Perusahaan Anda Belum Pernah Diretas… Bukan Berarti Sudah Aman

Selama Tidak Ada Masalah… Semua Terlihat Aman

Di banyak perusahaan…

selama server masih menyala,

website masih bisa diakses,

email masih berjalan,

semuanya dianggap baik-baik saja.

Direksi merasa tenang.

Tim IT juga merasa pekerjaannya berjalan normal.

Lalu muncul satu kalimat yang sering saya dengar.

“Kita aman kok. Belum pernah kena serangan.”

Padahal…

belum pernah mengalami insiden…

tidak selalu berarti sistem benar-benar aman.

---

Rasa Aman Palsu Lebih Berbahaya Daripada Ancaman

Keamanan informasi bukan diukur dari:

• belum pernah diretas
• belum pernah viral
• belum pernah kehilangan data

Karena banyak organisasi baru sadar memiliki celah keamanan…

setelah insiden benar-benar terjadi.

Sama seperti rumah.

Rumah yang belum pernah kemalingan…

belum tentu memiliki sistem keamanan yang baik.

Bisa jadi…

hanya belum ada yang mencoba masuk.

---

ISO 27001 Tidak Mengajarkan Menunggu Sampai Terjadi Insiden

ISO 27001 justru mengajarkan hal yang berbeda.

Yang harus dilakukan adalah:

✓ mengenali aset

✓ memahami ancaman

✓ mengukur risiko

✓ menerapkan kontrol

✓ melakukan monitoring secara terus-menerus

Artinya…

keamanan bukan soal keberuntungan.

Melainkan soal kesiapan.

---

Belum pernah diretas bukan berarti aman. Bisa jadi… ancamannya saja yang belum datang.

---

Pertanyaannya Bukan “Sudah Pernah Diretas?”

Pertanyaan yang lebih penting adalah:

• Kalau server utama mati hari ini… apakah perusahaan siap?
• Kalau data customer bocor… bagaimana prosedurnya?
• Kalau ransomware menyerang… siapa yang mengambil keputusan?

Kalau pertanyaan-pertanyaan itu belum bisa dijawab…

mungkin masalahnya bukan pada teknologi.

Tetapi pada kesiapan organisasi.

---

Keamanan Tidak Pernah Menunggu Insiden

Perusahaan yang benar-benar aman…

bukan perusahaan yang belum pernah diserang.

Tetapi perusahaan yang sudah siap…

bahkan sebelum serangan datang.

#ISO27001 #InformationSecurity #CyberSecurity #RiskManagement #ITGovernance #DigitalTransformation #BusinessContinuity #SecurityAwareness #CyberRisk #DataProtection #OperationalExcellence #ITLeadership #Mitratex #ESTIMSoftware #YourCompliancePartner #IndonesiaTechDigest

Ditulis oleh: Febby Febrianti

Sudah Sertifikasi ITIL… Tapi Kenapa Masih Panik Saat Incident?

Ketika Sertifikat Tidak Menyelamatkan Operasional

---

Semua Terlihat Siap… Sampai Incident Terjadi

Di atas kertas, semuanya lengkap:

• Tim sudah punya sertifikasi ITIL
• Proses sudah dibuat
• Tools sudah diimplementasi
• SOP sudah disusun

Kalau ditanya:

“Apakah kita siap menghadapi incident?”

Jawabannya hampir selalu:

“Siap.”

---

Lalu Sistem Down… dan Semua Berubah

Dalam hitungan menit:

• Semua mulai panik
• Tidak jelas siapa yang harus handle
• Eskalasi terjadi ke semua arah
• Chat penuh, tapi tidak ada koordinasi
• Semua sibuk… tapi tidak terkontrol

Dan yang paling sering saya lihat:

Orang-orang yang sudah sertifikasi… ikut panik.

---

Kenapa Ini Terjadi?

Ini kenyataan yang jarang diakui:

Sertifikasi tidak otomatis berarti siap secara operasional.

---

Kesalahan yang Paling Sering Terjadi

1. Belajar ITIL = Menghafal, Bukan Mempraktikkan

Banyak yang:

• tahu definisi
• hafal istilah
• lulus ujian

Tapi belum pernah:

• menghadapi incident real
• mengambil keputusan dalam tekanan
• menjalankan proses secara end-to-end

---

2. Proses Ada, Tapi Tidak Pernah Dilatih

Secara teori:

• ada incident management
• ada escalation path
• ada role & responsibility

Tapi di lapangan:

• tidak pernah disimulasikan
• tidak pernah diuji
• tidak pernah dilatih dalam kondisi nyata

---

3. Tidak Ada “Muscle Memory” Operasional

Saat incident:

Yang bekerja bukan teori. Yang bekerja adalah:

reflex & kebiasaan tim

Kalau tidak pernah dilatih:

panik adalah respon default.

---

4. Tidak Ada Single Command

Yang sering terjadi:

• semua orang merasa harus ikut turun
• semua ingin bantu
• semua berbicara

Hasilnya:

tidak ada yang benar-benar memimpin

---

Masalah Sebenarnya

Bukan:

• kurang sertifikasi
• kurang framework
• kurang tools

Tapi:

Kurang kesiapan menghadapi real situation

---

Ciri-Ciri Organisasi yang “Kelihatan Siap, Tapi Sebenarnya Tidak”

• Semua punya sertifikasi, tapi tidak ada koordinasi saat incident
• Banyak diskusi… tapi lambat mengambil keputusan
• Eskalasi tidak jelas
• Status tidak transparan
• Semua sibuk, tapi tidak efektif

---

Solusi (Yang Jarang Dilakukan)

1. Latihan Incident Secara Berkala

Bukan hanya:

• training
• workshop

Tapi:

simulasi chaos

---

2. Tetapkan Incident Commander

Harus ada:

• satu orang memimpin
• satu arah keputusan

Bukan:

semua orang berbicara

---

3. Bangun Operasional yang Terlatih, Bukan Sekadar Terdokumentasi

Proses harus:

• dijalankan
• dilatih
• diulang

Sampai menjadi:

kebiasaan

---

4. Integrasi Tool & Komunikasi

Saat incident:

• tidak boleh ada channel liar
• semua harus terpusat

---

Sertifikasi membuat Anda tahu apa yang harus dilakukan. Tapi hanya latihan yang membuat Anda bisa melakukannya saat panik.

---

Dalam dunia nyata:

Incident tidak datang dengan:

• soal pilihan ganda
• waktu berpikir
• kondisi ideal

Incident datang dengan:

• tekanan
• ketidakpastian
• dan chaos

---

Banyak orang bangga punya sertifikasi ITIL.

Tapi saat incident datang… semuanya panik.

Karena di lapangan, yang bekerja bukan teori.

Tapi kebiasaan.

Sertifikat tidak menyelamatkan operasional.

Kesiapan yang dilatih—itu yang menyelamatkan.

#DigitalTransformation #Mitratex #MitratexConsulting #IndonesiaTechDigest #ITServiceManagement #IncidentManagement #ITOperations #ITGovernance #DigitalTransformation #ITLeadership #BusinessContinuity #OperationalExcellence #ServiceManagement #ITStrategy #ContinuousImprovement #MajorIncident

Ditulis oleh: Dr. Dede Mulyana

Kenapa KPI IT Sering Menipu Direksi?

Dashboard Hijau Tidak Selalu Berarti Bisnis Sehat

---

Semua Terlihat Baik… di Ruang Meeting

Di ruang rapat:

• Grafik naik
• SLA tercapai
• KPI hijau semua
• Presentasi rapi

Direksi melihat, mengangguk, lalu berkata:

“Good job. Lanjutkan.”

---

Tapi di Luar Ruangan Itu… Ceritanya Berbeda

Di lantai operasional:

• User mengeluh sistem lambat
• Proses bisnis terganggu
• Banyak workaround manual
• Incident berulang

Dan yang paling sering terjadi:

User sudah tidak percaya lagi pada sistem IT.

---

Dimana Letak Masalahnya?

Bukan di:

• tools
• tim IT
• atau bahkan framework

Masalahnya ada di:

KPI yang tidak mencerminkan realitas.

---

Kesalahan Paling Umum dalam KPI IT

1. Mengukur Aktivitas, Bukan Dampak

Contoh:

• “Berapa tiket diselesaikan?”
• “Berapa cepat response?”

Tapi tidak pernah ditanya:

“Apakah masalahnya benar-benar hilang?”

---

2. SLA Fokus ke Waktu, Bukan Kualitas

• Respon cepat → KPI bagus
• Tiket ditutup cepat → SLA aman

Tapi:

• masalah masih ada
• user tetap frustrasi

---

3. KPI Dibuat untuk Aman, Bukan Akurat

KPI sering didesain agar:

• mudah dicapai
• tidak “memalukan”
• terlihat bagus di report

Bukan untuk:

• mengungkap masalah

---

4. Data Tidak Mewakili Kenyataan

Banyak aktivitas terjadi di luar sistem:

• WhatsApp
• Telepon langsung
• Email personal

Akhirnya:

Dashboard hanya menunjukkan sebagian kecil dari realita

---

Inilah Masalah Besarnya

Direksi membuat keputusan berdasarkan:

Data yang terlihat rapi… tapi tidak lengkap

Dan itu berbahaya.

---

Akibatnya?

• Investasi salah arah
• Masalah berulang tidak terselesaikan
• Risiko tidak terdeteksi
• Kepercayaan bisnis ke IT menurun

Dan yang paling fatal:

Perusahaan merasa aman… padahal sedang menuju masalah besar.

---

Ciri-Ciri KPI yang “Menipu”

Kalau Anda melihat ini, waspada:

• KPI selalu tercapai, tapi user tetap komplain
• Tidak ada metrik tentang user experience
• Tidak ada pengukuran terhadap problem berulang
• Semua terlihat stabil… sampai terjadi kegagalan besar

---

Solusi: Ubah Cara Mengukur

1. Dari Activity → Outcome

Bukan:

• “Berapa tiket selesai”

Tapi:

• “Berapa masalah tidak kembali lagi”

---

2. Tambahkan Perspektif User

• User satisfaction
• Business impact
• Downtime cost

---

3. Integrasikan Semua Channel

Semua aktivitas harus masuk ke sistem:

no hidden work

---

4. KPI Harus Berani “Jujur”

Kalau merah:

tampilkan merah

Karena:

merah itu sinyal perbaikan, bukan kegagalan

---

KPI yang selalu hijau… seringkali adalah KPI yang paling berbahaya.

---

Direksi tidak butuh:

• dashboard yang indah
• report yang rapi

Mereka butuh:

Kebenaran.

Karena keputusan yang salah… seringkali bukan karena kurang data.

Tapi karena:

Datanya terlalu “cantik”.

---

Dashboard hijau itu menenangkan.

Tapi tidak selalu jujur.

Banyak KPI dibuat untuk terlihat baik, bukan untuk menunjukkan kenyataan.

Dan di situlah masalahnya dimulai.

KPI yang selalu hijau… bisa jadi adalah alarm yang tidak pernah berbunyi.

#DigitalTransformation #Mitratex #MitratexConsulting #IndonesiaTechDigest #ESTIMSoftware #ITGovernance #ITSM #ITServiceManagement #DigitalTransformation #ITLeadership #CIO #KPI #ManajemenTI #AuditTI #EnterpriseArchitecture #BusinessPerformance #ITStrategy

Ditulis oleh: Dr. Dede Mulyana