Keselamatan siber ialah keutamaan operasi bagi organisasi di Malaysia kerana ancaman seperti phishing, ransomware, kebocoran data dan gangguan sistem boleh menjejaskan reputasi, pematuhan serta kesinambungan perniagaan. Dalam amalan saya, pendekatan paling berkesan ialah gabungan polisi yang jelas, kawalan teknikal, latihan pengguna dan pemantauan berterusan.
Dalam beberapa tahun kebelakangan ini, saya melihat organisasi bukan sahaja berdepan serangan yang lebih kerap, tetapi juga serangan yang lebih tersasar. Penyerang kini menyasarkan rantaian bekalan, akaun e-mel eksekutif, sistem awan dan endpoint pekerja jarak jauh. Bagi organisasi kerajaan dan korporat, impaknya bukan sekadar kehilangan data; ia boleh mengganggu perkhidmatan awam, operasi harian dan keyakinan pihak berkepentingan.
Di Malaysia, keperluan pematuhan seperti Akta Perlindungan Data Peribadi 2010 (PDPA) dan keperluan tadbir urus dalaman menjadikan keselamatan siber sebagai isu pengurusan, bukan hanya isu IT. Apabila saya berbincang dengan pasukan pengurusan, soalan utama biasanya bukan “adakah kita mempunyai alat?”, tetapi “adakah kita mampu terus beroperasi jika berlaku insiden?”.
Phishing masih menjadi pintu masuk paling biasa kerana ia memanfaatkan tingkah laku manusia. E-mel yang kelihatan sah, pautan palsu, invois tiruan dan permintaan mendesak daripada “pengurusan” sering berjaya apabila organisasi tidak mempunyai disiplin semakan dua langkah.
Ransomware boleh menyulitkan fail dan melumpuhkan operasi dalam masa singkat. Dalam banyak kes, masalah sebenar bukan hanya penyulitan data, tetapi juga ketiadaan sandaran yang boleh dipulihkan dengan cepat serta pelan tindak balas insiden yang jelas.
Apabila organisasi menggunakan Cloud Computing (Pengkomputeran Awan) tanpa kawalan akses yang baik, risiko salah konfigurasi meningkat. Saya pernah melihat storan awan yang terbuka kepada pengguna tidak berkenaan hanya kerana tetapan lalai tidak disemak semula selepas migrasi.
Identity and Access Management (Pengurusan Identiti dan Akses) yang lemah membuka ruang kepada pengambilalihan akaun, terutama jika kata laluan digunakan semula atau Multi-Factor Authentication (Pengesahan Pelbagai Faktor) tidak diwajibkan.
Jika organisasi mahu memperkukuh keselamatan siber dengan cepat, saya cadangkan bermula dengan kawalan asas yang memberi impak tinggi. Langkah ini tidak memerlukan belanja besar, tetapi memerlukan disiplin pelaksanaan.
Dasar keselamatan yang baik tidak sepatutnya menjadi dokumen tebal yang jarang dibaca. Dalam pengalaman saya, dasar yang berkesan ialah yang ringkas, jelas dan disokong oleh proses kerja harian. Contohnya, dasar penggunaan e-mel perlu menerangkan cara mengesahkan permintaan pembayaran, manakala dasar akses sistem perlu menetapkan siapa yang meluluskan perubahan peranan pengguna.
Organisasi juga perlu mewujudkan struktur tadbir urus yang mudah difahami. Sekurang-kurangnya, perlu ada jawatankuasa atau pemilik risiko yang menilai status keselamatan siber secara berkala, memantau insiden, dan melaporkan isu utama kepada pengurusan tertinggi. Bagi organisasi yang lebih besar, pendekatan berasaskan rangka kerja seperti ISO/IEC 27001 atau NIST Cybersecurity Framework (Rangka Kerja Keselamatan Siber NIST) boleh membantu menyusun keutamaan.
Teknologi hanya berkesan jika pengguna tahu cara menggunakannya dengan betul. Saya sering mencadangkan latihan yang pendek tetapi konsisten, bukannya sesi panjang setahun sekali. Latihan yang baik perlu merangkumi pengenalan kepada phishing, pengurusan kata laluan, keselamatan peranti mudah alih dan prosedur pelaporan insiden.
Contoh yang praktikal: jalankan simulasi e-mel phishing setiap suku tahun, kemudian kongsi dapatan dalam bentuk yang tidak memalukan pengguna. Apabila pekerja melihat contoh sebenar e-mel palsu yang hampir menipu mereka, tahap kewaspadaan biasanya meningkat dengan ketara. Ini memberi kesan langsung kepada kekuatan keselamatan siber organisasi.
Bagi organisasi yang mahu memperkemas pertahanan, beberapa kawalan teknikal patut diberi keutamaan kerana ia memberi pulangan risiko yang tinggi.
Dalam persekitaran moden, saya juga melihat nilai besar pada pendekatan secure by design (selamat dari reka bentuk). Ini bermaksud keselamatan dibina sejak awal dalam seni bina sistem, bukan ditampal selepas pelaksanaan. Bagi organisasi yang menggunakan API-first design (reka bentuk berasaskan API), kawalan seperti pengesahan token, rate limiting dan audit log perlu dirancang dari awal.
Kebanyakan insiden serius bermula dengan akaun yang dikompromi. Oleh itu, pengurusan identiti perlu menjadi fokus utama. Saya biasanya mengesyorkan organisasi melaksanakan semakan akses berkala, pemisahan akaun pentadbir dan akaun harian, serta polisi kata laluan yang selaras dengan amalan semasa, termasuk penggunaan pengurus kata laluan yang diluluskan.
Untuk peranti, terutamanya dalam persekitaran kerja hibrid, organisasi perlu memastikan peranti yang mengakses data syarikat mematuhi standard minimum. Ini termasuk penyulitan cakera, kemas kini sistem operasi, antivirus atau EDR, dan keupayaan memadam data dari jauh jika peranti hilang. Pendekatan ini menyokong keselamatan siber secara menyeluruh kerana ia melindungi titik akses yang paling kerap digunakan.
Satu kesilapan biasa ialah hanya fokus pada pencegahan tanpa menyediakan pelan tindak balas insiden. Dalam realiti, organisasi yang matang ialah organisasi yang tahu apa perlu dibuat dalam 15 minit pertama selepas insiden dikesan. Pelan ini perlu menetapkan peranan, saluran komunikasi, langkah pengasingan sistem, kaedah pemeliharaan bukti dan proses pemulihan.
Secara praktikal, saya cadangkan organisasi menyediakan senarai semak ringkas: siapa perlu dihubungi, sistem mana perlu diputuskan sambungan, bagaimana log disimpan, dan bila pengurusan perlu dimaklumkan. Jika organisasi berurusan dengan data sensitif, pelan komunikasi luaran juga perlu disediakan lebih awal supaya mesej kepada pelanggan, rakan niaga atau pihak berkuasa dapat disampaikan dengan tepat dan konsisten.
Apabila dilaksanakan dengan betul, Cloud Computing (Pengkomputeran Awan) boleh meningkatkan ketahanan operasi melalui sandaran automatik, pemulihan bencana dan kebolehsuaian kapasiti. Namun, manfaat ini hanya datang jika konfigurasi keselamatan diurus dengan teliti. Saya selalu menekankan bahawa migrasi ke awan bukan bermaksud tanggungjawab keselamatan berpindah sepenuhnya kepada penyedia.
Selain itu, AI-driven automation (automasi dipacu Kecerdasan Buatan) boleh membantu pasukan keselamatan menapis amaran, mengesan corak luar biasa dan mempercepat triage insiden. Untuk organisasi yang kekurangan tenaga pakar, automasi ini sangat berguna, tetapi ia tetap perlu disokong oleh semakan manusia bagi keputusan berisiko tinggi. Dalam erti kata lain, teknologi boleh mempercepat tindak balas, tetapi tadbir urus masih menentukan ketepatan tindakan.
Apabila saya menilai tahap kematangan keselamatan siber, saya biasanya melihat lima perkara: inventori aset, kawalan akses, latihan pengguna, pemantauan log dan keupayaan pemulihan. Jika salah satu daripadanya lemah, organisasi masih terdedah walaupun mempunyai alat keselamatan yang canggih.
Kaedah yang paling berkesan ialah memulakan penilaian risiko ringkas: kenal pasti sistem paling kritikal, tentukan ancaman utama, anggarkan impak operasi, kemudian tetapkan kawalan yang paling cepat mengurangkan risiko. Pendekatan ini membantu pengurusan membuat keputusan berdasarkan keutamaan perniagaan, bukan semata-mata berdasarkan senarai teknologi.
Jika organisasi mahu bergerak pantas, saya cadangkan pelan 90 hari yang fokus dan boleh diukur. Dalam 30 hari pertama, lengkapkan inventori aset, wajibkan MFA untuk sistem utama dan semak semula akses pentadbir. Dalam 30 hari seterusnya, jalankan latihan phishing, uji sandaran dan perkemas prosedur pelaporan insiden. Dalam 30 hari terakhir, laksanakan pemantauan log asas, semak konfigurasi awan dan dokumentasikan pelan tindak balas insiden.
Pendekatan berfasa ini lebih realistik berbanding cuba membina semua kawalan serentak. Ia juga membolehkan organisasi melihat hasil awal dengan cepat, yang penting untuk mendapatkan sokongan pengurusan dan bajet susulan. Bagi saya, keselamatan siber yang baik bukan projek sekali siap, tetapi keupayaan operasi yang dibina secara berterusan.
Tips Pantas
Mulakan dengan tiga tindakan hari ini: wajibkan Multi-Factor Authentication (Pengesahan Pelbagai Faktor) untuk akaun kritikal, uji sandaran anda, dan jalankan semakan akses pengguna. Jika anda mahu impak cepat, fokus pada aset paling kritikal dahulu sebelum meluaskan kawalan ke seluruh organisasi.
About
Products
Services
