Bagian
Referensi: CIS Critical Security Controls® v8.1 (dirilis Juni 2024) Penerbit: Center for Internet Security (CIS) — organisasi nirlaba
Di antara sekian banyak framework keamanan yang tersedia — ISO 27001, NIST CSF, COBIT, SOC 2 — CIS Controls memiliki satu keunggulan yang sering diabaikan: ia berbicara dalam bahasa tindakan, bukan kebijakan.
Sementara ISO 27001 membahas "apa yang harus dikelola", CIS Controls membahas "apa yang harus dilakukan" — dengan sangat spesifik, terurut berdasarkan prioritas, dan dirancang berdasarkan data nyata tentang bagaimana serangan siber paling umum terjadi dan bagaimana cara menghentikannya.
Lahir dari inisiatif komunitas praktisi keamanan global yang frustrasi dengan panduan yang terlalu teoretis, CIS Controls kini menjadi salah satu kerangka keamanan yang paling banyak diadopsi di dunia — digunakan oleh organisasi dari skala startup hingga enterprise Fortune 500, dari instansi pemerintah hingga infrastruktur kritis nasional.
CIS Controls v8.1 adalah versi terbaru, dirilis Juni 2024, yang mencerminkan lingkungan IT modern termasuk cloud, hybrid, remote workforce, dan pengamanan supply chain.
CIS Critical Security Controls (CIS Controls) adalah kumpulan praktik terbaik keamanan siber yang terurut berdasarkan prioritas — dirancang untuk membantu organisasi membangun dan meningkatkan program keamanan mereka secara sistematis dan terukur.
Dikembangkan oleh Center for Internet Security (CIS) — sebuah organisasi nirlaba berbasis di East Greenbush, New York, AS — CIS Controls dipilih, diurutkan, dan diperbarui berdasarkan dua prinsip utama:
Berbasis Data Serangan Nyata: Setiap kontrol dipilih berdasarkan analisis tentang serangan yang paling sering terjadi dan cara efektif untuk menghentikannya. Kontrol yang tidak terbukti efektif melawan ancaman nyata tidak masuk dalam daftar.
Actionable dan Terukur: Setiap safeguard (tindakan spesifik dalam setiap kontrol) dirancang untuk dapat diimplementasikan, diverifikasi, dan diukur — bukan sekadar pernyataan niat.
Versi | Tahun | Highlight Perubahan |
|---|---|---|
SANS Top 20 | 2008–2014 | Versi awal, dikelola oleh SANS Institute |
CIS Controls v6 | 2015 | Transisi ke CIS, 20 controls |
CIS Controls v7 | 2018 | Refinement signifikan, tetap 20 controls |
CIS Controls v7.1 | 2019 | Update inkremental |
CIS Controls v8 | 2021 | Konsolidasi besar: 20 → 18 controls, pendekatan berbasis aktivitas |
CIS Controls v8.1 | Juni 2024 | Governance function, alignment NIST CSF 2.0, asset classes baru |
CIS Controls v8.1 adalah update inkremental terhadap v8, dengan tiga prinsip desain: context (konteks yang lebih kaya), clarity (kejelasan dan alignment dengan framework lain), dan consistency (kontinuitas bagi pengguna existing).
Perubahan signifikan di v8.1:
Menambahkan fungsi keamanan "Governance" baru dan asset classes yang diperbarui, menyelaraskan dengan NIST CSF 2.0
Realignment mapping ke NIST CSF 2.0 yang memperkenalkan "Govern" sebagai fungsi ke-6
Definisi glossary yang diperluas untuk istilah-istilah kunci
Panduan cloud security yang lebih robust
Penekanan lebih kuat pada supply chain security
CIS Controls diorganisasi dalam tiga kelompok besar yang mencerminkan prioritas implementasi
Control 1: Inventory and Control of Enterprise Assets
Kelola secara aktif semua aset enterprise yang terhubung ke infrastruktur — fisik, virtual, remote, dan cloud — agar selalu mengetahui apa yang harus dipantau dan dilindungi. Prinsip sederhana namun sering diabaikan: Anda tidak bisa melindungi apa yang tidak Anda ketahui ada.
Control 2: Inventory and Control of Software Assets
Lacak semua software yang diizinkan dan yang tidak diizinkan berjalan dalam organisasi. Software yang tidak terotorisasi adalah risiko — baik sebagai vektor serangan maupun sumber kerentanan yang tidak terpantau.
Control 3: Data Protection
Kembangkan proses untuk mengidentifikasi, mengklasifikasikan, menangani, menyimpan, dan menghapus data secara aman. Data adalah aset yang paling berharga dan paling sering menjadi target — perlindungannya harus dimulai dari pemahaman tentang apa yang dimiliki dan di mana letaknya.
Control 4: Secure Configuration of Enterprise Assets and Software
Tetapkan dan pertahankan konfigurasi yang aman untuk semua hardware dan software. Konfigurasi default hampir selalu tidak aman — hardening adalah tindakan aktif yang harus dilakukan sebelum deployment.
Control 5: Account Management
Kelola siklus hidup akun pengguna dan administrator — dari pembuatan, modifikasi, hingga penghapusan. Akun yang tidak dikelola dengan baik adalah pintu masuk yang sering diabaikan.
Control 6: Access Control Management
Buat dan pertahankan inventaris sistem autentikasi dan otorisasi. Terapkan akses berbasis peran dan least privilege. Kontrol akses yang konsisten adalah fondasi keamanan identitas.
Control 7: Continuous Vulnerability Management
Lakukan pemindaian kerentanan secara berkelanjutan dan ambil tindakan remediasi yang terukur. Kerentanan yang tidak ditangani adalah undangan terbuka bagi penyerang.
Control 8: Audit Log Management
Kumpulkan, kelola, dan analisis log audit dari seluruh lingkungan. Log yang tidak ada atau tidak dianalisis membuat serangan tidak terdeteksi — terkadang selama berbulan-bulan.
Control 9: Email and Web Browser Protections
Tingkatkan perlindungan terhadap ancaman berbasis email dan web browser — vektor serangan yang paling umum digunakan untuk menjangkau pengguna akhir melalui phishing, malicious links, dan drive-by downloads.
Control 10: Malware Defenses
Kendalikan instalasi, penyebaran, dan eksekusi kode berbahaya di berbagai titik dalam enterprise. Defense berlapis — endpoint, email, network — lebih efektif dari perlindungan satu lapisan saja.
Control 11: Data Recovery
Pastikan bahwa data dan konfigurasi sistem dapat dipulihkan dengan cepat dan andal. Backup bukan hanya untuk bencana alam — backup adalah pertahanan kritis terhadap ransomware dan sabotase.
Control 12: Network Infrastructure Management
Kelola infrastruktur jaringan secara aktif — router, switch, firewall, DNS — agar tetap aman, terkonfigurasi dengan benar, dan dipantau. Jaringan adalah tulang punggung seluruh operasi digital.
Control 13: Network Monitoring and Defense
Operasikan proses dan tools untuk memonitor dan mempertahankan jaringan terhadap serangan. Deteksi ancaman jaringan secara real-time mempersingkat waktu respons secara dramatis.
Control 14: Security Awareness and Skills Training
Bangun dan pertahankan program pelatihan keamanan yang memastikan seluruh workforce memiliki pengetahuan dan keterampilan yang diperlukan untuk mengidentifikasi dan merespons ancaman.
Control 15: Service Provider Management
Kembangkan proses untuk mengevaluasi, memonitor, dan mempertahankan akses yang tepat terhadap aset yang dikelola oleh service provider eksternal. Vendor adalah attack surface yang sering dieksploitasi.
Control 16: Application Software Security
Kelola siklus hidup keamanan semua software yang dikembangkan atau diperoleh secara internal — mengintegrasikan keamanan ke dalam proses pengembangan dan procurement.
Control 17: Incident Response Management
Tetapkan program respons insiden yang komprehensif — termasuk rencana, prosedur, pelatihan, dan simulasi. Bukan jika insiden terjadi, tetapi ketika.
Control 18: Penetration Testing
Uji ketahanan pertahanan melalui simulasi serangan yang terkontrol untuk mengidentifikasi kelemahan sebelum penyerang nyata menemukannya.
Salah satu kekuatan terbesar CIS Controls adalah sistem Implementation Groups yang memungkinkan organisasi memulai dari level yang sesuai dengan kapabilitas dan risikonya:
IG1 — Basic | IG2 — Foundational | IG3 — Organizational | |
|---|---|---|---|
Target | Semua organisasi, terutama UMKM | Organisasi dengan tim IT dedicated | Organisasi dengan risiko tinggi dan tim matang |
Jumlah Safeguards | 56 | 130 (56 IG1 + 74 tambahan) | 153 (semua safeguards) |
Profil risiko | Data terbatas, operasi sederhana | Data sensitif, regulasi tertentu | Data kritis, target bernilai tinggi |
Contoh | Klinik, toko retail, usaha kecil | Perusahaan menengah, layanan profesional | Bank, infrastruktur kritis, enterprise |
Fokus utama | Cyber hygiene dasar | Keamanan operasional | Program keamanan komprehensif |
IG1 adalah minimum yang harus dicapai setiap organisasi — 56 safeguards yang jika diimplementasikan dengan benar, melindungi dari sebagian besar serangan siber yang umum terjadi. Data CIS menunjukkan bahwa implementasi IG1 yang konsisten dapat mengurangi risiko serangan yang berhasil hingga 85%.
CIS Controls v8.1 dirancang untuk bekerja secara harmonis dengan framework lain yang mungkin sudah diadopsi organisasi:
Framework | Hubungan dengan CIS Controls |
|---|---|
NIST CSF 2.0 | Mapping penuh tersedia; v8.1 menambahkan "Govern" function sesuai NIST CSF 2.0 |
ISO 27001:2022 | CIS Controls melengkapi ISO 27001 — lebih teknis dan actionable |
PCI-DSS v4.0 | CIS Controls IG2/IG3 mencakup sebagian besar persyaratan PCI-DSS |
HIPAA | CIS Controls IG2 mencakup sebagian besar safeguard HIPAA teknis |
SOC 2 | CIS Controls mendukung pencapaian SOC 2 Trust Service Criteria |
OWASP Top 10 | Control 16 (Application Software Security) langsung mereferensikan OWASP |
UU PDP Indonesia | CIS Controls IG1/IG2 mendukung kepatuhan teknis UU PDP |
POJK MRTI | CIS Controls memberikan panduan teknis yang mendukung kepatuhan POJK |
Posisi CIS Controls dalam ekosistem: Jika ISO 27001 adalah kerangka manajemen (ISMS) dan NIST CSF adalah model konseptual, CIS Controls adalah panduan teknis operasional yang menjawab pertanyaan "bagaimana tepatnya?" dengan sangat konkret.
ISO 27001 menyatakan: "Organisasi harus melindungi informasi dari akses yang tidak sah."
CIS Controls menyatakan (Control 5, Safeguard 5.3): "Nonaktifkan akun setelah periode tidak aktif yang telah ditetapkan tidak melebihi 45 hari." — dengan target implementasi group, jenis aset yang berlaku, dan fungsi keamanan yang dipenuhi.
Perbedaan ini adalah fundamental. CIS Controls memberikan:
Tindakan spesifik yang dapat diassign ke tim tertentu
Metrik keberhasilan yang jelas dan terukur
Prioritas berbasis risiko sehingga resource dialokasikan ke kontrol yang paling berdampak
Implementation Groups yang realistic untuk berbagai kapabilitas organisasi
Dengan update CIS Controls v8.1, topik governance kini secara spesifik diidentifikasi sebagai rekomendasi yang dapat diimplementasikan untuk meningkatkan tata kelola program cybersecurity. Ini merespons NIST CSF 2.0 yang menambahkan "Govern" sebagai fungsi ke-6 — mengakui bahwa tanpa governance yang kuat, implementasi teknis tidak akan berkelanjutan.
Seiring organisasi terus bermigrasi ke cloud, v8.1 memperkenalkan panduan yang lebih robust untuk mengelola risiko keamanan cloud, termasuk manajemen konfigurasi yang lebih baik, penilaian cloud provider, dan pengamanan komponen infrastruktur cloud.
Serangan siber yang menargetkan supply chain semakin prevalens, dengan penyerang sering menggunakan vendor pihak ketiga sebagai backdoor ke organisasi yang lebih besar. Control 15 (Service Provider Management) mendapat penekanan lebih signifikan.
v8.1 menekankan integrasi tools otomatis untuk continuous monitoring dan threat detection, memungkinkan identifikasi insiden keamanan yang lebih cepat dan respons yang lebih efisien.
Regulasi Indonesia | CIS Controls yang Relevan |
|---|---|
UU PDP No. 27/2022 | Control 3 (Data Protection), Control 6 (Access Control), Control 8 (Audit Log), Control 17 (Incident Response) |
POJK No. 11/2022 | Control 1–7 (Foundational), Control 8 (Log), Control 17 (IR), Control 18 (Pentest) |
SE OJK No. 29/2022 | IG2 secara komprehensif mencakup persyaratan teknis POJK |
BSSN Framework | CIS Controls IG1 sejalan dengan baseline BSSN untuk sistem elektronik |
Permenkominfo PSE | Control 3, 5, 6, 17 mendukung kepatuhan teknis PSE |
Sektor yang sudah mengadopsi (partial/penuh)
Perbankan dan keuangan — didorong regulasi OJK
Telekomunikasi — sebagian driven oleh BSSN
BUMN strategis — terutama sektor energi dan infrastruktur
Sektor yang masih sangat awal
Pemerintah daerah dan instansi non-strategis
Perusahaan manufaktur dan retail
Startup dan perusahaan teknologi (ironisnya — meski tech-savvy, governance keamanan sering diabaikan)
Layanan kesehatan
Gap yang paling umum ditemukan di Indonesia
Control 1 & 2: Tidak ada inventaris aset yang akurat dan terkini
Control 3: Klasifikasi data hampir tidak pernah ada
Control 7: Vulnerability management sporadis, bukan berkelanjutan
Control 17: Incident Response Plan ada di atas kertas tapi tidak pernah dilatih
Control 18: Penetration testing dilakukan hanya saat ada tekanan audit
Bagi organisasi yang belum memiliki program keamanan formal, berikut roadmap realistis untuk mencapai IG1:
Lakukan inventarisasi aset: semua perangkat yang terhubung ke jaringan (Control 1)
Lakukan inventarisasi software: semua aplikasi yang terinstall (Control 2)
Identifikasi data sensitif dan di mana disimpan (Control 3)
Output: daftar aset, daftar software, peta data
Terapkan hardening pada semua aset menggunakan CIS Benchmarks (Control 4)
Nonaktifkan akun yang tidak aktif, ganti default passwords (Control 5)
Review dan batasi hak akses — terapkan least privilege (Control 6)
Output: konfigurasi baseline, kebijakan akun
Jalankan vulnerability scanner pertama, buat remediation plan (Control 7)
Aktifkan dan centralize logging dari semua sistem utama (Control 8)
Deploy email filtering dan web proxy/filter (Control 9)
Pastikan antivirus/EDR aktif dan ter-update di semua endpoint (Control 10)
Output: laporan kerentanan pertama, logging aktif, proteksi email/web
Verifikasi dan uji backup untuk semua data kritis (Control 11)
Dokumentasikan topologi jaringan dan segmentasi dasar (Control 12)
Buat Incident Response Plan yang sederhana namun konkret (Control 17)
Lakukan security awareness training untuk seluruh karyawan (Control 14)
Output: backup terverifikasi, IRP dokumentasi, semua staff terlatih
Program CIS Controls yang matang harus dapat menjawab pertanyaan-pertanyaan ini dengan angka:
Metrik | Target IG1 | Target IG2 | Target IG3 |
|---|---|---|---|
% aset terdokumentasi dalam inventaris | > 90% | > 95% | 100% |
% software terautorisasi yang berjalan | > 90% | > 95% | 100% |
% aset dengan konfigurasi hardened | > 80% | > 90% | > 95% |
MTTD (Mean Time to Detect) insiden | < 30 hari | < 7 hari | < 24 jam |
% kerentanan critical di-patch dalam SLA | > 70% | > 85% | > 95% |
% karyawan yang menyelesaikan security training | > 80% | > 90% | 100% |
Waktu recovery dari backup | Terdokumentasi | < 24 jam | < 4 jam |
Pertanyaan yang sering muncul: "Kami sudah mengacu OWASP Top 10 — apakah masih perlu CIS Controls?"
Jawabannya: ya, keduanya melengkapi satu sama lain karena fokusnya berbeda:
Aspek | OWASP Top 10 | CIS Controls |
|---|---|---|
Fokus | Kerentanan aplikasi web | Program keamanan organisasi secara menyeluruh |
Audiens primer | Developer, security engineer | CISO, IT manager, eksekutif |
Cakupan | Layer aplikasi | Seluruh stack: aset, jaringan, pengguna, proses |
Pendekatan | Berbasis ancaman | Berbasis kontrol dan tindakan |
Granularitas | Sangat teknis per kategori kerentanan | Operasional dan strategis |
Pertanyaan dijawab | "Kerentanan apa yang harus dihindari?" | "Kontrol apa yang harus ada?" |
Idealnya: Gunakan CIS Controls sebagai kerangka program keamanan organisasi, dan OWASP Top 10 sebagai standar teknis spesifik untuk tim development dalam konteks Control 16 (Application Software Security).
Control | Tools / Solusi | Kehadiran Indonesia |
|---|---|---|
C1-C2 (Asset Inventory) | Axonius, Lansweeper, Nmap (open-source) | ⚠️ / Self-managed |
C3 (Data Protection) | Microsoft Purview, Forcepoint DLP | ✅ Tier 1 / ⚠️ |
C4 (Secure Config) | CIS-CAT Pro, Tenable, Qualys | ✅ via partner |
C5-C6 (Account & Access) | Microsoft Entra ID, IBM Verify | ✅ Tier 1 |
C7 (Vulnerability Mgmt) | Tenable, Qualys, Rapid7 | ✅ via partner |
C8 (Audit Log) | Microsoft Sentinel, IBM QRadar | ✅ Tier 1 |
C9 (Email/Web) | Microsoft Defender, Trend Micro | ✅ Tier 1 |
C10 (Malware) | CrowdStrike, Trend Micro, Microsoft Defender | ✅ Tier 1 |
C11 (Data Recovery) | Veeam, Commvault, Cohesity | ⚠️ / ✅ |
C12-C13 (Network) | Palo Alto, Fortinet, F5 | ✅ Tier 1 |
C15 (Service Provider) | OneTrust, ProcessUnity GRC | ⚠️ / ❌ |
C16 (App Security) | Checkmarx, SonarQube, ZAP | ⚠️ / Self-managed |
C17 (Incident Response) | IBM Resilient, ServiceNow SIR | ✅ Tier 1/2 |
C18 (Pentest) | Packet Systems Indonesia, Xynexis, Defender ID | ✅ Lokal |
Platform | Fungsi | Indonesia |
|---|---|---|
CIS-CAT Pro | Assessment resmi CIS Controls | Via CIS langsung |
Tenable One | Exposure management + CIS mapping | ✅ via partner |
Qualys TruRisk | Vulnerability + CIS compliance | ✅ via partner |
Microsoft Defender 365 | Mencakup banyak safeguard IG1/IG2 | ✅ Tier 1 |
Palo Alto Cortex | Network + endpoint + cloud (IG2/3) | ✅ Tier 1 |
Lima pertanyaan untuk mengukur kematangan implementasi CIS Controls dalam organisasi:
"Apakah kita memiliki inventaris yang akurat dan real-time dari semua perangkat yang terhubung ke jaringan kita — termasuk laptop remote, IoT, dan cloud instances?" (Control 1)
"Berapa lama waktu yang dibutuhkan untuk menonaktifkan semua akses karyawan yang resign hari ini — termasuk akses ke 20+ SaaS yang digunakan?" (Control 5, 6)
"Kapan terakhir kali kita memverifikasi bahwa semua backup data kritis bisa dipulihkan — bukan hanya bahwa backup berjalan?" (Control 11)
"Apakah semua karyawan telah menyelesaikan security awareness training dalam 12 bulan terakhir, dan apakah kita tahu siapa saja yang paling rentan terhadap phishing?" (Control 14)
"Apakah Incident Response Plan kita pernah diuji melalui tabletop exercise — dan siapa yang harus dihubungi di jam 2 pagi jika kita mengalami ransomware attack?" (Control 17)
CIS Controls bukanlah tujuan akhir dari program keamanan — melainkan fondasi yang solid dari mana program keamanan yang lebih mature dapat dibangun. Organisasi yang mengimplementasikan IG1 dengan konsisten telah menyelesaikan "pekerjaan rumah" keamanan dasar yang masih diabaikan oleh mayoritas organisasi di dunia.
Di Indonesia, di mana regulasi keamanan siber semakin diperketat melalui UU PDP, POJK, dan standar BSSN, CIS Controls memberikan jalur implementasi yang paling konkret dan terukur untuk memenuhi persyaratan teknis yang sering terasa abstrak dalam teks regulasi.
Pesannya sederhana: mulailah dari IG1, implementasikan secara konsisten, ukur kemajuannya, dan tingkatkan secara bertahap. Program keamanan yang sederhana namun dijalankan dengan disiplin jauh lebih efektif dari program yang komprehensif namun hanya ada di atas kertas.
Bagian
Referensi: CIS Critical Security Controls® v8.1 (dirilis Juni 2024) Penerbit: Center for Internet Security (CIS) — organisasi nirlaba
Di antara sekian banyak framework keamanan yang tersedia — ISO 27001, NIST CSF, COBIT, SOC 2 — CIS Controls memiliki satu keunggulan yang sering diabaikan: ia berbicara dalam bahasa tindakan, bukan kebijakan.
Sementara ISO 27001 membahas "apa yang harus dikelola", CIS Controls membahas "apa yang harus dilakukan" — dengan sangat spesifik, terurut berdasarkan prioritas, dan dirancang berdasarkan data nyata tentang bagaimana serangan siber paling umum terjadi dan bagaimana cara menghentikannya.
Lahir dari inisiatif komunitas praktisi keamanan global yang frustrasi dengan panduan yang terlalu teoretis, CIS Controls kini menjadi salah satu kerangka keamanan yang paling banyak diadopsi di dunia — digunakan oleh organisasi dari skala startup hingga enterprise Fortune 500, dari instansi pemerintah hingga infrastruktur kritis nasional.
CIS Controls v8.1 adalah versi terbaru, dirilis Juni 2024, yang mencerminkan lingkungan IT modern termasuk cloud, hybrid, remote workforce, dan pengamanan supply chain.
CIS Critical Security Controls (CIS Controls) adalah kumpulan praktik terbaik keamanan siber yang terurut berdasarkan prioritas — dirancang untuk membantu organisasi membangun dan meningkatkan program keamanan mereka secara sistematis dan terukur.
Dikembangkan oleh Center for Internet Security (CIS) — sebuah organisasi nirlaba berbasis di East Greenbush, New York, AS — CIS Controls dipilih, diurutkan, dan diperbarui berdasarkan dua prinsip utama:
Berbasis Data Serangan Nyata: Setiap kontrol dipilih berdasarkan analisis tentang serangan yang paling sering terjadi dan cara efektif untuk menghentikannya. Kontrol yang tidak terbukti efektif melawan ancaman nyata tidak masuk dalam daftar.
Actionable dan Terukur: Setiap safeguard (tindakan spesifik dalam setiap kontrol) dirancang untuk dapat diimplementasikan, diverifikasi, dan diukur — bukan sekadar pernyataan niat.
Versi | Tahun | Highlight Perubahan |
|---|---|---|
SANS Top 20 | 2008–2014 | Versi awal, dikelola oleh SANS Institute |
CIS Controls v6 | 2015 | Transisi ke CIS, 20 controls |
CIS Controls v7 | 2018 | Refinement signifikan, tetap 20 controls |
CIS Controls v7.1 | 2019 | Update inkremental |
CIS Controls v8 | 2021 | Konsolidasi besar: 20 → 18 controls, pendekatan berbasis aktivitas |
CIS Controls v8.1 | Juni 2024 | Governance function, alignment NIST CSF 2.0, asset classes baru |
CIS Controls v8.1 adalah update inkremental terhadap v8, dengan tiga prinsip desain: context (konteks yang lebih kaya), clarity (kejelasan dan alignment dengan framework lain), dan consistency (kontinuitas bagi pengguna existing).
Perubahan signifikan di v8.1:
Menambahkan fungsi keamanan "Governance" baru dan asset classes yang diperbarui, menyelaraskan dengan NIST CSF 2.0
Realignment mapping ke NIST CSF 2.0 yang memperkenalkan "Govern" sebagai fungsi ke-6
Definisi glossary yang diperluas untuk istilah-istilah kunci
Panduan cloud security yang lebih robust
Penekanan lebih kuat pada supply chain security
CIS Controls diorganisasi dalam tiga kelompok besar yang mencerminkan prioritas implementasi
Control 1: Inventory and Control of Enterprise Assets
Kelola secara aktif semua aset enterprise yang terhubung ke infrastruktur — fisik, virtual, remote, dan cloud — agar selalu mengetahui apa yang harus dipantau dan dilindungi. Prinsip sederhana namun sering diabaikan: Anda tidak bisa melindungi apa yang tidak Anda ketahui ada.
Control 2: Inventory and Control of Software Assets
Lacak semua software yang diizinkan dan yang tidak diizinkan berjalan dalam organisasi. Software yang tidak terotorisasi adalah risiko — baik sebagai vektor serangan maupun sumber kerentanan yang tidak terpantau.
Control 3: Data Protection
Kembangkan proses untuk mengidentifikasi, mengklasifikasikan, menangani, menyimpan, dan menghapus data secara aman. Data adalah aset yang paling berharga dan paling sering menjadi target — perlindungannya harus dimulai dari pemahaman tentang apa yang dimiliki dan di mana letaknya.
Control 4: Secure Configuration of Enterprise Assets and Software
Tetapkan dan pertahankan konfigurasi yang aman untuk semua hardware dan software. Konfigurasi default hampir selalu tidak aman — hardening adalah tindakan aktif yang harus dilakukan sebelum deployment.
Control 5: Account Management
Kelola siklus hidup akun pengguna dan administrator — dari pembuatan, modifikasi, hingga penghapusan. Akun yang tidak dikelola dengan baik adalah pintu masuk yang sering diabaikan.
Control 6: Access Control Management
Buat dan pertahankan inventaris sistem autentikasi dan otorisasi. Terapkan akses berbasis peran dan least privilege. Kontrol akses yang konsisten adalah fondasi keamanan identitas.
Control 7: Continuous Vulnerability Management
Lakukan pemindaian kerentanan secara berkelanjutan dan ambil tindakan remediasi yang terukur. Kerentanan yang tidak ditangani adalah undangan terbuka bagi penyerang.
Control 8: Audit Log Management
Kumpulkan, kelola, dan analisis log audit dari seluruh lingkungan. Log yang tidak ada atau tidak dianalisis membuat serangan tidak terdeteksi — terkadang selama berbulan-bulan.
Control 9: Email and Web Browser Protections
Tingkatkan perlindungan terhadap ancaman berbasis email dan web browser — vektor serangan yang paling umum digunakan untuk menjangkau pengguna akhir melalui phishing, malicious links, dan drive-by downloads.
Control 10: Malware Defenses
Kendalikan instalasi, penyebaran, dan eksekusi kode berbahaya di berbagai titik dalam enterprise. Defense berlapis — endpoint, email, network — lebih efektif dari perlindungan satu lapisan saja.
Control 11: Data Recovery
Pastikan bahwa data dan konfigurasi sistem dapat dipulihkan dengan cepat dan andal. Backup bukan hanya untuk bencana alam — backup adalah pertahanan kritis terhadap ransomware dan sabotase.
Control 12: Network Infrastructure Management
Kelola infrastruktur jaringan secara aktif — router, switch, firewall, DNS — agar tetap aman, terkonfigurasi dengan benar, dan dipantau. Jaringan adalah tulang punggung seluruh operasi digital.
Control 13: Network Monitoring and Defense
Operasikan proses dan tools untuk memonitor dan mempertahankan jaringan terhadap serangan. Deteksi ancaman jaringan secara real-time mempersingkat waktu respons secara dramatis.
Control 14: Security Awareness and Skills Training
Bangun dan pertahankan program pelatihan keamanan yang memastikan seluruh workforce memiliki pengetahuan dan keterampilan yang diperlukan untuk mengidentifikasi dan merespons ancaman.
Control 15: Service Provider Management
Kembangkan proses untuk mengevaluasi, memonitor, dan mempertahankan akses yang tepat terhadap aset yang dikelola oleh service provider eksternal. Vendor adalah attack surface yang sering dieksploitasi.
Control 16: Application Software Security
Kelola siklus hidup keamanan semua software yang dikembangkan atau diperoleh secara internal — mengintegrasikan keamanan ke dalam proses pengembangan dan procurement.
Control 17: Incident Response Management
Tetapkan program respons insiden yang komprehensif — termasuk rencana, prosedur, pelatihan, dan simulasi. Bukan jika insiden terjadi, tetapi ketika.
Control 18: Penetration Testing
Uji ketahanan pertahanan melalui simulasi serangan yang terkontrol untuk mengidentifikasi kelemahan sebelum penyerang nyata menemukannya.
Salah satu kekuatan terbesar CIS Controls adalah sistem Implementation Groups yang memungkinkan organisasi memulai dari level yang sesuai dengan kapabilitas dan risikonya:
IG1 — Basic | IG2 — Foundational | IG3 — Organizational | |
|---|---|---|---|
Target | Semua organisasi, terutama UMKM | Organisasi dengan tim IT dedicated | Organisasi dengan risiko tinggi dan tim matang |
Jumlah Safeguards | 56 | 130 (56 IG1 + 74 tambahan) | 153 (semua safeguards) |
Profil risiko | Data terbatas, operasi sederhana | Data sensitif, regulasi tertentu | Data kritis, target bernilai tinggi |
Contoh | Klinik, toko retail, usaha kecil | Perusahaan menengah, layanan profesional | Bank, infrastruktur kritis, enterprise |
Fokus utama | Cyber hygiene dasar | Keamanan operasional | Program keamanan komprehensif |
IG1 adalah minimum yang harus dicapai setiap organisasi — 56 safeguards yang jika diimplementasikan dengan benar, melindungi dari sebagian besar serangan siber yang umum terjadi. Data CIS menunjukkan bahwa implementasi IG1 yang konsisten dapat mengurangi risiko serangan yang berhasil hingga 85%.
CIS Controls v8.1 dirancang untuk bekerja secara harmonis dengan framework lain yang mungkin sudah diadopsi organisasi:
Framework | Hubungan dengan CIS Controls |
|---|---|
NIST CSF 2.0 | Mapping penuh tersedia; v8.1 menambahkan "Govern" function sesuai NIST CSF 2.0 |
ISO 27001:2022 | CIS Controls melengkapi ISO 27001 — lebih teknis dan actionable |
PCI-DSS v4.0 | CIS Controls IG2/IG3 mencakup sebagian besar persyaratan PCI-DSS |
HIPAA | CIS Controls IG2 mencakup sebagian besar safeguard HIPAA teknis |
SOC 2 | CIS Controls mendukung pencapaian SOC 2 Trust Service Criteria |
OWASP Top 10 | Control 16 (Application Software Security) langsung mereferensikan OWASP |
UU PDP Indonesia | CIS Controls IG1/IG2 mendukung kepatuhan teknis UU PDP |
POJK MRTI | CIS Controls memberikan panduan teknis yang mendukung kepatuhan POJK |
Posisi CIS Controls dalam ekosistem: Jika ISO 27001 adalah kerangka manajemen (ISMS) dan NIST CSF adalah model konseptual, CIS Controls adalah panduan teknis operasional yang menjawab pertanyaan "bagaimana tepatnya?" dengan sangat konkret.
ISO 27001 menyatakan: "Organisasi harus melindungi informasi dari akses yang tidak sah."
CIS Controls menyatakan (Control 5, Safeguard 5.3): "Nonaktifkan akun setelah periode tidak aktif yang telah ditetapkan tidak melebihi 45 hari." — dengan target implementasi group, jenis aset yang berlaku, dan fungsi keamanan yang dipenuhi.
Perbedaan ini adalah fundamental. CIS Controls memberikan:
Tindakan spesifik yang dapat diassign ke tim tertentu
Metrik keberhasilan yang jelas dan terukur
Prioritas berbasis risiko sehingga resource dialokasikan ke kontrol yang paling berdampak
Implementation Groups yang realistic untuk berbagai kapabilitas organisasi
Dengan update CIS Controls v8.1, topik governance kini secara spesifik diidentifikasi sebagai rekomendasi yang dapat diimplementasikan untuk meningkatkan tata kelola program cybersecurity. Ini merespons NIST CSF 2.0 yang menambahkan "Govern" sebagai fungsi ke-6 — mengakui bahwa tanpa governance yang kuat, implementasi teknis tidak akan berkelanjutan.
Seiring organisasi terus bermigrasi ke cloud, v8.1 memperkenalkan panduan yang lebih robust untuk mengelola risiko keamanan cloud, termasuk manajemen konfigurasi yang lebih baik, penilaian cloud provider, dan pengamanan komponen infrastruktur cloud.
Serangan siber yang menargetkan supply chain semakin prevalens, dengan penyerang sering menggunakan vendor pihak ketiga sebagai backdoor ke organisasi yang lebih besar. Control 15 (Service Provider Management) mendapat penekanan lebih signifikan.
v8.1 menekankan integrasi tools otomatis untuk continuous monitoring dan threat detection, memungkinkan identifikasi insiden keamanan yang lebih cepat dan respons yang lebih efisien.
Regulasi Indonesia | CIS Controls yang Relevan |
|---|---|
UU PDP No. 27/2022 | Control 3 (Data Protection), Control 6 (Access Control), Control 8 (Audit Log), Control 17 (Incident Response) |
POJK No. 11/2022 | Control 1–7 (Foundational), Control 8 (Log), Control 17 (IR), Control 18 (Pentest) |
SE OJK No. 29/2022 | IG2 secara komprehensif mencakup persyaratan teknis POJK |
BSSN Framework | CIS Controls IG1 sejalan dengan baseline BSSN untuk sistem elektronik |
Permenkominfo PSE | Control 3, 5, 6, 17 mendukung kepatuhan teknis PSE |
Sektor yang sudah mengadopsi (partial/penuh)
Perbankan dan keuangan — didorong regulasi OJK
Telekomunikasi — sebagian driven oleh BSSN
BUMN strategis — terutama sektor energi dan infrastruktur
Sektor yang masih sangat awal
Pemerintah daerah dan instansi non-strategis
Perusahaan manufaktur dan retail
Startup dan perusahaan teknologi (ironisnya — meski tech-savvy, governance keamanan sering diabaikan)
Layanan kesehatan
Gap yang paling umum ditemukan di Indonesia
Control 1 & 2: Tidak ada inventaris aset yang akurat dan terkini
Control 3: Klasifikasi data hampir tidak pernah ada
Control 7: Vulnerability management sporadis, bukan berkelanjutan
Control 17: Incident Response Plan ada di atas kertas tapi tidak pernah dilatih
Control 18: Penetration testing dilakukan hanya saat ada tekanan audit
Bagi organisasi yang belum memiliki program keamanan formal, berikut roadmap realistis untuk mencapai IG1:
Lakukan inventarisasi aset: semua perangkat yang terhubung ke jaringan (Control 1)
Lakukan inventarisasi software: semua aplikasi yang terinstall (Control 2)
Identifikasi data sensitif dan di mana disimpan (Control 3)
Output: daftar aset, daftar software, peta data
Terapkan hardening pada semua aset menggunakan CIS Benchmarks (Control 4)
Nonaktifkan akun yang tidak aktif, ganti default passwords (Control 5)
Review dan batasi hak akses — terapkan least privilege (Control 6)
Output: konfigurasi baseline, kebijakan akun
Jalankan vulnerability scanner pertama, buat remediation plan (Control 7)
Aktifkan dan centralize logging dari semua sistem utama (Control 8)
Deploy email filtering dan web proxy/filter (Control 9)
Pastikan antivirus/EDR aktif dan ter-update di semua endpoint (Control 10)
Output: laporan kerentanan pertama, logging aktif, proteksi email/web
Verifikasi dan uji backup untuk semua data kritis (Control 11)
Dokumentasikan topologi jaringan dan segmentasi dasar (Control 12)
Buat Incident Response Plan yang sederhana namun konkret (Control 17)
Lakukan security awareness training untuk seluruh karyawan (Control 14)
Output: backup terverifikasi, IRP dokumentasi, semua staff terlatih
Program CIS Controls yang matang harus dapat menjawab pertanyaan-pertanyaan ini dengan angka:
Metrik | Target IG1 | Target IG2 | Target IG3 |
|---|---|---|---|
% aset terdokumentasi dalam inventaris | > 90% | > 95% | 100% |
% software terautorisasi yang berjalan | > 90% | > 95% | 100% |
% aset dengan konfigurasi hardened | > 80% | > 90% | > 95% |
MTTD (Mean Time to Detect) insiden | < 30 hari | < 7 hari | < 24 jam |
% kerentanan critical di-patch dalam SLA | > 70% | > 85% | > 95% |
% karyawan yang menyelesaikan security training | > 80% | > 90% | 100% |
Waktu recovery dari backup | Terdokumentasi | < 24 jam | < 4 jam |
Pertanyaan yang sering muncul: "Kami sudah mengacu OWASP Top 10 — apakah masih perlu CIS Controls?"
Jawabannya: ya, keduanya melengkapi satu sama lain karena fokusnya berbeda:
Aspek | OWASP Top 10 | CIS Controls |
|---|---|---|
Fokus | Kerentanan aplikasi web | Program keamanan organisasi secara menyeluruh |
Audiens primer | Developer, security engineer | CISO, IT manager, eksekutif |
Cakupan | Layer aplikasi | Seluruh stack: aset, jaringan, pengguna, proses |
Pendekatan | Berbasis ancaman | Berbasis kontrol dan tindakan |
Granularitas | Sangat teknis per kategori kerentanan | Operasional dan strategis |
Pertanyaan dijawab | "Kerentanan apa yang harus dihindari?" | "Kontrol apa yang harus ada?" |
Idealnya: Gunakan CIS Controls sebagai kerangka program keamanan organisasi, dan OWASP Top 10 sebagai standar teknis spesifik untuk tim development dalam konteks Control 16 (Application Software Security).
Control | Tools / Solusi | Kehadiran Indonesia |
|---|---|---|
C1-C2 (Asset Inventory) | Axonius, Lansweeper, Nmap (open-source) | ⚠️ / Self-managed |
C3 (Data Protection) | Microsoft Purview, Forcepoint DLP | ✅ Tier 1 / ⚠️ |
C4 (Secure Config) | CIS-CAT Pro, Tenable, Qualys | ✅ via partner |
C5-C6 (Account & Access) | Microsoft Entra ID, IBM Verify | ✅ Tier 1 |
C7 (Vulnerability Mgmt) | Tenable, Qualys, Rapid7 | ✅ via partner |
C8 (Audit Log) | Microsoft Sentinel, IBM QRadar | ✅ Tier 1 |
C9 (Email/Web) | Microsoft Defender, Trend Micro | ✅ Tier 1 |
C10 (Malware) | CrowdStrike, Trend Micro, Microsoft Defender | ✅ Tier 1 |
C11 (Data Recovery) | Veeam, Commvault, Cohesity | ⚠️ / ✅ |
C12-C13 (Network) | Palo Alto, Fortinet, F5 | ✅ Tier 1 |
C15 (Service Provider) | OneTrust, ProcessUnity GRC | ⚠️ / ❌ |
C16 (App Security) | Checkmarx, SonarQube, ZAP | ⚠️ / Self-managed |
C17 (Incident Response) | IBM Resilient, ServiceNow SIR | ✅ Tier 1/2 |
C18 (Pentest) | Packet Systems Indonesia, Xynexis, Defender ID | ✅ Lokal |
Platform | Fungsi | Indonesia |
|---|---|---|
CIS-CAT Pro | Assessment resmi CIS Controls | Via CIS langsung |
Tenable One | Exposure management + CIS mapping | ✅ via partner |
Qualys TruRisk | Vulnerability + CIS compliance | ✅ via partner |
Microsoft Defender 365 | Mencakup banyak safeguard IG1/IG2 | ✅ Tier 1 |
Palo Alto Cortex | Network + endpoint + cloud (IG2/3) | ✅ Tier 1 |
Lima pertanyaan untuk mengukur kematangan implementasi CIS Controls dalam organisasi:
"Apakah kita memiliki inventaris yang akurat dan real-time dari semua perangkat yang terhubung ke jaringan kita — termasuk laptop remote, IoT, dan cloud instances?" (Control 1)
"Berapa lama waktu yang dibutuhkan untuk menonaktifkan semua akses karyawan yang resign hari ini — termasuk akses ke 20+ SaaS yang digunakan?" (Control 5, 6)
"Kapan terakhir kali kita memverifikasi bahwa semua backup data kritis bisa dipulihkan — bukan hanya bahwa backup berjalan?" (Control 11)
"Apakah semua karyawan telah menyelesaikan security awareness training dalam 12 bulan terakhir, dan apakah kita tahu siapa saja yang paling rentan terhadap phishing?" (Control 14)
"Apakah Incident Response Plan kita pernah diuji melalui tabletop exercise — dan siapa yang harus dihubungi di jam 2 pagi jika kita mengalami ransomware attack?" (Control 17)
CIS Controls bukanlah tujuan akhir dari program keamanan — melainkan fondasi yang solid dari mana program keamanan yang lebih mature dapat dibangun. Organisasi yang mengimplementasikan IG1 dengan konsisten telah menyelesaikan "pekerjaan rumah" keamanan dasar yang masih diabaikan oleh mayoritas organisasi di dunia.
Di Indonesia, di mana regulasi keamanan siber semakin diperketat melalui UU PDP, POJK, dan standar BSSN, CIS Controls memberikan jalur implementasi yang paling konkret dan terukur untuk memenuhi persyaratan teknis yang sering terasa abstrak dalam teks regulasi.
Pesannya sederhana: mulailah dari IG1, implementasikan secara konsisten, ukur kemajuannya, dan tingkatkan secara bertahap. Program keamanan yang sederhana namun dijalankan dengan disiplin jauh lebih efektif dari program yang komprehensif namun hanya ada di atas kertas.