Cyber security architect adalah profesional yang merancang arsitektur keamanan sebuah organisasi, sehingga sistem, jaringan, dan data terlindungi sejak tahap desain dan bukan baru setelah terjadi insiden. Artikel ini menjelaskan pengertian perannya, tanggung jawab sehari-hari, keahlian yang dibutuhkan, serta jalur sertifikasi yang relevan.
Apa Itu Cyber Security Architect?
Seorang cyber security architect memutuskan bagaimana kontrol keamanan disusun agar selaras dengan kebutuhan bisnis dan tingkat risiko organisasi. Ia tidak hanya memilih produk, tetapi menetapkan prinsip, pola desain, dan standar yang dipakai tim lain. Dalam kerangka NICE Workforce Framework dari NIST, peran serupa dikenal sebagai Cybersecurity Architecture di kategori Design and Development, yaitu memastikan kebutuhan keamanan terpenuhi di seluruh arsitektur perusahaan (NICE Framework).
Tanggung Jawab Cyber Security Architect
Lingkup tanggung jawab berbeda menurut ukuran organisasi. Di perusahaan besar, arsitek bisa dibagi per domain, seperti arsitek jaringan, cloud, atau identitas. Di organisasi kecil, satu orang sering mencakup semuanya. Daftar berikut menggambarkan tugas inti yang hampir selalu ada.
- Menilai risiko dan memodelkan ancaman. Mengidentifikasi aset penting, kemungkinan ancaman, dan dampaknya, lalu memprioritaskan kontrol.
- Merancang arsitektur keamanan. Menentukan segmentasi jaringan, manajemen identitas dan akses, enkripsi, pencatatan log, serta pemisahan lingkungan.
- Menetapkan standar dan kebijakan teknis. Misalnya aturan konfigurasi aman, pola autentikasi, dan persyaratan keamanan bagi vendor.
- Meninjau desain proyek baru. Menilai aplikasi, migrasi cloud, atau integrasi pihak ketiga sebelum dibangun agar celah ditutup lebih awal.
- Berkoordinasi dengan banyak tim. Bekerja bersama pengembang, tim infrastruktur, tim kepatuhan, dan tim operasi keamanan.
- Menyusun peta jalan. Merencanakan peningkatan kontrol secara bertahap sesuai anggaran dan prioritas.
Contoh Alur Kerja Merancang Keamanan
Bayangkan perusahaan akan memindahkan aplikasi pelanggan ke cloud. Arsitek biasanya memulai dengan memahami data apa yang diproses dan regulasi apa yang berlaku. Ia kemudian memetakan alur data, menilai ancaman yang masuk akal, dan menentukan kontrol: bagaimana identitas dikelola, bagaimana jaringan dipisahkan, bagaimana data dienkripsi, dan bagaimana log dikumpulkan. Hasilnya berupa dokumen desain dan standar yang dipakai tim pengembang dan infrastruktur. Setelah sistem berjalan, arsitek meninjau apakah desain masih sesuai, misalnya setelah hasil penetration testing menemukan kelemahan yang tidak terduga.
Tantangan dalam Peran Ini
Tantangan terbesar jarang bersifat teknis semata. Arsitek harus menyeimbangkan keamanan dengan kecepatan bisnis, anggaran, dan kenyamanan pengguna. Keputusan yang terlalu ketat membuat tim mencari jalan pintas, sedangkan yang terlalu longgar membuka risiko. Karena itu kemampuan menjelaskan alasan di balik sebuah kontrol sama pentingnya dengan menguasai teknologinya.
Skill yang Dibutuhkan Cyber Security Architect
Keahlian teknis
Arsitek keamanan perlu menguasai jaringan, sistem operasi, cloud, identitas, dan kriptografi pada tingkat yang cukup dalam untuk menilai desain, bukan hanya mengoperasikannya. Pemahaman prinsip dasar seperti CIA triad dan least privilege menjadi pijakan semua keputusan desain.
Kerangka dan standar
- NIST SP 800-207 menjelaskan arsitektur zero trust: tidak ada kepercayaan otomatis berdasarkan lokasi jaringan, dan autentikasi serta otorisasi dilakukan sebelum sesi ke sumber daya dimulai (NIST SP 800-207). Konsep ini dibahas lebih mudah di artikel zero trust security.
- TOGAF, kerangka arsitektur enterprise dari The Open Group yang edisi ke-10 diumumkan pada April 2022, membantu menyelaraskan arsitektur keamanan dengan arsitektur bisnis dan teknologi.
- SABSA adalah pendekatan khusus untuk arsitektur keamanan enterprise yang dikelola The SABSA Institute.
Keahlian non-teknis
Komunikasi menempati porsi besar. Arsitek harus menjelaskan risiko kepada manajemen, bernegosiasi dengan tim produk, dan menulis dokumentasi yang bisa dipakai orang lain.
Prinsip Desain yang Dipegang Arsitek Keamanan
- Defense in depth. Satu kontrol bisa gagal, jadi perlindungan dilapis: jaringan, host, aplikasi, identitas, dan data.
- Least privilege. Setiap pengguna dan layanan hanya diberi akses sebatas kebutuhan.
- Secure by design. Keamanan dimasukkan sejak tahap perancangan karena memperbaikinya setelah sistem berjalan jauh lebih mahal.
- Pemisahan tugas dan segmentasi. Kompromi di satu bagian tidak otomatis membuka seluruh lingkungan.
- Visibilitas. Sistem dirancang agar aktivitas penting tercatat dan dapat dipantau.
Bedanya dengan Security Engineer
Secara sederhana, arsitek merancang dan menetapkan pola, sedangkan engineer membangun, mengonfigurasi, dan mengoperasikannya. Di organisasi kecil satu orang bisa memegang keduanya. Perbedaan perannya dibahas lebih rinci di artikel cyber security engineer.
Jalur Karier dan Sertifikasi
Peran arsitek umumnya diisi setelah beberapa tahun di bidang jaringan, sistem, atau keamanan. Jalur yang sering ditempuh adalah network atau system engineer, lalu security engineer, lalu arsitek. Dari sisi sertifikasi, ISC2 menawarkan ISSAP (Information Systems Security Architecture Professional) untuk profesional yang merancang dan menganalisis solusi keamanan lintas organisasi. Syaratnya adalah CISSP ditambah dua tahun pengalaman, atau tujuh tahun pengalaman kumulatif (halaman ISSAP). Pelajari fondasinya di sertifikasi CISSP, dan syarat serta biaya dapat berubah, jadi periksa situs ISC2.
Tim yang ingin membangun kemampuan merancang keamanan secara internal dapat melihat program pelatihan untuk tim dan korporat.
Pertanyaan yang Sering Diajukan
Apakah cyber security architect harus bisa coding?
Tidak harus menulis kode setiap hari, tetapi perlu memahami bagaimana aplikasi dibangun dan di-deploy agar bisa menilai keamanannya. Kemampuan membaca kode dan konfigurasi sangat membantu.
Berapa lama untuk menjadi arsitek keamanan?
Tidak ada durasi baku. Peran ini biasanya diisi setelah pengalaman bertahun-tahun di infrastruktur atau keamanan, karena butuh pandangan menyeluruh atas sistem.
Apakah arsitek keamanan sama dengan CISO?
Tidak. Arsitek berfokus pada desain teknis, sedangkan CISO memimpin strategi, anggaran, dan tata kelola keamanan organisasi secara keseluruhan.
Apa kerangka kerja yang sebaiknya dipelajari lebih dulu?
Mulailah dari prinsip dasar seperti zero trust dan least privilege, lalu pelajari kerangka arsitektur seperti TOGAF atau SABSA sesuai kebutuhan organisasi tempat Anda bekerja.
Kesimpulan
Cyber security architect menjembatani kebutuhan bisnis dan desain teknis dengan memastikan keamanan dirancang sejak awal. Keahliannya menggabungkan pengalaman teknis, pemahaman kerangka kerja, dan komunikasi yang kuat. Jika Anda sedang membangun jalur ke arah sana, roadmap karier cyber security dan program belajar dari Linuxhackingid dapat membantu menyusun langkahnya.
Every article is reviewed by the practice lead who ran the work before it is published.