaliknya. Memahami batas-batas ISO 27001 membantu organisasi menempatkannya di posisi yang tepat, sebagai fondasi, bukan sebagai solusi total.

ISO 27001 memberikan kerangka kerja yang terstruktur dan diakui internasional untuk mengelola keamanan informasi. Organisasi yang tersertifikasi sudah melakukan identifikasi dan penilaian risiko terhadap aset informasinya. Kebijakan dan prosedur keamanan sudah terdokumentasi dan diterapkan. Mekanisme perbaikan berkelanjutan melalui siklus PDCA sudah jalan. Ada komitmen manajemen puncak. Dan sudah ada rencana penanganan insiden, meskipun kualitasnya bisa sangat bervariasi antar organisasi.

Tapi di sisi lain, ada hal-hal yang tidak dijamin.

ISO 27001 tidak menjamin organisasi mampu mendeteksi serangan canggih secara real-time. Standar ini tidak mensyaratkan SOC 24/7 dan tidak mengukur seberapa cepat tim keamanan bisa merespons insiden aktif. Pentest memang direkomendasikan dalam kontrol A.8.8 (versi 2022), tapi frekuensi dan kedalamannya diserahkan ke organisasi, dan banyak yang hanya melakukannya minimal menjelang audit.

Yang lebih kritis lagi: standar ini belum secara spesifik mengatur penggunaan Generative AI oleh karyawan. Shadow AI kini terlibat dalam 43% insiden keamanan terkait AI, naik lebih dari dua kali lipat. Dan lebih dari 70% organisasi tidak punya proses governance untuk membatasinya. Ini celah besar yang ada di luar radar ISO 27001.

Soal respons insiden, ada data menarik. Organisasi yang punya rencana respons insiden yang benar-benar teruji dan karyawan yang terlatih menghemat rata-rata USD 1,49 juta per insiden. Angka itu jauh melampaui biaya sertifikasi. Artinya, investasi dalam kapabilitas operasional sering kali memberikan dampak finansial lebih besar dari sertifikat itu sendiri.

Berikut ringkasan yang lebih jelas:

Aspek	Yang Dijamin ISO 27001	Yang Tidak Dijamin ISO 27001
Risk assessment	Proses identifikasi dan penilaian risiko sudah berjalan	Semua risiko teridentifikasi dan termitigasi
Kebijakan keamanan	Kebijakan tertulis, terdokumentasi, dan dikomunikasikan	Kebijakan dipatuhi seluruh karyawan setiap saat
Kontrol teknis	Kontrol yang sesuai telah dipilih dan diterapkan	Kontrol efektif menghadapi ancaman terbaru
Deteksi serangan	Mekanisme monitoring sudah dipertimbangkan	Deteksi real-time terhadap advanced threats
Respons insiden	Rencana respons insiden tersedia	Kecepatan dan efektivitas respons saat insiden nyata
Pihak ketiga	Evaluasi keamanan vendor sudah dilakukan	Vendor tetap aman sepanjang kontrak berlangsung
AI dan Shadow IT	Belum diatur spesifik di versi 2022	Penggunaan AI karyawan terkontrol dan termonitor

Sertifikasi adalah fondasi yang solid. Tapi bangunan keamanan yang kokoh butuh lebih dari sekadar fondasi.

 

Baca juga: Jangan Sampai Bisnis Anda Tersingkir karena Buta Regulasi: Siapkan AI Governance sebagai Standar “ISO Baru” Perusahaan

 

Mengapa Compliance Saja Tidak Cukup: Analisis Data Kebocoran Data 2026

Kalau mitos “compliance = security” masih terasa abstrak, mari kita lihat datanya.

Dari Verizon DBIR 2026

Verizon menganalisis lebih dari 22.000 pelanggaran data terkonfirmasi di 145 negara, dataset terbesar sepanjang sejarah laporan ini. Beberapa temuan yang langsung relevan:

Temuan	Angka	Implikasi bagi Perusahaan Bersertifikasi
Pelanggaran melibatkan elemen manusia	62%	Kelemahan perilaku menembus proses yang sudah “di-compliant-kan”
Eksploitasi kerentanan sebagai vektor utama	31%	Audit tahunan tidak bisa mengejar kecepatan eksploitasi
Median waktu patch	43 hari (naik dari 32)	Jendela kerentanan makin lebar setiap tahun
Keterlibatan pihak ketiga	48% (naik 60%)	Keamanan organisasi bisa jebol lewat vendor
Karyawan rutin pakai AI tanpa izin	45% (naik 3x lipat)	Shadow AI jadi kategori risiko baru yang belum tercakup standar

Lebih dari separuh insiden keamanan berhasil menembus organisasi bukan lewat kelemahan teknologi yang eksotis, melainkan lewat kelemahan perilaku dan proses, hal-hal yang seringkali sudah ada di checklist compliance. Dan kecepatan serangan terus mengalahkan kecepatan remediasi. Organisasi yang cuma mengandalkan siklus audit tahunan akan selalu ketinggalan.

Soal pihak ketiga, angkanya bikin geleng kepala. Meski perusahaan Anda compliant, kebocoran tetap bisa terjadi lewat vendor, penyedia cloud, atau mitra bisnis yang terhubung dengan sistem Anda. ISO 27001 memang mengatur evaluasi vendor, tapi evaluasi sekali saat onboarding jelas tidak cukup menghadapi realitas ini.

Dari IBM Cost of a Data Breach 2026

IBM mempelajari 602 organisasi yang mengalami pelanggaran data, mewawancarai lebih dari 3.400 pemimpin keamanan dan bisnis. Perspektif biaya yang mereka sajikan sangat gamblang.

Temuan	Angka	Konteks
Rata-rata biaya breach global	USD 4,99 juta	Rekor baru, naik 12% dari tahun sebelumnya
Rata-rata biaya breach di AS	USD 11,5 juta	Lebih dari dua kali lipat rata-rata global
Kenaikan serangan AI-enabled	56%	1 dari 4 serangan malicious kini melibatkan AI
Biaya tambahan per insiden akibat AI	~USD 1 juta	Biaya insiden AI rata-rata melebihi USD 6 juta
Biaya serangan model inversion	USD 6,07 juta	Kategori ancaman belum tercakup ISO 27001
Biaya serangan prompt injection	USD 5,89 juta	Kategori ancaman belum tercakup ISO 27001
Penghematan dari AI & automasi keamanan	USD 1,93 juta	Plus percepatan penahanan insiden 65 hari
Biaya tambahan akibat Shadow AI	USD 670.000	Per insiden
Organisasi tanpa kontrol akses AI yang memadai	92%	Dari yang mengalami insiden keamanan AI

Biaya pelanggaran data terus naik meski makin banyak organisasi yang punya sertifikasi dan framework keamanan. Serangan berbasis AI meledak, dan dua jenis serangan termahalnya, model inversion dan prompt injection, sama sekali belum tercakup dalam kerangka ISO 27001.

Yang menarik adalah soal governance sebagai pembeda biaya. Organisasi yang serius menggunakan AI dan automasi dalam operasi keamanannya menghemat hampir USD 2 juta per insiden. Sebaliknya, yang punya tingkat Shadow AI tinggi kena tambahan USD 670.000. Dan dari organisasi yang mengalami insiden AI? 92% ternyata tidak punya kontrol akses AI yang layak.

Satu hal lagi soal phishing. Vishing dan smishing kini menghasilkan biaya rata-rata tertinggi di USD 5,29 juta per insiden. Volume teks berbahaya buatan AI dalam email phishing naik dua kali lipat. Pelatihan awareness yang diberikan dua tahun lalu, meski memenuhi persyaratan compliance, kemungkinan besar sudah usang menghadapi phishing generasi baru.

Pesan dari kedua laporan ini jelas: organisasi yang hanya mengandalkan compliance tanpa membangun kapabilitas keamanan operasional yang dinamis akan terus kebobolan. Dan biayanya makin mahal tiap tahun.

 

5 Strategi Melengkapi ISO 27001 untuk Keamanan Siber yang Tangguh

Kalau sertifikasi ISO 27001 adalah fondasi, maka organisasi butuh lapisan tambahan di atasnya. Bukan lapisan asal-asalan, tapi yang terbukti, berdasarkan data dari Verizon dan IBM, paling berdampak menurunkan risiko dan biaya insiden.

1. Pentest dan Vulnerability Assessment yang Berkelanjutan

Audit sertifikasi mengevaluasi proses. Pentest menguji apakah proses itu benar-benar menghasilkan pertahanan yang efektif.

Dengan eksploitasi kerentanan sebagai vektor serangan nomor satu dan waktu patch yang justru melambat, organisasi tidak bisa lagi mengandalkan pentest setahun sekali menjelang audit. Idealnya, assessment dilakukan setiap kuartal atau setiap kali ada perubahan signifikan di infrastruktur, mencakup aplikasi web dan API, jaringan internal-eksternal, konfigurasi cloud, dan skenario social engineering.

Yang membedakan pentest bernilai dari formalitas belaka adalah tindak lanjutnya. Temuan harus ditindaklanjuti dengan remediasi terukur, diverifikasi ulang, dan dilaporkan ke manajemen. Bukan cuma disimpan di folder yang tidak pernah dibuka.

2. SOC dan Deteksi Real-Time

ISO 27001 mensyaratkan monitoring. Tapi tidak mendefinisikan seberapa cepat atau canggih monitoring itu harus dilakukan. Di 2026, monitoring berkala sudah ketinggalan zaman.

Organisasi yang menggunakan AI dan automasi keamanan bisa menahan insiden 65 hari lebih cepat dan menghemat hampir USD 2 juta. Pelanggaran yang terdeteksi dalam 200 hari pertama rata-rata berbiaya USD 3,87 juta, dibandingkan USD 5,01 juta untuk yang melampaui 200 hari. Selisih 24% itu bukan angka kecil. Kecepatan deteksi adalah faktor pengali biaya paling signifikan.

SOC yang efektif, entah dibangun internal atau lewat managed security service, memberikan visibilitas real-time yang tidak bisa diberikan sertifikasi manapun.

3. AI Governance dan Pengendalian Shadow AI

Inilah celah terbesar ISO 27001 saat ini. Standar versi 2022 belum secara eksplisit mengatur Generative AI.

Shadow AI terlibat dalam 43% insiden keamanan terkait AI, dengan biaya tambahan USD 670.000 per insiden. Dari ratusan ribu kejadian DLP yang dianalisis, source code jadi data yang paling sering bocor lewat platform AI. Dan 92% organisasi yang kena insiden AI tidak punya kontrol akses memadai.

Kabar baiknya: organisasi yang sudah punya SMKI lewat ISO 27001 justru berada di posisi lebih baik untuk mengintegrasikan AI Governance. Fondasi risk assessment, kebijakan, dan continuous improvement sudah ada. Yang perlu dilakukan adalah memperluas cakupannya, inventarisasi penggunaan AI, klasifikasi data, kebijakan penggunaan yang ditegakkan, dan monitoring teknis. ISO/IEC 42001 dan NIST AI RMF bisa jadi acuan.

4. Incident Response yang Teruji, Bukan Sekadar Tertulis

Banyak organisasi punya rencana respons insiden yang memenuhi persyaratan ISO 27001. Tapi ada jurang besar antara dokumen yang tersimpan rapi dan tim yang benar-benar siap saat insiden terjadi.

Organisasi dengan karyawan terlatih dan rencana IR yang teruji menghemat rata-rata USD 1,49 juta per insiden. Testing berkala juga mempersingkat waktu penahanan hingga 54 hari. Pengujian yang bermakna mencakup tabletop exercise dengan skenario realistis, simulasi ransomware lengkap dengan skenario komunikasi krisis, pengujian pemulihan backup di lingkungan terisolasi, dan latihan koordinasi lintas departemen.

Kuncinya: hasil pengujian harus menghasilkan perbaikan nyata. Bukan sekadar checklist yang ditandai selesai.

5. Third-Party Risk Management yang Aktif

Lonjakan 60% keterlibatan pihak ketiga dalam pelanggaran data bukan sinyal yang bisa diabaikan. Evaluasi vendor sekali saat onboarding, meski memenuhi persyaratan ISO 27001, sudah tidak cukup.

Yang dibutuhkan adalah evaluasi keamanan vendor secara berkala, penilaian risiko rantai pasok AI termasuk platform SaaS, klausul keamanan dalam kontrak yang mencakup hak audit dan notifikasi insiden, serta monitoring berkelanjutan terhadap postur keamanan vendor kunci.

Kasus Canvas LMS bicara banyak: keamanan organisasi tidak bisa lebih kuat dari titik terlemah dalam ekosistemnya. Dan titik terlemah itu sering kali bukan di dalam, melainkan di pihak ketiga.

 

Baca juga: Keamanan AI Agent: Jangan Kasih Akses Berlebihan

 

Membangun Postur Keamanan Berlapis: Compliance Sebagai Fondasi, Bukan Akhir

Menyadari compliance bukan keamanan bukan berarti membuang compliance. Justru sebaliknya. ISO 27001 harus jadi titik awal dalam membangun postur keamanan yang benar-benar tangguh.

Pendekatan defense-in-depth bekerja dengan prinsip sederhana: kalau satu lapisan ditembus, masih ada lapisan berikutnya yang menahan, mendeteksi, dan merespons. Berikut struktur lapisannya.

Lapisan	Fokus	Komponen Utama
1. Governance & Kebijakan	Fondasi tata kelola	SMKI, AI governance, integrasi ISO 42001 dan ISO 27701, alignment UU PDP
2. Kontrol Teknis	Pencegahan aktif	Least privilege, enkripsi, MFA, DLP mencakup AI, patch management ketat
3.  Deteksi & Monitoring	Visibilitas real-time	SIEM, SOC 24/7, EDR, monitoring AI usage, threat intelligence
4. Respons & Pemulihan	Ketahanan saat insiden	IR plan teruji, tim dengan peran jelas, komunikasi krisis, DR testing
5.Pengujian Berkelanjutan	Perbaikan terus-menerus	Pentest berkala, red teaming, tabletop exercise, review pasca-insiden

Lapisan pertama adalah domain utama ISO 27001. Pastikan SMKI bukan sekadar ada di atas kertas, tapi benar-benar hidup dan direview secara berkala. Di 2026, cakupan governance harus diperluas untuk mencakup AI, Shadow IT, dan risiko pihak ketiga.

Lapisan kedua soal kontrol teknis. Kebijakan tanpa penegakan teknis, sejujurnya, cuma harapan. Lebih dari separuh organisasi yang mengalami kebocoran ternyata tidak menerapkan enkripsi pada data sensitif mereka. Ini kontrol dasar yang seharusnya sudah ada sejak sertifikasi pertama.

Lapisan ketiga soal deteksi. Pencegahan sempurna itu mustahil. Maka, kemampuan mendeteksi ancaman secara cepat jadi penentu seberapa besar kerugian yang akan diderita. Setiap hari tambahan dalam siklus deteksi dan penahanan secara langsung menambah biaya insiden.

Lapisan keempat soal respons. Ketika insiden terjadi, dan ini masalah “kapan,” bukan “apakah”, kecepatan dan kualitas respons menentukan segalanya. Rencana IR yang cuma tersimpan di folder tidak ada nilainya saat alarm berbunyi.

Dan lapisan kelima: seluruh lapisan di atas harus terus diuji, dievaluasi, dan diperbaiki. Postur keamanan berlapis bukan proyek dengan titik selesai. Ia siklus yang terus berjalan.

Tiga Tahap Perjalanan: Dari Compliance Menuju Resilience

Tahap	Fokus Utama	Indikator Keberhasilan
Compliance	Memenuhi persyaratan standar	Sertifikat diperoleh, audit lulus
Security	Mencegah dan mendeteksi ancaman secara aktif	Waktu deteksi <200 hari, kontrol teknis efektif
Resilience	Bertahan dan pulih dari insiden	Waktu pemulihan terukur, kerugian terkendali, bisnis berlanjut

Sebagian besar organisasi berhenti di tahap pertama. Yang terbaik terus bergerak menuju resilience, kemampuan bukan hanya bertahan, tapi juga pulih dengan cepat dan belajar dari setiap insiden.

 

Kesimpulan

Sertifikasi ISO 27001 itu penting. Ia menunjukkan komitmen organisasi terhadap keamanan informasi dan membangun fondasi tata kelola yang terstruktur. Tidak ada yang meragukan nilainya.

Tapi fondasi bukan bangunan utuh.

Ancaman bergerak lebih cepat, lebih canggih, dan lebih beragam dari apa yang bisa dijangkau sertifikasi manapun secara mandiri. Kerentanan dieksploitasi lebih cepat daripada organisasi menambalnya. Karyawan memakai AI tanpa pengawasan. Vendor jadi pintu masuk serangan. Serangan berbasis AI menciptakan kategori risiko yang belum diatur standar keamanan manapun.

Organisasi yang paham bahwa compliance adalah titik awal, bukan garis finis, dan membangun postur keamanan berlapis di atasnya, akan berada di posisi jauh lebih kuat menghadapi ancaman 2026 dan seterusnya.

Pertanyaannya bukan lagi “sudah compliant belum?”, melainkan “seberapa tangguh perusahaan Anda kalau compliance saja ternyata tidak cukup?”

 

Langkah Selanjutnya: Evaluasi Kesiapan Keamanan Siber Perusahaan Anda

Punya sertifikat ISO 27001 adalah langkah awal yang baik. Tapi untuk memastikan keamanan perusahaan bukan sekadar kepatuhan di atas kertas, diperlukan evaluasi yang lebih dalam dan berkelanjutan.

Sebagai konsultan tata kelola TI dan keamanan siber yang sudah mendampingi berbagai organisasi di Indonesia, Proxsis IT membantu perusahaan Anda melihat melampaui sertifikasi, lewat Cyber Security Maturity Assessment, Penetration Testing, AI Governance Assessment, integrasi ISO 27001 dengan ISO/IEC 42001, NIST CSF, dan UU PDP, hingga pelatihan dan crisis simulation yang memastikan tim Anda siap merespons insiden nyata.

Jangan tunggu sampai insiden membuktikan bahwa compliance saja tidak cukup.

Konsultasikan Postur Keamanan Perusahaan Anda Bersama Proxsis IT →

 

Pertanyaan Umum (FAQ) Seputar ISO 27001 dan Keamanan Siber

ISO 27001 masih relevan kalau tidak menjamin keamanan?

Sangat relevan. ISO 27001 menyediakan fondasi tata kelola yang terstruktur dan diakui internasional. Yang perlu dipahami: sertifikasi ini harus jadi titik awal, bukan satu-satunya strategi. Organisasi yang menggabungkannya dengan pentest berkala, SOC, AI governance, dan incident response yang teruji punya postur keamanan yang jauh lebih kuat.

Bedanya compliance dan security apa?

Compliance fokus pada pemenuhan persyaratan di titik waktu tertentu, seperti lulus audit tahunan. Security fokus pada kemampuan aktual untuk mencegah, mendeteksi, dan merespons ancaman secara terus-menerus. Yang satu statis, yang satu dinamis. Organisasi yang cuma mengejar compliance tanpa membangun kapabilitas security aktif akan selalu punya celah.

Kenapa perusahaan bersertifikasi makin sering kebobolan?

Karena ancaman bergerak jauh lebih cepat dari siklus audit. Eksploitasi kerentanan, serangan AI-enabled, Shadow AI, dan serangan lewat pihak ketiga berkembang tiap bulan, sementara audit sertifikasi cuma setahun sekali. Ditambah lagi, banyak organisasi memperlakukan sertifikasi sebagai tujuan akhir, bukan proses yang hidup.

Langkah pertama apa yang harus diambil perusahaan bersertifikasi untuk memperkuat keamanan?

Lakukan Cyber Security Maturity Assessment untuk tahu posisi sebenarnya, bukan posisi yang tercermin dari sertifikasi. Dari situ, organisasi bisa memprioritaskan area yang paling butuh penguatan: apakah pentest, SOC, AI governance, incident response, atau third-party risk management.

Perusahaan di Indonesia perlu khawatir soal temuan laporan global?

Ya. Indonesia menghadapi ancaman siber yang sama, bahkan kadang lebih intens. Data menunjukkan Indonesia menerima ratusan juta serangan siber tiap tahun. Dan UU PDP yang sudah berlaku menambah dimensi regulasi: kegagalan keamanan bukan cuma masalah operasional, tapi juga masalah hukum dengan sanksi finansial yang signifikan.