Bagian
Referensi Utama: NIST Cybersecurity Framework (CSF) 2.0 (dirilis 26 Februari 2024)
Penerbit: National Institute of Standards and Technology (NIST), Departemen Perdagangan AS
Ketika NIST pertama kali merilis Cybersecurity Framework pada 2014, audiens utamanya adalah operator infrastruktur kritis Amerika Serikat — pembangkit listrik, jaringan air, sistem transportasi. Satu dekade kemudian, framework tersebut telah berkembang menjadi bahasa global untuk mengelola risiko siber yang digunakan oleh ratusan ribu organisasi di lebih dari 180 negara — dari perusahaan Fortune 500, startup teknologi, instansi pemerintah, hingga lembaga keuangan di Asia Tenggara.
NIST CSF 2.0 dirilis 26 Februari 2024 — revisi besar pertama sejak framework ini diciptakan pada 2014. Perubahan paling signifikan: penambahan fungsi keenam "Govern", perluasan cakupan dari sekadar infrastruktur kritis ke semua jenis organisasi termasuk sektor swasta, pemerintah, dan nirlaba.
Dalam bahasa bisnis: NIST CSF bukan hanya dokumen teknis untuk tim IT. Ini adalah kerangka komunikasi risikoyang memungkinkan board of directors, eksekutif, regulator, dan tim teknis berbicara dalam bahasa yang sama tentang seberapa matang program keamanan sebuah organisasi — dan ke mana ia harus berkembang.
Sebelum membahas CSF secara mendalam, penting memahami bahwa NIST menerbitkan ekosistem framework dan publikasi yang saling melengkapi:
Framework / Publikasi | Fokus | Audiens Primer |
|---|---|---|
NIST CSF 2.0 | Manajemen risiko siber secara keseluruhan | Semua organisasi, semua level |
NIST SP 800-53 Rev 5 | Katalog kontrol keamanan dan privasi yang sangat detail | Federal agencies, enterprise |
NIST SP 800-171 Rev 3 | Perlindungan informasi yang tidak terklasifikasi (CUI) | Kontraktor pemerintah AS |
NIST SP 800-37 | Risk Management Framework (RMF) | Federal agencies |
NIST SP 800-30 | Panduan risk assessment | Risk manager |
NIST AI RMF 1.0 | Manajemen risiko kecerdasan buatan | Semua yang mengadopsi AI |
NIST PQC Standards 2024 | Post-Quantum Cryptography | Kriptografer, arsitek sistem |
NIST Privacy Framework | Manajemen risiko privasi | Privacy officer, DPO |
Untuk sebagian besar organisasi di luar AS — termasuk Indonesia — NIST CSF 2.0 adalah entry point yang paling relevan. SP 800-53 dan SP 800-171 lebih relevan untuk organisasi yang memiliki hubungan kontraktual dengan pemerintah AS atau yang ingin katalog kontrol yang sangat granular.
NIST CSF 2.0 memperkenalkan tujuh perubahan struktural utama: fungsi Govern yang baru dengan enam kategori dan 31 subkategori, perluasan cakupan ke semua organisasi, reorganisasi subkategori menjadi 106 (turun dari 108), profil Current dan Target yang ditingkatkan dengan panduan gap analysis, community profiles untuk baseline sektoral, sumber daya pendamping baru, dan CPRT Reference Tool yang interaktif.
Aspek | CSF 1.1 | CSF 2.0 |
|---|---|---|
Fungsi inti | 5 (Identify, Protect, Detect, Respond, Recover) | 6 (+Govern) |
Kategori | 23 | 22 |
Subkategori | 108 | 106 |
Target audiens | Infrastruktur kritis AS | Semua organisasi global |
Governance | Implisit | Eksplisit sebagai fungsi tersendiri |
Supply chain | Terbatas | Diperkuat signifikan |
Implementasi Tiers | 4 tiers | 4 tiers (diperbarui) |
Sumber daya pendamping | Terbatas | Quick-Start Guides, Implementation Examples, CPRT Tool |
Jantung dari NIST CSF 2.0 adalah enam fungsi yang merepresentasikan siklus hidup manajemen risiko siber secara menyeluruh. Berbeda dari checklist linear, fungsi-fungsi ini bersifat kontinu dan saling mempengaruhi.
"Tetapkan, komunikasikan, dan pantau strategi, ekspektasi, dan kebijakan manajemen risiko siber organisasi"
Mengapa ini adalah tambahan terpenting
Fungsi Govern adalah pengakuan eksplisit bahwa program keamanan yang paling canggih pun akan gagal tanpa fondasi governance yang kuat. Ini menempatkan tanggung jawab kepemimpinan dalam konteks keamanan siber secara formal.
6 Kategori dalam Govern
GV.OC — Organizational Context: Memahami misi, pemangku kepentingan, ketergantungan, dan persyaratan hukum/regulatoris yang mempengaruhi keputusan keamanan
GV.RM — Risk Management Strategy: Menetapkan prioritas, risk tolerance, dan asumsi risiko yang mendukung keputusan operasional
GV.RR — Roles, Responsibilities, and Authorities: Mendefinisikan siapa bertanggung jawab atas apa dalam manajemen risiko siber
GV.PO — Policy: Menetapkan, mengkomunikasikan, dan menegakkan kebijakan keamanan
GV.OV — Oversight: Memastikan ada mekanisme pengawasan terhadap program manajemen risiko
GV.SC — Supply Chain Risk Management: Mengelola risiko dari supplier, vendor, dan mitra dalam rantai nilai
Implikasi bisnis
Govern memperkuat argumen bahwa keamanan siber harus ada di agenda board of directors — bukan hanya laporan teknis quarterly, tetapi sebagai pertimbangan strategis yang mempengaruhi keputusan bisnis.
"Pahami aset, risiko, dan konteks yang mendukung kemampuan manajemen risiko siber"
Anda tidak bisa melindungi apa yang tidak Anda ketahui. Identify adalah fondasi dari semua fungsi lainnya — tanpa pemahaman yang jelas tentang aset, risiko, dan konteks, semua upaya perlindungan menjadi tidak terarah.
Kategori utama
ID.AM — Asset Management: Inventarisasi lengkap aset fisik, perangkat lunak, layanan, data, dan fasilitas
ID.RA — Risk Assessment: Mengidentifikasi, menganalisis, dan memprioritaskan risiko siber
ID.IM — Improvement: Proses untuk meningkatkan postur keamanan berdasarkan lessons learned
Pertanyaan bisnis yang dijawab
"Apa yang kita miliki, apa risikonya, dan apa yang paling penting untuk dilindungi?"
"Gunakan safeguard untuk mendukung kemampuan penyampaian layanan kritis"
Protect mencakup implementasi kontrol keamanan yang mencegah atau membatasi dampak insiden siber. Ini adalah fungsi yang paling "tradisional" — kebanyakan aktivitas keamanan konvensional berada di sini.
Kategori utama
PR.AA — Identity Management, Authentication, and Access Control: Siapa yang boleh mengakses apa, dengan cara apa
PR.AT — Awareness and Training: Memastikan workforce memiliki pengetahuan dan keterampilan yang diperlukan
PR.DS — Data Security: Mengelola data sesuai dengan strategi risiko yang ditetapkan
PR.PS — Platform Security: Mengelola keamanan hardware, software, dan layanan
PR.IR — Technology Infrastructure Resilience: Memastikan arsitektur yang tahan terhadap insiden
Pertanyaan bisnis yang dijawab
"Bagaimana kita melindungi aset dan operasi kita?"
"Temukan dan analisis kemungkinan insiden keamanan siber"
Detect berfokus pada kemampuan untuk mengetahui ketika sesuatu yang tidak diinginkan sedang terjadi — sesegera mungkin. Kecepatan deteksi adalah salah satu faktor terbesar yang menentukan biaya dan dampak sebuah insiden.
Kategori utama
DE.CM — Continuous Monitoring: Pemantauan berkelanjutan terhadap aset, jaringan, pengguna, dan lingkungan
DE.AE — Adverse Event Analysis: Analisis untuk memahami apakah anomali merupakan insiden siber
Pertanyaan bisnis yang dijawab
"Bagaimana kita mengetahui ketika ada serangan berlangsung?"
"Ambil tindakan terhadap insiden siber yang terdeteksi"
Respond mencakup kemampuan untuk bertindak ketika insiden terjadi — mengandung dampak, menganalisis akar masalah, dan memulihkan operasi. Kualitas respons insiden menentukan apakah insiden menjadi bencana atau sekadar gangguan yang terkelola.
Kategori utama
RS.MA — Incident Management: Mengelola insiden sesuai dengan rencana respons yang telah ditetapkan
RS.AN — Incident Analysis: Memahami detail insiden untuk efektivitas respons
RS.CO — Incident Response Reporting and Communication: Komunikasi ke pemangku kepentingan internal dan eksternal
RS.MI — Incident Mitigation: Mengandung dan memitigasi dampak insiden
RS.IM — Improvements: Meningkatkan kemampuan respons berdasarkan pengalaman
Pertanyaan bisnis yang dijawab
"Apa yang kita lakukan ketika insiden terjadi?"
"Pulihkan aset dan operasi yang terdampak insiden siber"
Recover berfokus pada pemulihan layanan dan operasi ke kondisi normal setelah insiden, sekaligus belajar dari pengalaman untuk memperkuat ketahanan di masa depan.
Kategori utama
RC.RP — Incident Recovery Plan Execution: Menjalankan rencana pemulihan yang telah disiapkan
RC.CO — Incident Recovery Communication: Mengelola komunikasi pemulihan ke pemangku kepentingan
Pertanyaan bisnis yang dijawab
"Bagaimana kita kembali ke operasi normal setelah insiden?"
NIST CSF menggunakan sistem Implementation Tiers untuk menggambarkan seberapa mature pendekatan organisasi terhadap manajemen risiko siber
Tier | Nama | Karakteristik |
|---|---|---|
Tier 1 | Partial | Praktik ad hoc dan reaktif; risiko siber tidak dikelola secara konsisten; kesadaran terbatas |
Tier 2 | Risk Informed | Manajemen risiko disetujui oleh manajemen tetapi belum menjadi kebijakan organisasi yang luas; kesadaran risiko ada tetapi belum diprioritaskan secara konsisten |
Tier 3 | Repeatable | Praktik manajemen risiko formal, disetujui sebagai kebijakan organisasi; pembaruan reguler berdasarkan perubahan risiko |
Tier 4 | Adaptive | Manajemen risiko berbasis data dan prediktif; organisasi secara aktif beradaptasi terhadap ancaman yang berubah; budaya keamanan yang matang |
Catatan penting: NIST tidak menetapkan bahwa Tier 4 adalah tujuan semua organisasi. Tier yang "tepat" bergantung pada profil risiko, misi, dan kebutuhan bisnis. Yang penting adalah organisasi sadar di tier mana mereka berada dan memiliki rencana yang realistis untuk meningkatkan kematangan sesuai prioritas risiko.
Mayoritas organisasi di Indonesia berada di Tier 1 atau Tier 2 — yang berarti ada potensi peningkatan yang sangat signifikan dengan investasi yang terukur.
Salah satu konsep paling berguna dalam CSF 2.0 yang sering kurang dipahami adalah Organizational Profiles:
Current Profile
Menggambarkan kondisi keamanan siber organisasi saat ini — outcome mana dari CSF yang sudah dicapai, pada level apa.
Target Profile
Menggambarkan kondisi yang diinginkan — berdasarkan tujuan bisnis, toleransi risiko, dan persyaratan regulatoris.
Gap Analysis
Selisih antara Current dan Target Profile adalah roadmap prioritas yang mengidentifikasi area yang membutuhkan perhatian dan investasi.
Pendekatan ini mengubah CSF dari dokumen abstrak menjadi alat perencanaan yang konkret — sangat berguna untuk presentasi ke board of directors dan dalam percakapan dengan regulator.
NIST CSF 2.0 memperkenalkan Community Profiles — baseline yang dikembangkan untuk industri atau sektor tertentu yang dapat digunakan sebagai starting point tanpa harus membangun profil dari nol.
Community profiles yang sudah tersedia atau dalam pengembangan:
Ransomware Risk Management Profile (Draft Rev 1, Januari 2025)
Small Business Quick Start Guide
Enterprise Risk Management Integration Guide
Genomic Data Cybersecurity Profile (Draft, Desember 2024)
Cyber AI Profile (Virtual Working Sessions, Spring 2026)
Untuk Indonesia, community profiles yang paling relevan adalah Ransomware dan — ke depan — AI Security, mengingat meningkatnya adopsi AI generatif.
Seiring adopsi AI yang masif, NIST menerbitkan AI Risk Management Framework (AI RMF) 1.0 pada Januari 2023 — framework khusus untuk mengelola risiko yang ditimbulkan oleh sistem AI.
AI RMF memiliki empat fungsi inti yang disingkat GOVERN-MAP-MEASURE-MANAGE:
GOVERN
Membangun kebijakan, proses, prosedur, dan praktik lintas organisasi untuk mengelola risiko AI
MAP
Mengidentifikasi konteks, risiko, dan potensi dampak sistem AI dalam konteks operasi dan tujuan bisnis
MEASURE
Menganalisis, menilai, dan melacak risiko AI menggunakan alat dan metodologi kuantitatif dan kualitatif
MANAGE
Memprioritaskan dan menangani risiko AI secara sistematis sesuai dengan prioritas yang ditetapkan
Relevansi untuk Indonesia
Seiring makin banyaknya perusahaan Indonesia yang mengintegrasikan LLM dan AI generatif ke dalam produk dan proses bisnis — chatbot, document processing, fraud detection — AI RMF memberikan kerangka untuk memastikan adopsi AI yang bertanggung jawab dan aman.
Bagi organisasi yang membutuhkan panduan teknis yang sangat granular — misalnya untuk memenuhi persyaratan kontrak pemerintah AS atau untuk program keamanan yang sangat mature — NIST SP 800-53 Revision 5 adalah referensi terlengkap yang tersedia secara publik.
SP 800-53 Rev 5 berisi lebih dari 1.000 kontrol keamanan yang diorganisasi dalam 20 control families
Control Family | Singkatan | Fokus |
|---|---|---|
Access Control | AC | Siapa bisa akses apa |
Audit and Accountability | AU | Logging dan audit |
Configuration Management | CM | Konfigurasi sistem |
Contingency Planning | CP | Kontinuitas bisnis |
Identification and Authentication | IA | Autentikasi |
Incident Response | IR | Respons insiden |
Risk Assessment | RA | Penilaian risiko |
System and Communications Protection | SC | Keamanan jaringan |
System and Information Integrity | SI | Integritas sistem |
... | ... | Dan 11 lainnya |
SP 800-53 adalah referensi teknis, bukan panduan implementasi. Digunakan terutama sebagai baseline audit untuk federal agencies AS dan sebagai referensi untuk program keamanan yang sangat mature.
Pertanyaan yang sering muncul: framework mana yang harus digunakan? Jawabannya: tidak harus memilih satu.
Aspek | NIST CSF 2.0 | CIS Controls v8.1 | ISO 27001:2022 |
|---|---|---|---|
Jenis | Framework konseptual | Panduan teknis actionable | Standar manajemen |
Pendekatan | Berbasis outcome | Berbasis tindakan spesifik | Berbasis proses dan kebijakan |
Granularitas | Tinggi level | Sangat spesifik | Medium |
Sertifikasi | Tidak ada | Tidak ada | Ya (oleh auditor terakreditasi) |
Biaya adopsi | Rendah (voluntary, free) | Rendah (voluntary, free) | Tinggi (audit, sertifikasi) |
Nilai utama | Komunikasi risiko, governance | Implementasi teknis konkret | Kredibilitas eksternal, sertifikasi |
Cocok untuk | Semua organisasi, governance | Implementasi praktis | Kepatuhan dan sertifikasi formal |
Hubungan yang ideal
Gunakan NIST CSF sebagai bahasa komunikasi risiko dengan board dan regulator
Gunakan CIS Controls sebagai panduan teknis implementasi
Kejar ISO 27001 saat ada kebutuhan sertifikasi formal untuk pelanggan atau regulator
Ketiganya kompatibel dan NIST menerbitkan mapping eksplisit antara CSF 2.0, CIS Controls v8.1, dan ISO 27001:2022.
NIST CSF 2.0 bersifat voluntary untuk organisasi swasta, namun federal agencies AS diwajibkan menggunakannya berdasarkan Executive Order yang diperkuat pada 2021 dan 2025. Di Indonesia, tidak ada kewajiban langsung untuk mengadopsi NIST CSF, namun relevansinya sangat tinggi karena:
Regulasi Indonesia | Relevansi NIST CSF |
|---|---|
UU PDP No. 27/2022 | Fungsi Protect (data security), Detect, Respond mendukung persyaratan perlindungan data |
POJK MRTI | CSF Tiers membantu komunikasi kematangan program ke OJK |
BSSN Framework | BSSN mereferensikan NIST CSF sebagai salah satu standar yang diakui |
PP SPBE | CSF mendukung implementasi keamanan sistem pemerintah elektronik |
Regulasi Sektor Energi | Infrastruktur kritis yang mengikuti regulasi IESO/BUMN menggunakan CSF sebagai referensi |
Siapa yang sudah menggunakan NIST CSF di Indonesia?
Perusahaan multinasional yang memiliki parent company menggunakan NIST CSF secara global
Beberapa bank besar sebagai pelengkap kepatuhan POJK
Perusahaan energi dan infrastruktur kritis
Instansi pemerintah yang berinteraksi dengan standar internasional
Hambatan adopsi yang umum
Persepsi bahwa NIST CSF terlalu "Amerika" dan tidak relevan untuk Indonesia
Kurangnya panduan implementasi dalam Bahasa Indonesia
Ketidaktahuan bahwa CSF 2.0 sudah mencakup semua jenis organisasi, bukan hanya infrastruktur kritis
Peluang
NIST CSF adalah alat komunikasi risiko yang sangat efektif untuk presentasi ke board of directors dan dewan komisaris — bahasa fungsi GV-ID-PR-DE-RS-RC jauh lebih mudah dipahami eksekutif non-teknis dibanding daftar kontrol ISO 27001 yang panjang.
Tentukan ruang lingkup penerapan CSF: seluruh organisasi, satu unit bisnis, atau satu sistem kritis. Identifikasi pemangku kepentingan kunci dan persyaratan regulatoris yang berlaku. Tetapkan risk tolerance organisasi.
Lakukan inventarisasi aset kritis. Identifikasi ancaman yang relevan untuk industri dan konteks organisasi. Tentukan tingkat kematangan saat ini menggunakan Implementation Tiers sebagai referensi.
Dokumentasikan kondisi saat ini untuk setiap subkategori CSF yang relevan. Gunakan skala sederhana: Not Implemented → Partial → Largely Implemented → Fully Implemented.
Identifikasi gap antara kondisi saat ini dan risiko yang dihadapi. Prioritaskan gap berdasarkan kemungkinan dan dampak bisnis.
Definisikan kondisi target yang realistis berdasarkan toleransi risiko dan sumber daya. Buat roadmap dengan timeline, anggaran, dan ownership yang jelas.
Eksekusi rencana, pantau kemajuan, dan perbarui Current Profile secara berkala. Laporkan kemajuan ke board menggunakan bahasa CSF Tiers dan Profiles.
NIST menyediakan ekosistem sumber daya yang terus berkembang, semuanya tersedia gratis
Sumber Daya | Fungsi |
|---|---|
CSF 2.0 Core Document | Framework lengkap dengan semua fungsi, kategori, subkategori |
CPRT Reference Tool | Tool interaktif online untuk explore CSF dan mappingnya |
Quick-Start Guides | Panduan khusus per audiens (Small Business, Enterprise, Government) |
Implementation Examples | Contoh konkret implementasi per subkategori |
Community Profiles | Baseline sektoral siap pakai |
Crosswalk Mappings | Mapping ke ISO 27001, CIS Controls, SP 800-53, dan framework lain |
Translations | Tersedia dalam Bahasa Perancis, Portugis, Spanyol (Indonesia belum resmi) |
Kategori | Vendor / Solusi | Kehadiran Indonesia |
|---|---|---|
GRC Platform (CSF Mapping) | ServiceNow GRC | ✅ Tier 2 |
GRC Platform | IBM OpenPages | ✅ Tier 1 |
GRC Platform | OneTrust | ⚠️ Terbatas |
Security Posture Assessment | Microsoft Secure Score | ✅ Tier 1 |
Security Posture Assessment | Tenable One | ✅ via partner |
CSPM (CSF Cloud Align) | Palo Alto Prisma Cloud | ✅ Tier 1 |
CSPM | Microsoft Defender for Cloud | ✅ Tier 1 |
SIEM (Detect/Respond) | Microsoft Sentinel | ✅ Tier 1 |
SIEM | IBM QRadar | ✅ Tier 1 |
Consulting / Assessment | IBM Security, Accenture Security | ✅ Tier 1/2 |
Consulting Lokal | Packet Systems Indonesia, Proxsis IT | ✅ Lokal |
Awareness Training | KnowBe4, Proofpoint | ⚠️ Terbatas |
Lima pertanyaan berbasis NIST CSF yang dapat digunakan dalam rapat governance:
"Di tier mana program keamanan siber kita berada saat ini — dan di tier mana kita perlu berada berdasarkan profil risiko bisnis kita?" (Govern — Risk Tolerance)
"Apakah kita memiliki Current Profile dan Target Profile yang terdokumentasi — dan apakah ada roadmap konkret untuk menutup gap-nya?" (Govern + Identify)
"Berapa lama waktu yang dibutuhkan untuk mendeteksi serangan terhadap sistem kritis kita — dan berapa lama untuk memitigasinya?" (Detect + Respond)
"Apakah program manajemen risiko siber kita sudah mempertimbangkan risiko dari seluruh rantai pasokan — vendor, mitra, cloud provider?" (Govern — Supply Chain)
"Jika terjadi insiden siber signifikan besok, siapa yang dihubungi, apa protokolnya, dan kapan terakhir kali kita melatihnya?" (Respond + Recover)
NIST CSF 2.0 bukan dokumen yang dibaca sekali lalu disimpan. Ini adalah kerangka kerja hidup yang paling efektif ketika digunakan secara berkelanjutan: untuk menilai kondisi saat ini, mengkomunikasikan risiko kepada pemangku kepentingan, menetapkan target yang realistis, dan mengukur kemajuan dari waktu ke waktu.
Penambahan fungsi Govern di CSF 2.0 adalah sinyal kuat: keamanan siber yang efektif dimulai dari puncak organisasi, bukan dari server room. Board of directors dan C-suite yang memahami bahasa CSF — Govern, Identify, Protect, Detect, Respond, Recover — akan membuat keputusan investasi keamanan yang jauh lebih tepat dan menghasilkan program yang jauh lebih matang.
Di Indonesia, di mana regulasi terus berkembang dan ancaman siber terus meningkat, adopsi NIST CSF sebagai kerangka komunikasi risiko internal memberikan satu manfaat yang tidak ternilai: membuat seluruh organisasi — dari CEO hingga developer — berbicara dalam bahasa yang sama tentang risiko yang paling penting untuk dikelola.
Sumber | URL |
|---|---|
NIST CSF 2.0 Official | csrc.nist.gov/pubs/cswp/29/final |
CPRT Reference Tool | csf.tools/reference/nist-csf-v2-0/ |
NIST AI RMF | airc.nist.gov/home |
Quick-Start Guides | nist.gov/cyberframework/quick-start-guides |
Community Profiles | nist.gov/cyberframework/community-profiles |
Bagian
Referensi Utama: NIST Cybersecurity Framework (CSF) 2.0 (dirilis 26 Februari 2024)
Penerbit: National Institute of Standards and Technology (NIST), Departemen Perdagangan AS
Ketika NIST pertama kali merilis Cybersecurity Framework pada 2014, audiens utamanya adalah operator infrastruktur kritis Amerika Serikat — pembangkit listrik, jaringan air, sistem transportasi. Satu dekade kemudian, framework tersebut telah berkembang menjadi bahasa global untuk mengelola risiko siber yang digunakan oleh ratusan ribu organisasi di lebih dari 180 negara — dari perusahaan Fortune 500, startup teknologi, instansi pemerintah, hingga lembaga keuangan di Asia Tenggara.
NIST CSF 2.0 dirilis 26 Februari 2024 — revisi besar pertama sejak framework ini diciptakan pada 2014. Perubahan paling signifikan: penambahan fungsi keenam "Govern", perluasan cakupan dari sekadar infrastruktur kritis ke semua jenis organisasi termasuk sektor swasta, pemerintah, dan nirlaba.
Dalam bahasa bisnis: NIST CSF bukan hanya dokumen teknis untuk tim IT. Ini adalah kerangka komunikasi risikoyang memungkinkan board of directors, eksekutif, regulator, dan tim teknis berbicara dalam bahasa yang sama tentang seberapa matang program keamanan sebuah organisasi — dan ke mana ia harus berkembang.
Sebelum membahas CSF secara mendalam, penting memahami bahwa NIST menerbitkan ekosistem framework dan publikasi yang saling melengkapi:
Framework / Publikasi | Fokus | Audiens Primer |
|---|---|---|
NIST CSF 2.0 | Manajemen risiko siber secara keseluruhan | Semua organisasi, semua level |
NIST SP 800-53 Rev 5 | Katalog kontrol keamanan dan privasi yang sangat detail | Federal agencies, enterprise |
NIST SP 800-171 Rev 3 | Perlindungan informasi yang tidak terklasifikasi (CUI) | Kontraktor pemerintah AS |
NIST SP 800-37 | Risk Management Framework (RMF) | Federal agencies |
NIST SP 800-30 | Panduan risk assessment | Risk manager |
NIST AI RMF 1.0 | Manajemen risiko kecerdasan buatan | Semua yang mengadopsi AI |
NIST PQC Standards 2024 | Post-Quantum Cryptography | Kriptografer, arsitek sistem |
NIST Privacy Framework | Manajemen risiko privasi | Privacy officer, DPO |
Untuk sebagian besar organisasi di luar AS — termasuk Indonesia — NIST CSF 2.0 adalah entry point yang paling relevan. SP 800-53 dan SP 800-171 lebih relevan untuk organisasi yang memiliki hubungan kontraktual dengan pemerintah AS atau yang ingin katalog kontrol yang sangat granular.
NIST CSF 2.0 memperkenalkan tujuh perubahan struktural utama: fungsi Govern yang baru dengan enam kategori dan 31 subkategori, perluasan cakupan ke semua organisasi, reorganisasi subkategori menjadi 106 (turun dari 108), profil Current dan Target yang ditingkatkan dengan panduan gap analysis, community profiles untuk baseline sektoral, sumber daya pendamping baru, dan CPRT Reference Tool yang interaktif.
Aspek | CSF 1.1 | CSF 2.0 |
|---|---|---|
Fungsi inti | 5 (Identify, Protect, Detect, Respond, Recover) | 6 (+Govern) |
Kategori | 23 | 22 |
Subkategori | 108 | 106 |
Target audiens | Infrastruktur kritis AS | Semua organisasi global |
Governance | Implisit | Eksplisit sebagai fungsi tersendiri |
Supply chain | Terbatas | Diperkuat signifikan |
Implementasi Tiers | 4 tiers | 4 tiers (diperbarui) |
Sumber daya pendamping | Terbatas | Quick-Start Guides, Implementation Examples, CPRT Tool |
Jantung dari NIST CSF 2.0 adalah enam fungsi yang merepresentasikan siklus hidup manajemen risiko siber secara menyeluruh. Berbeda dari checklist linear, fungsi-fungsi ini bersifat kontinu dan saling mempengaruhi.
"Tetapkan, komunikasikan, dan pantau strategi, ekspektasi, dan kebijakan manajemen risiko siber organisasi"
Mengapa ini adalah tambahan terpenting
Fungsi Govern adalah pengakuan eksplisit bahwa program keamanan yang paling canggih pun akan gagal tanpa fondasi governance yang kuat. Ini menempatkan tanggung jawab kepemimpinan dalam konteks keamanan siber secara formal.
6 Kategori dalam Govern
GV.OC — Organizational Context: Memahami misi, pemangku kepentingan, ketergantungan, dan persyaratan hukum/regulatoris yang mempengaruhi keputusan keamanan
GV.RM — Risk Management Strategy: Menetapkan prioritas, risk tolerance, dan asumsi risiko yang mendukung keputusan operasional
GV.RR — Roles, Responsibilities, and Authorities: Mendefinisikan siapa bertanggung jawab atas apa dalam manajemen risiko siber
GV.PO — Policy: Menetapkan, mengkomunikasikan, dan menegakkan kebijakan keamanan
GV.OV — Oversight: Memastikan ada mekanisme pengawasan terhadap program manajemen risiko
GV.SC — Supply Chain Risk Management: Mengelola risiko dari supplier, vendor, dan mitra dalam rantai nilai
Implikasi bisnis
Govern memperkuat argumen bahwa keamanan siber harus ada di agenda board of directors — bukan hanya laporan teknis quarterly, tetapi sebagai pertimbangan strategis yang mempengaruhi keputusan bisnis.
"Pahami aset, risiko, dan konteks yang mendukung kemampuan manajemen risiko siber"
Anda tidak bisa melindungi apa yang tidak Anda ketahui. Identify adalah fondasi dari semua fungsi lainnya — tanpa pemahaman yang jelas tentang aset, risiko, dan konteks, semua upaya perlindungan menjadi tidak terarah.
Kategori utama
ID.AM — Asset Management: Inventarisasi lengkap aset fisik, perangkat lunak, layanan, data, dan fasilitas
ID.RA — Risk Assessment: Mengidentifikasi, menganalisis, dan memprioritaskan risiko siber
ID.IM — Improvement: Proses untuk meningkatkan postur keamanan berdasarkan lessons learned
Pertanyaan bisnis yang dijawab
"Apa yang kita miliki, apa risikonya, dan apa yang paling penting untuk dilindungi?"
"Gunakan safeguard untuk mendukung kemampuan penyampaian layanan kritis"
Protect mencakup implementasi kontrol keamanan yang mencegah atau membatasi dampak insiden siber. Ini adalah fungsi yang paling "tradisional" — kebanyakan aktivitas keamanan konvensional berada di sini.
Kategori utama
PR.AA — Identity Management, Authentication, and Access Control: Siapa yang boleh mengakses apa, dengan cara apa
PR.AT — Awareness and Training: Memastikan workforce memiliki pengetahuan dan keterampilan yang diperlukan
PR.DS — Data Security: Mengelola data sesuai dengan strategi risiko yang ditetapkan
PR.PS — Platform Security: Mengelola keamanan hardware, software, dan layanan
PR.IR — Technology Infrastructure Resilience: Memastikan arsitektur yang tahan terhadap insiden
Pertanyaan bisnis yang dijawab
"Bagaimana kita melindungi aset dan operasi kita?"
"Temukan dan analisis kemungkinan insiden keamanan siber"
Detect berfokus pada kemampuan untuk mengetahui ketika sesuatu yang tidak diinginkan sedang terjadi — sesegera mungkin. Kecepatan deteksi adalah salah satu faktor terbesar yang menentukan biaya dan dampak sebuah insiden.
Kategori utama
DE.CM — Continuous Monitoring: Pemantauan berkelanjutan terhadap aset, jaringan, pengguna, dan lingkungan
DE.AE — Adverse Event Analysis: Analisis untuk memahami apakah anomali merupakan insiden siber
Pertanyaan bisnis yang dijawab
"Bagaimana kita mengetahui ketika ada serangan berlangsung?"
"Ambil tindakan terhadap insiden siber yang terdeteksi"
Respond mencakup kemampuan untuk bertindak ketika insiden terjadi — mengandung dampak, menganalisis akar masalah, dan memulihkan operasi. Kualitas respons insiden menentukan apakah insiden menjadi bencana atau sekadar gangguan yang terkelola.
Kategori utama
RS.MA — Incident Management: Mengelola insiden sesuai dengan rencana respons yang telah ditetapkan
RS.AN — Incident Analysis: Memahami detail insiden untuk efektivitas respons
RS.CO — Incident Response Reporting and Communication: Komunikasi ke pemangku kepentingan internal dan eksternal
RS.MI — Incident Mitigation: Mengandung dan memitigasi dampak insiden
RS.IM — Improvements: Meningkatkan kemampuan respons berdasarkan pengalaman
Pertanyaan bisnis yang dijawab
"Apa yang kita lakukan ketika insiden terjadi?"
"Pulihkan aset dan operasi yang terdampak insiden siber"
Recover berfokus pada pemulihan layanan dan operasi ke kondisi normal setelah insiden, sekaligus belajar dari pengalaman untuk memperkuat ketahanan di masa depan.
Kategori utama
RC.RP — Incident Recovery Plan Execution: Menjalankan rencana pemulihan yang telah disiapkan
RC.CO — Incident Recovery Communication: Mengelola komunikasi pemulihan ke pemangku kepentingan
Pertanyaan bisnis yang dijawab
"Bagaimana kita kembali ke operasi normal setelah insiden?"
NIST CSF menggunakan sistem Implementation Tiers untuk menggambarkan seberapa mature pendekatan organisasi terhadap manajemen risiko siber
Tier | Nama | Karakteristik |
|---|---|---|
Tier 1 | Partial | Praktik ad hoc dan reaktif; risiko siber tidak dikelola secara konsisten; kesadaran terbatas |
Tier 2 | Risk Informed | Manajemen risiko disetujui oleh manajemen tetapi belum menjadi kebijakan organisasi yang luas; kesadaran risiko ada tetapi belum diprioritaskan secara konsisten |
Tier 3 | Repeatable | Praktik manajemen risiko formal, disetujui sebagai kebijakan organisasi; pembaruan reguler berdasarkan perubahan risiko |
Tier 4 | Adaptive | Manajemen risiko berbasis data dan prediktif; organisasi secara aktif beradaptasi terhadap ancaman yang berubah; budaya keamanan yang matang |
Catatan penting: NIST tidak menetapkan bahwa Tier 4 adalah tujuan semua organisasi. Tier yang "tepat" bergantung pada profil risiko, misi, dan kebutuhan bisnis. Yang penting adalah organisasi sadar di tier mana mereka berada dan memiliki rencana yang realistis untuk meningkatkan kematangan sesuai prioritas risiko.
Mayoritas organisasi di Indonesia berada di Tier 1 atau Tier 2 — yang berarti ada potensi peningkatan yang sangat signifikan dengan investasi yang terukur.
Salah satu konsep paling berguna dalam CSF 2.0 yang sering kurang dipahami adalah Organizational Profiles:
Current Profile
Menggambarkan kondisi keamanan siber organisasi saat ini — outcome mana dari CSF yang sudah dicapai, pada level apa.
Target Profile
Menggambarkan kondisi yang diinginkan — berdasarkan tujuan bisnis, toleransi risiko, dan persyaratan regulatoris.
Gap Analysis
Selisih antara Current dan Target Profile adalah roadmap prioritas yang mengidentifikasi area yang membutuhkan perhatian dan investasi.
Pendekatan ini mengubah CSF dari dokumen abstrak menjadi alat perencanaan yang konkret — sangat berguna untuk presentasi ke board of directors dan dalam percakapan dengan regulator.
NIST CSF 2.0 memperkenalkan Community Profiles — baseline yang dikembangkan untuk industri atau sektor tertentu yang dapat digunakan sebagai starting point tanpa harus membangun profil dari nol.
Community profiles yang sudah tersedia atau dalam pengembangan:
Ransomware Risk Management Profile (Draft Rev 1, Januari 2025)
Small Business Quick Start Guide
Enterprise Risk Management Integration Guide
Genomic Data Cybersecurity Profile (Draft, Desember 2024)
Cyber AI Profile (Virtual Working Sessions, Spring 2026)
Untuk Indonesia, community profiles yang paling relevan adalah Ransomware dan — ke depan — AI Security, mengingat meningkatnya adopsi AI generatif.
Seiring adopsi AI yang masif, NIST menerbitkan AI Risk Management Framework (AI RMF) 1.0 pada Januari 2023 — framework khusus untuk mengelola risiko yang ditimbulkan oleh sistem AI.
AI RMF memiliki empat fungsi inti yang disingkat GOVERN-MAP-MEASURE-MANAGE:
GOVERN
Membangun kebijakan, proses, prosedur, dan praktik lintas organisasi untuk mengelola risiko AI
MAP
Mengidentifikasi konteks, risiko, dan potensi dampak sistem AI dalam konteks operasi dan tujuan bisnis
MEASURE
Menganalisis, menilai, dan melacak risiko AI menggunakan alat dan metodologi kuantitatif dan kualitatif
MANAGE
Memprioritaskan dan menangani risiko AI secara sistematis sesuai dengan prioritas yang ditetapkan
Relevansi untuk Indonesia
Seiring makin banyaknya perusahaan Indonesia yang mengintegrasikan LLM dan AI generatif ke dalam produk dan proses bisnis — chatbot, document processing, fraud detection — AI RMF memberikan kerangka untuk memastikan adopsi AI yang bertanggung jawab dan aman.
Bagi organisasi yang membutuhkan panduan teknis yang sangat granular — misalnya untuk memenuhi persyaratan kontrak pemerintah AS atau untuk program keamanan yang sangat mature — NIST SP 800-53 Revision 5 adalah referensi terlengkap yang tersedia secara publik.
SP 800-53 Rev 5 berisi lebih dari 1.000 kontrol keamanan yang diorganisasi dalam 20 control families
Control Family | Singkatan | Fokus |
|---|---|---|
Access Control | AC | Siapa bisa akses apa |
Audit and Accountability | AU | Logging dan audit |
Configuration Management | CM | Konfigurasi sistem |
Contingency Planning | CP | Kontinuitas bisnis |
Identification and Authentication | IA | Autentikasi |
Incident Response | IR | Respons insiden |
Risk Assessment | RA | Penilaian risiko |
System and Communications Protection | SC | Keamanan jaringan |
System and Information Integrity | SI | Integritas sistem |
... | ... | Dan 11 lainnya |
SP 800-53 adalah referensi teknis, bukan panduan implementasi. Digunakan terutama sebagai baseline audit untuk federal agencies AS dan sebagai referensi untuk program keamanan yang sangat mature.
Pertanyaan yang sering muncul: framework mana yang harus digunakan? Jawabannya: tidak harus memilih satu.
Aspek | NIST CSF 2.0 | CIS Controls v8.1 | ISO 27001:2022 |
|---|---|---|---|
Jenis | Framework konseptual | Panduan teknis actionable | Standar manajemen |
Pendekatan | Berbasis outcome | Berbasis tindakan spesifik | Berbasis proses dan kebijakan |
Granularitas | Tinggi level | Sangat spesifik | Medium |
Sertifikasi | Tidak ada | Tidak ada | Ya (oleh auditor terakreditasi) |
Biaya adopsi | Rendah (voluntary, free) | Rendah (voluntary, free) | Tinggi (audit, sertifikasi) |
Nilai utama | Komunikasi risiko, governance | Implementasi teknis konkret | Kredibilitas eksternal, sertifikasi |
Cocok untuk | Semua organisasi, governance | Implementasi praktis | Kepatuhan dan sertifikasi formal |
Hubungan yang ideal
Gunakan NIST CSF sebagai bahasa komunikasi risiko dengan board dan regulator
Gunakan CIS Controls sebagai panduan teknis implementasi
Kejar ISO 27001 saat ada kebutuhan sertifikasi formal untuk pelanggan atau regulator
Ketiganya kompatibel dan NIST menerbitkan mapping eksplisit antara CSF 2.0, CIS Controls v8.1, dan ISO 27001:2022.
NIST CSF 2.0 bersifat voluntary untuk organisasi swasta, namun federal agencies AS diwajibkan menggunakannya berdasarkan Executive Order yang diperkuat pada 2021 dan 2025. Di Indonesia, tidak ada kewajiban langsung untuk mengadopsi NIST CSF, namun relevansinya sangat tinggi karena:
Regulasi Indonesia | Relevansi NIST CSF |
|---|---|
UU PDP No. 27/2022 | Fungsi Protect (data security), Detect, Respond mendukung persyaratan perlindungan data |
POJK MRTI | CSF Tiers membantu komunikasi kematangan program ke OJK |
BSSN Framework | BSSN mereferensikan NIST CSF sebagai salah satu standar yang diakui |
PP SPBE | CSF mendukung implementasi keamanan sistem pemerintah elektronik |
Regulasi Sektor Energi | Infrastruktur kritis yang mengikuti regulasi IESO/BUMN menggunakan CSF sebagai referensi |
Siapa yang sudah menggunakan NIST CSF di Indonesia?
Perusahaan multinasional yang memiliki parent company menggunakan NIST CSF secara global
Beberapa bank besar sebagai pelengkap kepatuhan POJK
Perusahaan energi dan infrastruktur kritis
Instansi pemerintah yang berinteraksi dengan standar internasional
Hambatan adopsi yang umum
Persepsi bahwa NIST CSF terlalu "Amerika" dan tidak relevan untuk Indonesia
Kurangnya panduan implementasi dalam Bahasa Indonesia
Ketidaktahuan bahwa CSF 2.0 sudah mencakup semua jenis organisasi, bukan hanya infrastruktur kritis
Peluang
NIST CSF adalah alat komunikasi risiko yang sangat efektif untuk presentasi ke board of directors dan dewan komisaris — bahasa fungsi GV-ID-PR-DE-RS-RC jauh lebih mudah dipahami eksekutif non-teknis dibanding daftar kontrol ISO 27001 yang panjang.
Tentukan ruang lingkup penerapan CSF: seluruh organisasi, satu unit bisnis, atau satu sistem kritis. Identifikasi pemangku kepentingan kunci dan persyaratan regulatoris yang berlaku. Tetapkan risk tolerance organisasi.
Lakukan inventarisasi aset kritis. Identifikasi ancaman yang relevan untuk industri dan konteks organisasi. Tentukan tingkat kematangan saat ini menggunakan Implementation Tiers sebagai referensi.
Dokumentasikan kondisi saat ini untuk setiap subkategori CSF yang relevan. Gunakan skala sederhana: Not Implemented → Partial → Largely Implemented → Fully Implemented.
Identifikasi gap antara kondisi saat ini dan risiko yang dihadapi. Prioritaskan gap berdasarkan kemungkinan dan dampak bisnis.
Definisikan kondisi target yang realistis berdasarkan toleransi risiko dan sumber daya. Buat roadmap dengan timeline, anggaran, dan ownership yang jelas.
Eksekusi rencana, pantau kemajuan, dan perbarui Current Profile secara berkala. Laporkan kemajuan ke board menggunakan bahasa CSF Tiers dan Profiles.
NIST menyediakan ekosistem sumber daya yang terus berkembang, semuanya tersedia gratis
Sumber Daya | Fungsi |
|---|---|
CSF 2.0 Core Document | Framework lengkap dengan semua fungsi, kategori, subkategori |
CPRT Reference Tool | Tool interaktif online untuk explore CSF dan mappingnya |
Quick-Start Guides | Panduan khusus per audiens (Small Business, Enterprise, Government) |
Implementation Examples | Contoh konkret implementasi per subkategori |
Community Profiles | Baseline sektoral siap pakai |
Crosswalk Mappings | Mapping ke ISO 27001, CIS Controls, SP 800-53, dan framework lain |
Translations | Tersedia dalam Bahasa Perancis, Portugis, Spanyol (Indonesia belum resmi) |
Kategori | Vendor / Solusi | Kehadiran Indonesia |
|---|---|---|
GRC Platform (CSF Mapping) | ServiceNow GRC | ✅ Tier 2 |
GRC Platform | IBM OpenPages | ✅ Tier 1 |
GRC Platform | OneTrust | ⚠️ Terbatas |
Security Posture Assessment | Microsoft Secure Score | ✅ Tier 1 |
Security Posture Assessment | Tenable One | ✅ via partner |
CSPM (CSF Cloud Align) | Palo Alto Prisma Cloud | ✅ Tier 1 |
CSPM | Microsoft Defender for Cloud | ✅ Tier 1 |
SIEM (Detect/Respond) | Microsoft Sentinel | ✅ Tier 1 |
SIEM | IBM QRadar | ✅ Tier 1 |
Consulting / Assessment | IBM Security, Accenture Security | ✅ Tier 1/2 |
Consulting Lokal | Packet Systems Indonesia, Proxsis IT | ✅ Lokal |
Awareness Training | KnowBe4, Proofpoint | ⚠️ Terbatas |
Lima pertanyaan berbasis NIST CSF yang dapat digunakan dalam rapat governance:
"Di tier mana program keamanan siber kita berada saat ini — dan di tier mana kita perlu berada berdasarkan profil risiko bisnis kita?" (Govern — Risk Tolerance)
"Apakah kita memiliki Current Profile dan Target Profile yang terdokumentasi — dan apakah ada roadmap konkret untuk menutup gap-nya?" (Govern + Identify)
"Berapa lama waktu yang dibutuhkan untuk mendeteksi serangan terhadap sistem kritis kita — dan berapa lama untuk memitigasinya?" (Detect + Respond)
"Apakah program manajemen risiko siber kita sudah mempertimbangkan risiko dari seluruh rantai pasokan — vendor, mitra, cloud provider?" (Govern — Supply Chain)
"Jika terjadi insiden siber signifikan besok, siapa yang dihubungi, apa protokolnya, dan kapan terakhir kali kita melatihnya?" (Respond + Recover)
NIST CSF 2.0 bukan dokumen yang dibaca sekali lalu disimpan. Ini adalah kerangka kerja hidup yang paling efektif ketika digunakan secara berkelanjutan: untuk menilai kondisi saat ini, mengkomunikasikan risiko kepada pemangku kepentingan, menetapkan target yang realistis, dan mengukur kemajuan dari waktu ke waktu.
Penambahan fungsi Govern di CSF 2.0 adalah sinyal kuat: keamanan siber yang efektif dimulai dari puncak organisasi, bukan dari server room. Board of directors dan C-suite yang memahami bahasa CSF — Govern, Identify, Protect, Detect, Respond, Recover — akan membuat keputusan investasi keamanan yang jauh lebih tepat dan menghasilkan program yang jauh lebih matang.
Di Indonesia, di mana regulasi terus berkembang dan ancaman siber terus meningkat, adopsi NIST CSF sebagai kerangka komunikasi risiko internal memberikan satu manfaat yang tidak ternilai: membuat seluruh organisasi — dari CEO hingga developer — berbicara dalam bahasa yang sama tentang risiko yang paling penting untuk dikelola.
Sumber | URL |
|---|---|
NIST CSF 2.0 Official | csrc.nist.gov/pubs/cswp/29/final |
CPRT Reference Tool | csf.tools/reference/nist-csf-v2-0/ |
NIST AI RMF | airc.nist.gov/home |
Quick-Start Guides | nist.gov/cyberframework/quick-start-guides |
Community Profiles | nist.gov/cyberframework/community-profiles |