Bagaimana Mengelola Risiko Keamanan Informasi Vendor? Panduan untuk Perusahaan

Perlu diketahui Perusahaan tidak hanya menghadapi risiko keamanan informasi dari sistem internal. Vendor yang menyediakan layanan teknologi, memproses data pelanggan, mengelola infrastruktur, atau memperoleh akses ke sistem perusahaan juga dapat menjadi sumber risiko.

Sebagai contoh, ketika perusahaan menggunakan penyedia cloud untuk menyimpan data pelanggan dan memberikan akses jarak jauh kepada vendor IT, insiden pada vendor atau pengelolaan hak akses yang lemah dapat berdampak langsung pada data perusahaan meskipun kontrol internal telah diterapkan dengan baik.

Oleh karena itu, risiko keamanan informasi vendor harus dikelola secara terstruktur sebagai bagian dari tata kelola keamanan informasi organisasi.

Apa Itu Risiko Keamanan Informasi Vendor?

Risiko keamanan informasi vendor adalah potensi dampak terhadap kerahasiaan (confidentiality), integritas (integrity), atau ketersediaan (availability) informasi organisasi yang timbul dari penggunaan produk, layanan, atau hubungan dengan pihak ketiga.

Cakupan vendor tidak terbatas pada penyedia perangkat lunak atau layanan TI. Pihak ketiga yang perlu dievaluasi meliputi:

• Penyedia layanan cloud & SaaS
• Perusahaan outsourcing
• Vendor Payroll dan HR
• Konsultan Independen
• Mitra pengelola dan dan pemasok pendukung proses bisnis kritis

Penilaian risiko harus mempertimbangkan jenis layanan, tingkat akses yang diberikan, sensitivitas informasi, ketergantungan operasional, serta dampak bisnis jika terjadi gangguan.

7 Jenis Risiko Keamanan Informasi Vendor yang Perlu Diwaspadai

Akses pihak ketiga yang tidak dikendalikan dengan ketat dapat menimbulkan berbagai potensi ancaman:

1. Kebocoran Data dan Akses Tanpa Izin: Hak akses yang terlalu luas atau akun yang disalahgunakan dapat mengekspos informasi pelanggan, dokumen internal, dan data bisnis.
2. Malware dan Ransomware: Sistem vendor yang terkompromi dapat menjadi pintu masuk serangan siber ke jaringan perusahaan melalui akses jarak jauh atau integrasi aplikasi.
3. Keasalan Konfigurasi Sistem: Pengaturan izin akses atau penyimpanan cloud yang kurang tepat dapat menyebabkan data terbuka secara tidak sengaja.
4. Kerentanan Rantai Pasok Teknologi (ICT Supply Chain): Kelemahan pada komponen software pihak ketiga dapat berdampak pada seluruh organisasi pengguna.
5. Gangguan Layanan:Insiden siber atau kegagalan infrastruktur pada vendor dapat menghentikan kelangsungan bisnis.
6. Risiko Privasi dan Ketidakpatuhan: Pengelolaan data yang buruk memicu sanksi hukum serta ketidakpatuhan regulasi.
7. Risiko Subkontraktor dan Konsentrasi Vendor: Ketergantungan pada satu vendor utama atau subkontraktor yang tidak terpantau memperbesar dampak insiden.

4 Pilar Manajemen Risiko yang Relevan untuk Vendor

Tidak ada satu susunan empat pilar manajemen risiko yang berlaku universal. ISO 31000:2018 menyediakan prinsip, kerangka kerja, dan proses manajemen risiko, bukan empat pilar resmi khusus vendor. Untuk mempermudah implementasi, perusahaan dapat menggunakan empat elemen praktis berikut:

1. Identifikasi dan tata kelola risiko: Petakan vendor, layanan, informasi yang diakses, pemilik hubungan, kriteria penilaian, dan pihak yang berwenang menerima risiko.
2. Analisis dan penilaian risiko: Nilai kemungkinan kejadian, dampak terhadap bisnis, efektivitas kontrol, serta risiko yang masih tersisa.
3. Penanganan dan pengendalian risiko: Tentukan langkah mitigasi, klausul keamanan dalam kontrak, pembatasan akses, dan rencana kontinuitas bisnis.
4. Pemantauan, evaluasi, dan pelaporan: Lakukan peninjauan berkala serta evaluasi ulang yang dipicu oleh perubahan material pada layanan atau akse.

7 Langkah Praktis Mengelola Risiko Keamanan Informasi Vendor

Untuk membangun manajemen risiko vendor yang efektif, terapkan tujuh langkah operasional berikut:

1. Buat Inventaris Vendor

Catat seluruh nama vendor, jenis layanan, pemilik hubungan internal, sistem yang didukung, jenis data yang diproses, serta status subkontraktor.

2. Klasifikasi Vendor Berdasarkan Tingkat Risiko

Pertimbangkan sensitivitas data, luas akses, kritikalitas layanan, dan dampak jika vendor terganggu. Vendor dengan akses administratif atau data sensitif biasanya memerlukan pemeriksaan lebih mendalam daripada vendor dengan akses dan dampak terbatas

3. Lakukan Due Diligance

Gunakan kuesioner, wawancara, pemeriksaan dokumen, atau metode verifikasi lain sesuai tingkat risiko. Tinjau pengelolaan akses, pembaruan keamanan, respons insiden, pemulihan layanan, dan penggunaan subkontraktor. Jawaban vendor perlu didukung bukti yang proporsional dengan risiko.

4. Nilai dan Prioritaskan Risiko

Metode sederhana adalah Skor risiko = Kemungkinan × Dampak. Perusahaan dapat menggunakan skala 1–5 untuk setiap faktor. Contohnya, kemungkinan 4 dan dampak 5 menghasilkan skor 20 dari 25. Rentang risiko harus ditetapkan berdasarkan toleransi organisasi; skala ini bukan ketentuan wajib ISO. Bedakan risiko inheren sebelum kontrol dan risiko residual setelah kontrol.

5. Tetapkan Persyarakatkan Keamanan dalam Kontrak

Kontrak dapat memuat tanggung jawab keamanan, ruang lingkup akses dan pemrosesan data, kerahasiaan, penanganan insiden, penggunaan subkontraktor, penyediaan bukti kontrol, kontinuitas layanan, serta pengembalian atau penghapusan data di akhir kerja sama.

6. Batasi dan Tinjau Hak Akses Vendor

Berikan akses hanya sesuai kebutuhan. Gunakan akun individual, pembatasan hak administratif, autentikasi yang kuat, akses jarak jauh yang aman, dan pencatatan aktivitas penting. Tinjau izin secara berkala serta cabut akses ketika tidak lagi diperlukan.

7. Pantau Perubahan dan Lakukan Offboarding Terkendali

Tinjau insiden, perubahan layanan, subkontraktor, dan temuan kontrol. Ketika kerja sama berakhir, pastikan akses dicabut, aset dikembalikan, serta data ditangani sesuai perjanjian. Dokumentasikan penyelesaian tersebut.

Contoh Matriks Penilaian Risiko Vendor

Matriks berikut dapat digunakan sebagai titik awal penilaian. Tambahkan skor risiko, pemilik tindakan, tenggat perbaikan, dan status persetujuan agar hasil assessment dapat dipantau.

Jenis Vendor	Risiko Utama	Kontrol dan bukti yang ditinjau
Penyedia cloud/SaaS	Paparan data atau gangguan layanan	Akses, perlindungan data, backup, dan klausul layanan
Vendor IT dengan akses administratif	Penyalahgunaan akun atau perubahan sistem	Daftar akses, autentikasi, logging, dan persetujuan perubahan
Penyedia payroll/HR	Paparan data karyawan	Perjanjian pemrosesan, pembatasan akses, dan penghapusan data
Vendor operasional dengan akses terbatas	Gangguan proses atau akses tidak sesuai	Catatan otorisasi, pengawasan, dan hasil evaluasi

Hubungan Risiko Vendor dengan ISO/IEC 27001:2022

ISO/IEC 27001:2022 menyediakan persyaratan sistem manajemen keamanan informasi. Annex A mencakup beberapa kontrol yang relevan dengan pengelolaan vendor:

Kontrol Annex A	Fokus
A.5.19	Keamanan informasi dalam hubungan pemasok
A.5.20	Persyaratan keamanan informasi dalam perjanjian pemasok
A.5.21	Pengelolaan keamanan dalam rantai pasok ICT
A.5.22	Pemantauan, peninjauan, dan pengelolaan perubahan layanan pemasok
A.5.23	Keamanan informasi dalam penggunaan layanan cloud

Penerapan kontrol harus didasarkan pada hasil penilaian risiko dan didokumentasikan secara resmi dalam Statement of Applicability (SoA).

Checklist Kesiapan Pengelolaan Risiko Vendor

Gunakan checklist evaluasi cepat berikut untuk menilai kesiapan organisasi Anda:

• Apakah vendor yang mengakses data, sistem, atau layanan penting sudah terinventarisasi?
• Apakah tingkat risiko vendor telah diklasifikasikan?
• Apakah due diligence dilakukan sesuai tingkat risiko?
• Apakah risiko tinggi memiliki pemilik tindakan dan tindak lanjut?
• Apakah persyaratan keamanan yang relevan tercantum dalam kontrak?
• Apakah akses vendor dibatasi dan ditinjau secara berkala?
• Apakah perubahan layanan, subkontraktor, dan insiden dapat memicu penilaian ulang?
• Apakah akses dan data dikelola ketika kerja sama berakhir (offboarding)?

Hasil checklist dapat digunakan untuk menentukan prioritas perbaikan berdasarkan dampak bisnis dan toleransi risiko.

5 Kesalahan Utama dalam Evaluasi Risiko Vendor

Hindari beberapa kekeliruan umum berikut dalam penerapan penilaian risiko vendor]:

1. Menggunakan Kuesioner Uniform: Mengirimkan daftar pertanyaan yang sama ke semua vendor tanpa melihat skala akses dan dampak layanan.
2. Menjadikan Sertifikat Sebagai Jaminan Mutlak: Sertifikat ISO atau laporan audit merupakan bukti pendukung, bukan pengganti penilaian risiko spesifik.
3. Hanya Menilai di Awal Kerja Sama: Mengabaikan evaluasi ulang saat terjadi perubahan sistem, penambahan subkontraktor, atau insiden siber.
4. Tidak Menetapkan Pemilik Risiko ( Risk Owner): Temuan evaluasi berhenti menjadi dokumen tanpa eksekusi perbaikan.
5. Mengabaikan Risiko Residual: Risiko yang tersisa tidak didokumentasikan atau tidak mendapatkan persetujuan dari pihak berwenang.

Kesimpulan

Pengelolaan risiko keamanan informasi vendor sangat krusial karena kelangsungan operasional dan reputasi organisasi saling terhubung dengan keandalan pihak ketiga. Langkah pengelolaan yang efektif dimulai dari inventarisasi, klasifikasi risiko, due diligence, penetapan kontrak, pengendalian akses, hingga pemantauan berkesinambungan.

Jika perusahaan Anda memiliki proses penilaian risiko terhadap vendor dan memerlukan struktur agar sesuai standar, maka MBO siap membantu perusahaan Anda. Kami membantu perusahaan Anda untuk mengevaluasi kesiapan sistem manajemen keamanan informasi, mengidentifikasi gap, serta menyusun prioritas perbaikan yang terarah.

Pelajari Layanan Mitra Berdaya Optima (MBO): Konsultasi ISO dan IT Assessment