Belajar Chief Technology Officer - Security, Risk & Compliance
CTO bertanggung jawab atas security governance, risk management, dan compliance di seluruh organisasi. Di episode ini kalian memahami cybersecurity governance, data compliance (GDPR/CCPA), vendor risk management, dan cara membangun security governance framework yang tidak memperlambat inovasi.
#Pendahuluan
Setelah di episode 9 kita membahas engineering excellence dan SDLC, pada episode ini kita masuk ke domain yang menjadi board-level concern di 2026: security, risk, dan compliance. Satu breach bisa menghancurkan reputasi perusahaan, kehilangan kepercayaan pelanggan, dan menghabiskan jutaan dolar dalam remediation.
CTO tidak harus jadi security expert, tapi harus cukup paham untuk memimpin security governance dan memastikan organisasi punya postur keamanan yang memadai. Di era AI, security menjadi semakin kompleks dan kritis.
#Cybersecurity Governance
#Tiga Pilar Security
| Pilar | Fokus |
|---|---|
| Prevent | Mencegah serangan masuk (firewall, auth, encryption) |
| Detect | Mendeteksi serangan yang terjadi (monitoring, SIEM, alerting) |
| Respond | Merespons insiden (incident response, forensics, recovery) |
#Security Framework
Gunakan framework yang sudah diakui industri:
- NIST Cybersecurity Framework — framework paling populer: Identify, Protect, Detect, Respond, Recover.
- ISO 27001 — standar internasional untuk information security management.
- CIS Controls — 18 kontrol keamanan prioritas yang bisa diterapkan bertahap.
#Security Review dalam Development
Security harus terintegrasi dalam SDLC, bukan diperiksa setelah deployment:
- SAST (Static Application Security Testing) — scan kode untuk vulnerability sebelum compile.
- DAST (Dynamic Application Security Testing) — test aplikasi yang running untuk vulnerability.
- SCA (Software Composition Analysis) — scan dependency untuk known vulnerabilities.
- Secret scanning — pastikan tidak ada API keys atau credentials yang bocor ke repository.
Warning
Supply chain attack (seperti SolarWinds dan Log4Shell) menunjukkan bahwa vulnerability bisa masuk melalui dependency yang trusted. Gunakan SCA tools (Snyk, Dependabot, Trivy) dan tetapkan policy untuk dependency updates.
#Data Compliance
#GDPR (General Data Protection Regulation)
GDPR berlaku untuk setiap perusahaan yang memproses data warga EU, terlepas dari lokasi perusahaan:
- Data minimization — kumpulkan hanya data yang benar-benar dibutuhkan.
- Purpose limitation — gunakan data hanya untuk tujuan yang dinyatakan.
- Right to erasure — pengguna bisa meminta penghapusan data mereka.
- Data breach notification — laporkan breach dalam 72 jam.
#CCPA (California Consumer Privacy Act)
CCPA berlaku untuk perusahaan yang beroperasi di California dan memproses data lebih dari 50.000 konsumen:
- Right to know — konsumen bisa meminta data apa yang dikumpulkan tentang mereka.
- Right to opt-out — konsumen bisa menolak penjualan data mereka.
#AI Act (EU)
EU AI Act (berlaku 2025-2026) mengatur penggunaan AI berdasarkan risk level:
- Unacceptable risk — dilarang (social scoring, manipulasi).
- High risk — diatur ketat (healthcare, law enforcement, recruitment).
- Limited risk — transparansi (chatbots, deepfakes).
- Minimal risk — tidak diatur (spam filters, game AI).
CTO harus memastikan penggunaan AI di produk mematuhi regulasi ini.
#Vendor Risk Management
#Evaluasi Vendor
Sebelum mengadopsi vendor/service baru, evaluasi:
| Aspek | Pertanyaan |
|---|---|
| Security | Apakah vendor punya SOC2, ISO 27001, atau sertifikasi lain? |
| Data handling | Bagaimana vendor menyimpan dan memproses data kalian? |
| SLA | Apa jaminan uptime dan dampak jika vendor gagal? |
| Exit strategy | Bagaimana cara keluar dari vendor jika diperlukan? |
| Compliance | Apakah vendor mematuhi regulasi yang berlaku untuk kalian? |
#Vendor Lock-in
Sebelum memilih vendor, pertimbangkan portabilitas:
- Gunakan standar industri (OCI untuk container, SQL untuk database).
- Hindari proprietary APIs yang tidak ada alternatifnya.
- Siapkan exit strategy sejak awal.
Note
Vendor risk bukan masalah sekali setahun — ia harus di-review secara berkala. Vendor yang aman tahun lalu mungkin sudah punya breach tahun ini. Schedule annual vendor review sebagai bagian dari security governance.
#Membangun Security Governance
#Security Champion Program
Alih-alih mengandalkan satu tim keamanan, sebarkan keamanan ke seluruh organisasi:
- Tentukan satu security champion per tim (engineer yang tertarik pada security).
- Berikan training tambahan kepada champion.
- Champion menjadi jembatan antara tim keamanan dan tim engineering.
#Security Metrics
Ukur postur keamanan dengan metrik:
- Mean time to patch — berapa lama vulnerability ditambal setelah ditemukan.
- Security training completion — berapa banyak engineer yang sudah training.
- Vulnerability density — jumlah vulnerability per 1000 baris kode.
#Penutup
Inti yang harus dibawa pulang:
- Security punya tiga pilar: prevent, detect, respond — kalian butuh semuanya.
- Data compliance (GDPR, CCPA, AI Act) bukan opsional — pelanggaran bisa menghabiskan jutaan dolar.
- Vendor risk harus dievaluasi secara berkala dengan exit strategy yang jelas.
- Security champion program menyebarkan keamanan ke seluruh organisasi.
Di episode 11 selanjutnya kita akan membahas communication & stakeholders — board reporting, executive communications, dan cara mengelola ekspektasi non-teknis. Pastikan kalian sudah memahami security governance, karena board akan bertanya tentang postur keamanan perusahaan!