Jam-jam pertama menentukan segalanya
Sebagian besar kerugian akibat insiden siber tidak terjadi pada saat penyerang pertama kali masuk. Kerugian membesar pada jam-jam dan hari-hari berikutnya, ketika tidak ada yang menyadari, atau ketika orang yang menyadari tidak tahu harus berbuat apa. Seorang staf yang panik mematikan server, menghapus berkas mencurigakan, atau memformat ulang komputer dengan niat baik, dan tanpa sadar menghancurkan bukti yang dibutuhkan untuk memahami serangan.
Di sinilah incident response dan digital forensik berperan. Keduanya sering disebut bersamaan sebagai DFIR, dan meskipun saling terkait, keduanya menjawab pertanyaan yang berbeda.
Dua disiplin yang berbeda tetapi saling terkait
Incident response berfokus pada tindakan. Tujuannya menghentikan serangan yang sedang berlangsung, membatasi kerusakan, dan mengembalikan operasi bisnis secepat mungkin dengan cara yang aman. Ini pekerjaan yang bergerak cepat dan berorientasi keputusan.
Digital forensik berfokus pada bukti. Tujuannya menjawab dengan tepat apa yang terjadi, kapan penyerang masuk, jalur mana yang mereka gunakan, data apa yang tersentuh, dan apakah mereka masih ada di dalam sistem. Pekerjaan ini menuntut kehati-hatian karena hasilnya bisa menjadi dasar keputusan hukum, klaim asuransi, atau laporan kepada regulator.
Dalam praktiknya keduanya berjalan berdampingan. Tim respons perlu memahami cukup banyak tentang serangan untuk menahannya dengan benar, dan tim forensik perlu memastikan tindakan penahanan tidak merusak bukti yang mereka butuhkan.
Enam tahap penanganan insiden
Kerangka yang banyak digunakan, termasuk oleh NIST, membagi penanganan insiden menjadi beberapa tahap yang saling menyambung. Memahami urutan ini membantu tim Anda bergerak tenang saat tekanan sedang tinggi.
Semuanya dimulai jauh sebelum insiden terjadi, yaitu pada tahap persiapan, ketika Anda menyusun rencana, menentukan peran, dan memastikan log tersimpan dengan baik. Ketika sesuatu terjadi, tahap deteksi dan analisis menentukan apakah ini benar insiden dan seberapa parah. Setelah itu tim melakukan penahanan untuk mencegah penyebaran, diikuti pemberantasan untuk menghapus jejak penyerang dari sistem, lalu pemulihan untuk mengembalikan layanan dengan aman. Tahap terakhir, yang paling sering dilewati, adalah evaluasi setelah insiden untuk memahami akar masalah dan memperbaiki kelemahan agar kejadian serupa tidak terulang.
Organisasi yang melewatkan tahap persiapan dan evaluasi cenderung mengalami insiden yang sama berulang kali dengan bentuk yang sedikit berbeda.
Mengapa kesiapan lebih murah daripada penanganan darurat
Menyewa tim forensik saat insiden sedang berlangsung selalu lebih mahal dan lebih lambat daripada menyiapkannya lebih dulu. Tanpa persiapan, jam-jam pertama habis untuk hal-hal administratif seperti mencari kontak yang tepat, menyepakati kontrak, dan menjelaskan lingkungan sistem dari nol, padahal di saat yang sama penyerang terus bergerak.
Banyak perusahaan Indonesia kini memilih retainer respons insiden, yaitu perjanjian yang menjamin tim ahli siap dihubungi dengan waktu respons yang disepakati. Dengan pengaturan ini, tim yang menangani sudah mengenal lingkungan Anda sebelum terjadi masalah. Pendekatan ini sejalan dengan alasan mengapa banyak organisasi memindahkan pemantauan ke SOC sebagai layanan, karena deteksi dini adalah yang membuat penanganan menjadi mungkin sejak awal.
Kewajiban hukum yang tidak boleh diabaikan
Di Indonesia, penanganan insiden tidak berhenti pada aspek teknis. Undang-Undang Pelindungan Data Pribadi mewajibkan pengendali data memberi tahu pemilik data dan otoritas terkait paling lambat 3x24 jam sejak diketahuinya kebocoran data pribadi. Bagi bank dan lembaga jasa keuangan, ketentuan OJK menambahkan kewajiban pelaporan insiden tersendiri.
Artinya, saat insiden terjadi, jam bukan hanya berdetak untuk tim teknis, tetapi juga untuk tim hukum dan komunikasi. Rencana respons yang matang menyatukan ketiganya sehingga keputusan pelaporan diambil berdasarkan fakta, bukan tebakan. Kami membahas kewajiban pelaporan ini lebih dalam dalam perbandingan antara UU PDP dan GDPR.
Kesalahan yang harus dihindari di jam-jam pertama
Beberapa reaksi yang tampak masuk akal justru memperburuk keadaan. Mematikan sistem yang terinfeksi bisa menghapus bukti yang tersimpan di memori. Menghapus berkas mencurigakan menghilangkan jejak yang dibutuhkan untuk memahami serangan. Membayar tebusan tanpa berkonsultasi dengan ahli sering kali tidak memulihkan data dan justru menandai organisasi Anda sebagai target yang mau membayar.
Tindakan yang benar di jam-jam pertama adalah mengisolasi sistem terdampak dari jaringan tanpa mematikannya, menghubungi tim respons, dan mencatat setiap tindakan yang dilakukan beserta waktunya. Dokumentasi sederhana ini kelak menjadi tulang punggung investigasi forensik dan laporan kepada regulator.
Menyiapkan bisnis Anda sebelum insiden datang
Pertanyaan yang tepat bukan apakah insiden akan terjadi, melainkan seberapa siap organisasi Anda ketika itu terjadi. Kesiapan dimulai dari hal-hal sederhana seperti memastikan log tersimpan, menetapkan siapa yang berwenang mengambil keputusan, dan menyepakati siapa yang harus dihubungi di luar jam kerja.
Layanan incident response kami menggabungkan penahanan cepat dengan investigasi forensik yang bisa dipertanggungjawabkan secara hukum, didukung analis yang memahami kewajiban pelaporan di Indonesia. Jika Anda belum memiliki rencana respons yang tertulis dan teruji, titik awal terbaik adalah membuat satu skenario sederhana dan menanyakan siapa yang akan mengangkat telepon pada pukul dua pagi.