Carial Artikel Oleh : Nurrul Syakira Bakhtiar | Akauntan | Bahagian Audit Dalam UPM

 

Ancaman siber yang semakin meningkat menjadikan tadbir urus keselamatan siber satu keperluan penting, khususnya dalam sektor awam. Insiden siber bukan sahaja boleh mengganggu operasi, malah berpotensi menjejaskan penyampaian perkhidmatan penting, keselamatan awam dan keyakinan masyarakat.

Tadbir urus yang berkesan perlu memastikan risiko siber diurus secara teratur melalui akauntabiliti, struktur membuat keputusan, pemilikan risiko, pelan mitigasi dan pemantauan yang jelas.

Cabaran Utama Sektor Awam

Organisasi sektor awam sering berhadapan dengan beberapa cabaran yang boleh melemahkan tadbir urus keselamatan siber, antaranya:

• Sistem teknologi lama yang masih digunakan walaupun mempunyai kawalan keselamatan yang semakin ketinggalan.
• Struktur pemantauan yang berpecah, yang boleh menyebabkan ketidakselarasan polisi serta kekaburan tanggungjawab.
• Kekangan sumber dan kepakaran, khususnya dalam mendapatkan tenaga profesional keselamatan siber yang mencukupi.

Cabaran ini menjadikan kejelasan peranan dan pemantauan oleh pihak pengurusan semakin penting.

Peranan Audit Dalam

Audit Dalam berperanan menilai sama ada struktur tadbir urus keselamatan siber telah direka bentuk dengan baik dan dilaksanakan seperti yang ditetapkan. Fokus audit bukan hanya kepada teknologi, tetapi juga kepada bagaimana risiko, tanggungjawab dan maklumat berkaitan keselamatan siber diurus.

Antara perkara utama yang perlu diberi perhatian ialah:

• Strategi dan polisi
  Memastikan strategi, objektif, polisi dan prosedur keselamatan siber diwujudkan serta dikemas kini secara berkala.
• Peranan dan akauntabiliti
  Memastikan tanggungjawab dan pemilikan risiko ditetapkan dengan jelas serta disokong oleh pegawai yang mempunyai kompetensi bersesuaian.
• Penglibatan pihak berkepentingan
  Risiko siber perlu dibincangkan bersama pengurusan kanan, pemilik proses, pengurusan risiko, sumber manusia, perundangan, pematuhan dan pembekal, bukan hanya fungsi teknologi maklumat.

Menilai Pelaksanaan Sebenar

Kewujudan polisi dan struktur organisasi sahaja tidak mencukupi. Audit Dalam juga perlu menilai sama ada amalan sebenar selaras dengan tanggungjawab yang telah ditetapkan.

Temu bual dan walkthrough bersama pihak berkaitan boleh membantu mengenal pasti jurang antara polisi dan pelaksanaan. Ini penting kerana pemilik sebenar sesuatu risiko siber tidak semestinya fungsi teknologi maklumat, terutama apabila risiko tersebut berkaitan data, proses operasi atau tanggungjawab bahagian lain.

Pengurusan Risiko dan Pelaporan

Tadbir urus yang baik turut bergantung kepada cara risiko dikenal pasti, dinilai dan dipantau. Audit Dalam boleh menilai sama ada:

• kelemahan dan risiko siber dikenal pasti secara berkala;
• tindakan mitigasi mempunyai tanggungjawab dan tempoh tindakan yang jelas; dan
• pihak pengurusan menerima laporan yang tepat dan tepat pada masanya.

Dashboard, petunjuk prestasi, laporan insiden dan status pematuhan merupakan antara maklumat penting bagi membantu pengurusan membuat keputusan yang berkesan.

Faktor Manusia Juga Penting

Keselamatan siber bukan semata-mata isu teknologi. Kesedaran, kompetensi, komunikasi dan kejelasan tanggungjawab manusia turut memainkan peranan penting dalam memastikan sesuatu kawalan berfungsi.

Secara keseluruhannya, tadbir urus keselamatan siber yang berkesan memerlukan gabungan struktur yang jelas, pemilikan risiko, pemantauan berterusan dan maklumat yang berkualiti. Melalui penilaian yang sistematik, Audit Dalam dapat membantu organisasi mengenal pasti jurang, memperkukuh akauntabiliti dan meningkatkan keberkesanan pengurusan risiko siber.

 

Sumber : “Why Cybersecurity Governance Matters” oleh Logan Wamsley. | Laman web: https://internalauditor.theiia.org

Tarikh Input: 27/08/2026 | Kemaskini: 27/08/2026 | faiz_suparman