8 Langkah untuk Manajemen Risiko Informasi

Investasi pada teknologi diasosiasikan dengan investasi masa depan. Ratusan bahkan ribuan perusahaan besar di dunia berlomba-lomba meng-upgrade­ mesinnya. Namun, tak banyak yang fokus pada proteksi data yang diperoleh dari teknologi canggihnya. Berdasarkan survei oleh Pricewater Cooper di tahun 2015, hanya 45% dari 103 CEO di Amerika Serikat yang peduli pada keamanan data dan serangan cyber yang dapat terjadi sewaktu-waktu.
Sebagai Chief Finance Officer, akan selalu ada permintaan tambahan dana untuk perlindungan data dari tim proteksi atau manajemen risiko. Namun, di era ini, CEO tidak lagi tertarik pada kegiatan yang tidak produktif dan tidak menghasilkan keuntungan nyata bagi perusahaan. Oleh karena itu, dibutuhkan data akurat dan analisa hasil yang terstruktur untuk meyakinkan pimpinan bahwa manajemen risiko informasi sangatlah penting. Analisa komprehensif dapat dilakukan dengan 8 langkah, sebagai berikut :

1. Identifikasi aset yang menyimpan informasi penting, seperti PII (Personal Identification Information), PHI (Protected Health Information), dan PCI (Payment Card Information). Aset yang dimaksud ialah laptop, komputer, hard disk dan penyimpan data lainnya.
2. Identifikasi ancaman terhadap aset, yang terbagi menjadi 4 kategori, yaitu faktor lingkungan (banjir, kilat, kebakaran), struktural (infrastruktur dan kegagalan perangkat lunak), kecelakaaan (kelalaian pengguna) dan adversarial (pembajakan).
3. Identifikasi celah terhadap aset, seperti tidak ada back up data, password yang lemah, tidak ada pembekalan ilmu kepada pengguna, dan tidak adanya manajemen risiko yang kuat.
4. Menentukan intensitas terjadinya ancaman dengan memeringkatkannya dari yang paling jarang, menengah dan sering.
5. Menganalisa dampak dari terjadinya ancaman, dan menghitung total potensi biaya yang harus dikeluarkan untuk pencegahan dan penanganan.
6. Meranking risiko dari dampak dan intensitas tertinggi hingga yang terendah. Dengan ini, perusahaan dapat melakukan kebijakan prioritisasi.
7. Mencari solusi atas ancaman yang mungkin terjadi.
8. Menentukan sikap terhadap risiko. Contohnya, risiko kehilangan data dari laptop yang dicuri. Perusahaan dapat menerima risiko, mengalihkan (menggunakan metode outsourcing), menghindari (tidak menggunakan laptop), atau dimitigasi (memakai password yang sangat kuat, penginstalan perangkat pencari jejak).

Sebelum melangkah, seorang CFO harus memahami level risiko yang mampu diterima oleh para pimpinan dan dana yang dimiliki untuk menyokong kebijakan proteksi ini. CFO perlu memastikan bahwa langkah yang dipilih, sesuai dengan visi dan kebutuhan perusahaan. 8 langkah ini akan berfungsi efektif bila didukung oleh elemen-elemen lain di dalam sebuah organisasi.