NIST RMF: mengelola risiko sepanjang siklus layanan

Apa itu NIST RMF?

NIST Risk Management Framework (RMF) adalah proses untuk mengelola risiko keamanan dan privasi sepanjang masa pakai sistem. Keputusan dimulai sebelum sistem dibangun, diperiksa saat diterapkan, lalu ditinjau selama digunakan. Rujukan prosesnya adalah NIST SP 800-37 Rev. 2.

RMF berguna ketika organisasi perlu menjelaskan siapa yang memilih pengamanan, bukti apa yang diperiksa, dan siapa menerima risiko tersisa. Ia bukan nama alat, sertifikat organisasi, atau izin usaha Indonesia. Di luar konteks yang mewajibkannya, penggunaannya perlu disesuaikan dengan kebutuhan organisasi.

Apa bedanya dengan CSF dan SP 800-53?

Rujukan	Kegunaan
CSF 2.0	Menyusun sasaran keamanan dan membandingkan keadaan sekarang dengan target
SP 800-37 / RMF	Mengatur proses serta keputusan sepanjang siklus sistem
SP 800-53	Katalog kontrol keamanan dan privasi untuk dipilih sesuai kebutuhan
SP 800-53B	Baseline keamanan berdasarkan tingkat dampak dan baseline privasi dalam konteks federal AS, beserta cara penyesuaian
SP 800-53A	Prosedur penilaian kontrol; membantu menentukan apa dan bagaimana diperiksa

Halaman ini memakai RMF Rev. 2 dan keluarga SP 800-53 Rev. 5. Catatan NIST pada 27 Agustus 2025 menyebut release 5.2.0 untuk 800-53/53A/53B; perubahan minor perlu diperiksa sebelum menyalin ID atau prosedur. Jangan menganggap PDF lama otomatis mencakup semua pembaruan.

Baseline bukan daftar yang selalu cocok untuk setiap layanan. Pemetaan ke ISO atau kerangka lain juga tidak membuktikan persyaratannya setara. Untuk peta publikasi yang lebih luas, baca pengantar NIST.

Tujuh langkah RMF melalui satu layanan

Contoh fiktif RMF-DEMO-01: aplikasi pesanan memungkinkan staf membuat ekspor. Pelanggan A dan B harus terpisah. Tabel ini penyederhanaan alur keputusan Kompli, bukan pelaksanaan lengkap RMF federal atau penetapan kategori FIPS.

1. Prepare — siapkan lingkup. Tentukan layanan, data, pemilik, pemasok, dan batas sistem. Catat lingkup serta pihak yang mengambil keputusan.
2. Categorize — nilai dampak. Periksa dampak jika data terbuka, berubah, atau layanan berhenti. Catat alasan penilaian; jangan menebak kategori formal.
3. Select — pilih pengamanan. Tentukan kebutuhan pengelolaan akun dan pembatasan akses. Catat kontrol, alasan, parameter, pengecualian, dan penanggung jawab.
4. Implement — terapkan. Backend memeriksa organisasi peminta ekspor. Catat desain dan konfigurasi yang benar-benar digunakan.
5. Assess — periksa bukti. Pemeriksa menilai bukti serta mencoba akses yang sah dan tidak sah. Catat hasil, temuan, batas sampel, dan rencana perbaikan.
6. Authorize — putuskan penggunaan. Pihak berwenang menilai hasil dan risiko tersisa. Catat keputusan, syarat penggunaan, dan tindak lanjut.
7. Monitor — pantau perubahan. Periksa perubahan akses, antrean, pemasok, dan temuan baru. Simpan bukti berkala serta pemicu penilaian ulang.

Langkah dapat diulang ketika sistem atau risiko berubah. Pada RMF federal, Authorize mempunyai peran dan paket keputusan formal; persetujuan rilis internal pada contoh bukan pengganti proses itu atau izin pemerintah.

Contoh memilih kontrol dan memeriksa bukti

AC-2 pada SP 800-53 membahas pengelolaan akun; AC-3 membahas penegakan akses. Dalam contoh, tim memilih keduanya sebagai rujukan untuk mengelola hak ekspor serta menolak akses lintas pelanggan. Pemilihan dua kontrol ini tidak berarti seluruh baseline dipenuhi.

Pemeriksa melihat catatan akses dan desain (examine), meminta penjelasan pemilik (interview), lalu menjalankan kasus yang disepakati (test). Misalnya, ekspor sah harus bekerja dan pengguna A tidak boleh mengambil hasil B. Parameter, versi aplikasi dan batas lingkungan ditulis pada peta bukti audit.

Contoh threat modeling dan model ekspor memperlihatkan keputusan serta hasil lokal. Model tersebut tidak menilai AC-2/AC-3 secara lengkap. Kebijakan akun, layanan pendukung, dan penghapusan berkas nyata masih memerlukan bukti sendiri.

Siapa menerima risiko tersisa?

Catat keputusan pada daftar risiko: masalah, dampak, tindakan, pemilik keputusan, syarat penggunaan, dan kapan ditinjau. Hasil pengujian yang belum memenuhi kebutuhan tidak berubah menjadi lulus hanya karena manajemen menyetujuinya.

Jika risiko ditunda, tulis alasannya dan pengamanan sementara. Jangan memakai penerimaan risiko internal untuk mengesampingkan kewajiban hukum atau kontrak. RMF tidak otomatis membuktikan kepatuhan UU PDP, PSE, aturan sektor, atau sertifikasi ISO.

Mulai dari satu layanan: pilih pemilik, periksa bukti yang tersedia, lalu gunakan panduan pemetaan persyaratan dan kontrol untuk menghubungkannya dengan kebutuhan yang benar-benar berlaku.