Pada tahun 2024, tingkat ancaman siber di Indonesia menunjukkan lonjakan signifikan. Berdasarkan laporan BSSN, total serangan siber atau anomali trafik mencapai ± 610 juta kali meningkat sekitar 1 % dibandingkan tahun sebelumnya. Dari jumlah itu, jenis serangan malware tumbuh lebih tajam: dari 1,09 juta serangan di 2023 menjadi 1,23 juta pada 2024, naik sekitar 12,7 %, sepert dilansir dari Dataloka.id
Sementara dari sisi anomali trafik, selama periode Januari–Juli 2024 tercatat 102,95 juta anomali. Dilansir dari FORTUNE Indonesia, sekitar 10 % di antaranya dikonfirmasi menjadi insiden nyata, dengan dominasi malware (~60%) dan aktivitas trojan (~17,5%) sebagai pelaku utama.Data–data ini memperlihatkan bahwa ancaman siber tidak hanya semakin sering, tetapi juga semakin kompleks dan berpotensi menimbulkan dampak serius jika tidak segera dicegah.
Serangan siber kini datang tanpa aba-aba. Laporan ISACA mencatat audit yang dilakukan secara efektif mampu menurunkan risiko insiden keamanan hingga 20–30 persen. Angka itu bukan sekadar statistik. Ia adalah penegasan bahwa audit yang tepat dapat menyelamatkan reputasi, data, dan bahkan keberlangsungan bisnis.
Dari Daftar Cek ke Strategi Pencegahan
Selama bertahun-tahun, audit IT identik dengan “ritual” kepatuhan: memastikan standar ISO 27001 terpenuhi, memeriksa kelengkapan dokumen, menandai checklist. Namun pola lama itu kian rapuh di tengah derasnya gelombang serangan siber. Auditor kini dituntut menjadi semacam “dokter pencegahan” mendiagnosis gejala sebelum penyakit muncul.
Prosesnya dimulai jauh sebelum laporan diserahkan. Risk assessment menjadi pintu masuk. Auditor memetakan sistem, menyoroti titik rawan seperti hak akses pengguna yang terlalu luas atau server yang luput dari patch keamanan. Temuan awal langsung diterjemahkan menjadi saran praktis, dari penutupan port tak terpakai hingga enkripsi cadangan data.
Menyelami Proses Audit Preventif
Langkah berikutnya adalah pengumpulan data. Log sistem, konfigurasi jaringan, dan catatan kepatuhan dipelajari dengan teknik vulnerability assessment. Tujuannya: menemukan celah yang mungkin luput dari pantauan harian tim internal.
Kontrol internal kemudian dievaluasi. Apakah backup dilakukan otomatis? Apakah prosedur pemulihan bencana realistis ketika ransomware menyerang? Pertanyaan-pertanyaan ini menjadi dasar rekomendasi yang bukan sekadar perbaikan, melainkan pencegahan.
Bukti di Lapangan
Contoh rekomendasi preventif yang jamak ditemui mencakup segmentasi jaringan, penghapusan akun karyawan yang sudah keluar, hingga pembaruan rencana disaster recovery. PwC Global Digital Trust Insights 2024 melaporkan perusahaan yang menindaklanjuti rekomendasi seperti ini mengalami 40 persen lebih sedikit gangguan operasional dibanding mereka yang hanya fokus pada kepatuhan.
Bagi banyak organisasi, investasi di tahap pencegahan jauh lebih murah ketimbang biaya pemulihan setelah insiden. Kepercayaan pelanggan pun tetap terjaga, sebuah nilai yang tak ternilai dalam ekonomi digital.
Audit IT kini menempati posisi strategis dalam manajemen risiko. Ia bukan kotak centang dalam daftar compliance, melainkan benteng pertama menghadapi serangan yang kian canggih. “Keamanan informasi adalah maraton, bukan sprint,” tulis laporan ISACA.
