Belajar Enterprise Architect - Enterprise Security Strategy

#Pendahuluan

Fase 4 dimulai. Di episode 14 kalian membangun security blueprint — kontrol konkret per domain arsitektur. Episode ini naik satu tingkat abstraksi: security strategy di level enterprise. Bedanya persis beda arsitektur solusi dengan enterprise architecture: blueprint menjawab "kontrol apa yang dipasang", strategy menjawab "seberapa aman kita ingin dan sanggup menjadi, urutan gerakannya apa, dan berapa anggarannya".

Mengapa EA perlu terlibat di level ini? Karena keamanan yang baik adalah keputusan alokasi: anggaran terbatas, risiko tak terbatas, dan tiap rupiah harus jatuh ke kontrol yang paling menurunkan risiko material. Tanpa strategy, security berkembang sebagai reaksi headline berita — beli tools setelah korban lain viral — dan landscape-nya jadi kumpulan produk tanpa koherensi.

#Security Maturity Assessment: Titik Nol

Strategy dimulai dari kejujuran tentang posisi sekarang. Kerangka penilaian yang praktis dan gratis: NIST Cybersecurity Framework — enam fungsi: Govern, Identify, Protect, Detect, Respond, Recover. Tiap fungsi dinilai dalam tier kematangan:

Tier 0 - Ad hoc     : bergantung individu, tak terdokumentasi
Tier 1 - Partial    : proses ada di beberapa unit, tidak konsisten
Tier 2 - Risk informed : proses resmi tapi belum didukung data
Tier 3 - Repeatable : terukur, direview, diperbarui berkala

Cara penilaian yang menghasilkan kebenaran (bukan flattery): tiap fungsi dinilai per domain/unit — security incident response BayarKu mungkin Tier 2 sementara KirimKu Tier 0 — lalu diverifikasi dengan bukti, bukan wawancara selera: ada policy tertulis? Ada log pelaksanaan? Ada metrik yang direview? Hasil tipikal grup usaha seperti Bumi Niaga: Protect sedang (firewall dan EDR sudah ada), Detect dan Respond lemah, Recover hampir kosong, Govern informal.

Temuan penting assessment: ketimpangan antar-unit adalah risiko tersendiri. Attacker tidak menyerang unit terkuat — mereka masuk lewat unit terlemah lalu bergerak lateral. Grup dengan satu lini Tier 2 dan dua lini Tier 0 memiliki risiko agregat mendekati Tier 0.

#Risk Appetite: Bahasa Direksi

Risk appetite adalah pernyataan resmi tentang berapa banyak risiko yang mau diambil demi tujuan bisnis. Ini dokumen yang memindahkan diskusi security dari tim teknis ke meja direksi — tempat tanggung jawabnya memang seharusnya.

Format yang saya pakai: pernyataan per kategori risiko dengan ambang konkret:

Kepatuhan regulasi : ZERO tolerance - pelanggaran UU PDP / regulator
                     fintech tidak ditoleransi dalam kondisi apapun;
                     investasi compliance selalu prioritas.
Ketersediaan       : Rendah - downtime checkout >30 menit di jam sibuk
                     dihindari; RTO/Fulfillment 4 jam, RTO/core payment 1 jam.
Data pelanggan     : Sangat rendah - tidak ada toleransi kebocoran
                     data KYC/PII; kontrol preventif wajib.
Fraud              : Moderat - toleransi fraud rate <=0.1% nilai transaksi;
                     friction UX boleh ditambah bila ambang terlampaui.
Inovasi            : Tinggi - eksperimen fitur baru diperbolehkan gagal,
                     asal di sandbox dan tanpa data produksi mentah.

Perhatikan pola terakhir: risk appetite juga melindungi inovasi. Pernyataan "eksperimen boleh gagal di sandbox" memberi legitimasi formal bagi tim bergerak cepat — tanpa itu, setiap insiden kecil memicu lockdown seremonial semua eksperimen. Strategy yang baik memindahkan keputusan dari emosi pasca-insiden ke deliberasi tenang pra-insiden.

#Security Roadmap Multi-Tahun

Gabungkan maturity gap dan risk appetite menjadi roadmap 18-36 bulan. Prioritisasi memakai matriks sederhana: dampak pengurangan risiko x effort, difilter oleh risk appetite (yang zero-tolerance otomatis masuk wave awal):

Tiga prinsip penyusunan yang menjaga roadmap tetap realistis:

• Urutan logis, bukan urutan produk — logging sentral sebelum SIEM; IR playbook sebelum threat hunting; fondasi episode 14 (IdP, klasifikasi data) adalah prasyarat, bukan opsional.
• Setiap wave menghasilkan bukti — metrik yang bisa dilaporkan direksi tiap kuarter; security tanpa metrik akan kehilangan anggaran di kuarter ekonomi sulit.
• Anggaran jujur termasuk orang — tools biasanya sepertiga biaya; sisanya skill, operasi, dan latihan. Roadmap yang menganggarkan SIEM tanpa analisnya adalah pembelian furniture.

#Menautkan ke Arsitektur Harian

Strategy hidup jika menetes ke keputusan harian: ARB checklist (episode 9) menambahkan pertanyaan keselarasan dengan roadmap security; exception record wajib mencatat dampaknya terhadap risk appetite — proposal yang menembus ambang zero-tolerance otomatis ditolak tanpa debat; dan tiap inisiatif roadmap bisnis (episode 8) diaudit implikasi security-nya sejak intake, bukan saat go-live. Hubungan ini dua arah: insiden dan near-miss dari operasi harian menjadi input review strategy tiap kuarter — loop belajar yang membuat dokumen tidak mengeras menjadi artefak mati.

Episode berikutnya membedah satu cabang strategy yang paling teregulasi: bagaimana regulasi — dari UU PDP sampai standar industri pembayaran — diterjemahkan menjadi peta kepatuhan arsitektural.

#Praktik: Security Roadmap Bumi Niaga

Kerjakan di ea-lab/case-study/security/:

1. Maturity assessment — nilai enam fungsi CSF untuk ketiga lini dalam grid unit x fungsi; tandai dua gap dengan bukti terlemah dan satu ketimpangan antar-lini yang paling berbahaya.
2. Risk appetite statement — rumuskan lima kategori ala contoh di atas; sesuaikan ambangnya dengan karakter tiap lini (fintech vs logistik).
3. Roadmap 3 wave — isi tabel wave/fokus/CSF/indikator untuk Bumi Niaga; tandai dependensi ke deliverable episode 7 (landing zone), 13 (hybrid), dan 14 (blueprint).
4. Simulasi reporting — tulis ringkasan kuarteran 200 kata untuk direksi: posisi maturity, tren metrik, satu permintaan keputusan.

#Kesalahan Umum Security Strategy

Dua pola gagal yang paling sering: assessment yang dilaporkan jujur tapi tak pernah menghasilkan perubahan anggaran (assessment tanpa roadmap adalah inventaris kekecewaan), dan risk appetite yang ditulis terlalu abstrak untuk diputuskan — "kami menghargai keamanan" bukan appetite; "RTO core payment 1 jam, fraud rate maksimal 0.1%" adalah. Uji sederhananya: setiap kalimat dalam risk appetite harus bisa dijawab ya/tidak saat insiden terjadi.

Satu dashboard kecil untuk strategy ini:

#Penutup

Inti yang harus dibawa pulang:

• Security strategy dimulai dari penilaian maturity berbasis bukti ala NIST CSF; ketimpangan antar-unit adalah temuan yang lebih berbahaya daripada rata-rata yang rendah.
• Risk appetite memindahkan keputusan risiko ke ruang yang tepat — direksi — dengan ambang konkret per kategori; ia juga melindungi ruang inovasi secara formal.
• Roadmap security disusun per wave dengan urutan logis, bukti terukur, dan anggaran yang menghitung manusia, bukan sekadar tools.
• Strategy menetes ke harian lewat ARB, exception, dan intake roadmap — plus loop balik dari insiden agar dokumen tetap hidup.

Di episode 19 kita menyelam ke cabang paling teregulasi: regulatory architecture — memetakan tumpukan regulasi yang memengaruhi Bumi Niaga (UU PDP, standar pembayaran, GDPR untuk ekspansi), menerjemahkannya menjadi kontrol arsitektural, dan membangun kesiapan audit yang tidak lagi bikin panik tiga bulanan. Sampai jumpa di episode 19!