JAMBI — Pembaruan ini bukan sekadar formalitas tahunan. Pemerintah Inggris mengubah standar yang sebelumnya dianggap sebagai "tick-box exercise" menjadi tolok ukur ketahanan siber berkelanjutan. Langkah ini menyusul data survei resmi yang menunjukkan 4 dari 10 bisnis di Inggris mengalami kebocoran data dalam 12 bulan terakhir, dengan serangan siber profil tinggi menyasar perusahaan besar seperti M&S dan JLR.
Bagi perusahaan di Indonesia yang memiliki cabang atau klien di Inggris, perubahan ini wajib dicermati. Standar yang sama berpotensi menjadi acuan kontrak kerja sama internasional di masa depan.
Patch Keamanan Kritis: Target 14 Hari dan Aturan "Double Sampling"
Perubahan paling signifikan ada pada manajemen patch. Sebelumnya, kepatuhan bisa dibuktikan lewat dokumentasi proses dan pembaruan berkala. Kini, patch kritis harus diterapkan dalam jendela waktu 14 hari dan harus bisa dibuktikan berjalan efektif.
Proses verifikasi menggunakan metode "double sampling". Jika bukti pertama menunjukkan masalah kritis, perusahaan diberi satu kesempatan kedua untuk memperbaiki. Gagal pada tahap ini berarti sertifikasi hangus.
Laporan Data Breach Investigations Verizon 2026 mencatat insiden kompromi sistem kini mencapai 61 persen, tertinggi dalam tiga tahun terakhir. Ini menjadi alasan utama tenggat waktu diperketat.
MFA Bukan Lagi Opsi: Gagal Aktifkan Berarti Gagal Sertifikasi
Autentikasi dua faktor (MFA) memang sudah dikenal luas. Masalahnya, penerapannya sering tidak konsisten. Banyak perusahaan baru mengaktifkan MFA untuk akses jarak jauh seperti VPN dan Microsoft 365, tapi mengabaikan antarmuka admin, platform cloud, dan layanan pihak ketiga.
Di kerangka baru, semua sistem cloud yang mendukung MFA wajib mengaktifkannya untuk seluruh pengguna, baik itu opsi gratis maupun berbayar. Tanpa MFA aktif, hasil akhirnya adalah kegagalan otomatis dalam penilaian sertifikasi.
Layanan Cloud Tidak Bisa Lagi Dikeluarkan dari Cakupan Audit
Argumentasi lama yang mengecualikan layanan cloud dari ruang lingkup penilaian sudah tidak berlaku. Perusahaan kini harus menyediakan dokumen pemisahan sistem yang jelas dan berbukti. Jika tidak, seluruh layanan cloud otomatis dianggap masuk dalam cakupan audit.
Platform CRM, software HR, sistem keuangan, dan alat manajemen proyek yang memproses atau menyimpan data kini wajib dihitung. Proses inventarisasi ini butuh waktu, jadi audit internal sebaiknya dimulai lebih awal.
Pensiunkan Hardware Lama: Windows 10 Jadi Pemicu Utama
Salah satu sumber sakit kepala terbesar adalah kewajiban mengganti perangkat keras dan lunak yang sudah memasuki akhir masa dukungan. Pensiunnya sistem operasi Windows 10 menjadi contoh nyata. Perusahaan yang masih memakainya harus mengganti seluruh perangkat agar tetap patuh.
Risiko utama ada pada celah keamanan yang tidak lagi ditambal vendor. Semakin lama perangkat dibiarkan, semakin besar peluang eksploitasi. Perusahaan disarankan memeriksa tanggal akhir dukungan vendor untuk semua aset yang masuk cakupan Cyber Essentials, lalu menyusun strategi penggantian jangka panjang.
Lakukan Analisis Kesenjangan Sekarang, Jangan Menunggu Deadline
Kabar baiknya, masih ada waktu untuk berbenah. Kunci utama adalah tidak menunda audit internal. Baca ulang standar baru, petakan sistem yang terdampak, dan identifikasi celah yang ada sekarang—bukan sebulan sebelum penilaian berikutnya.
Upaya ini memang merepotkan, tapi dampaknya signifikan. Sertifikasi yang valid bukan sekadar pajangan, melainkan bukti bahwa perusahaan serius melindungi data pelanggan dan operasional bisnisnya dari ancaman siber yang kian agresif.
