Biaya CISO virtual (vCISO): retainer jam per bulan, isi pekerjaan, dan kapan perusahaan menengah membutuhkannya

CISO virtual (vCISO) adalah pejabat keamanan informasi paruh waktu dari luar perusahaan yang memegang tata kelola: menyusun kebijakan, mengelola daftar risiko, menyiapkan audit atau kuesioner klien, mengawasi penyedia keamanan, dan melapor kepada direksi. Biasanya ditagih sebagai retainer jam per bulan (misalnya 8, 16, atau 32 jam) atau sebagai proyek dengan hasil tertentu. vCISO cocok bagi perusahaan yang mulai ditanya klien, bank, atau auditor tentang keamanan, tetapi belum membutuhkan pejabat penuh waktu. vCISO tidak menggantikan pemantauan operasional seperti MDR. Semua angka di sini adalah ilustrasi.

Panduan ini bagian dari panduan harga layanan keamanan siber terkelola. Layanan operasional yang diawasi vCISO dijelaskan di MSSP, MDR, dan SOC sebagai layanan, dan pengujian berkala di biaya uji penetrasi.

Apa yang dikerjakan CISO virtual

Untuk usaha yang menjadi penyelenggara sistem elektronik, peran ini juga membantu memastikan ada tim tanggap insiden siber organisasi sebagaimana diminta Peraturan BSSN 1/2024; lihat PP 71/2019, BSSN, dan pelaporan insiden.

Model penagihan

Retainer jam bulanan. Contoh ilustratif: 16 jam per bulan dengan tarif Rp1.800.000 per jam = Rp28.800.000 per bulan, atau Rp345.600.000 per tahun sebelum PPN. Varian lebih kecil: 8 jam × Rp2.000.000 = Rp16.000.000 per bulan. Tarif per jam pada paket kecil sering lebih tinggi karena biaya tetap penyedia (perjalanan, koordinasi) dibagi ke jam yang lebih sedikit.

Proyek dengan hasil tetap. Misalnya penilaian kesenjangan terhadap ISO/IEC 27001 atau penyusunan paket kebijakan, dengan harga tetap. Cocok bila kebutuhan Anda jelas dan sekali jalan.

Gabungan. Proyek awal 2–3 bulan untuk menyusun dasar, lalu retainer kecil untuk pemeliharaan dan laporan.

Yang perlu tertulis di kontrak retainer:

1. Apakah jam yang tidak terpakai hangus, bisa dibawa ke bulan berikutnya, atau dialihkan?
2. Tarif jam di atas kuota, misalnya saat insiden.
3. Apakah kehadiran di rapat direksi atau di kantor dihitung dari kuota.
4. Siapa orangnya: nama vCISO tetap, atau tim yang bergantian.
5. Batas tanggung jawab: vCISO memberi saran, keputusan tetap pada direksi.

Perbandingan ilustratif dengan pejabat keamanan penuh waktu

Perbandingan ini memakai asumsi yang harus Anda ganti dengan data pasar tenaga kerja yang Anda peroleh sendiri.

Selisihnya besar, tetapi tidak sebanding apel dengan apel. Pejabat penuh waktu hadir setiap hari, mengenal sistem secara mendalam, dan bisa memimpin tim. vCISO 16 jam per bulan berarti sekitar dua hari kerja. Untuk perusahaan menengah tanpa tim keamanan, dua hari per bulan yang terfokus sering lebih berguna daripada rekrutmen yang memakan waktu berbulan-bulan, asalkan operasional harian ditangani penyedia MDR atau tim TI.

Tanda bahwa Anda membutuhkan vCISO

• Klien besar atau bank mengirim kuesioner keamanan puluhan halaman dan tidak ada yang bisa menjawabnya.
• Anda sudah membayar MSSP atau MDR, tetapi tidak ada yang membaca laporan bulanannya.
• Direksi bertanya "seberapa aman kita?" dan tidak ada jawaban yang bisa diukur.
• Anda mengelola data pribadi pelanggan dalam jumlah besar dan belum punya prosedur pemberitahuan kegagalan pelindungan.
• Ada rencana sertifikasi ISO/IEC 27001 atau audit dari klien.

Konflik kepentingan yang perlu diperhatikan

Bila vCISO berasal dari perusahaan yang juga menjual MDR atau uji penetrasi kepada Anda, ia akan menilai pekerjaan rekannya sendiri. Ini tidak otomatis buruk, tetapi tuliskan dalam kontrak bahwa vCISO bertindak untuk kepentingan Anda, berhak merekomendasikan penyedia lain, dan bahwa uji penetrasi tahunan boleh dilakukan pihak independen.

Rencana kerja 90 hari pertama

Retainer vCISO paling berguna bila ada rencana kerja tertulis sejak awal, sehingga jam yang dibayar menghasilkan dokumen dan keputusan yang bisa diperiksa.

Setelah 90 hari, laporan triwulanan kepada direksi sebaiknya memakai indikator yang sama setiap kali, misalnya persentase aset yang dipantau, jumlah temuan uji penetrasi yang masih terbuka, dan status rencana perbaikan. Indikator yang konsisten membuat kemajuan bisa dilihat dan memudahkan keputusan anggaran tahun berikutnya.

Pertanyaan yang sering diajukan

Apakah vCISO bisa menjadi pejabat pelindungan data pribadi?

UU 27/2022 Pasal 53 mewajibkan penunjukan pejabat atau petugas pelindungan data pribadi (PPDP) dalam kondisi tertentu. PP 33/2026, yang berlaku mulai 16 Januari 2027, menyebut PPDP dapat berasal dari dalam dan/atau luar organisasi (Pasal 144 ayat (2)), dan rincian penunjukannya akan diatur Peraturan Lembaga. Apakah vCISO tertentu cocok merangkap peran itu tetap perlu dicek dengan penasihat hukum.

Berapa jam per bulan yang cukup?

Untuk perusahaan dengan 50–200 karyawan, 8–16 jam per bulan sering menjadi titik awal setelah proyek dasar selesai. Naikkan sementara saat audit atau insiden.

Apakah vCISO bertanggung jawab bila terjadi insiden?

Biasanya tidak secara hukum; ia memberi saran. Tanggung jawab sebagai pengendali data dan penyelenggara sistem tetap pada perusahaan.

Apakah tarif vCISO dikenai PPh 23?

Jasa konsultan dari penyedia dalam negeri umumnya termasuk objek pemotongan PPh 23. Cek jenis jasa dan tarifnya dengan konsultan pajak atau DJP.

Sumber resmi

• Pasal.id — UU 27/2022 tentang kewajiban pengendali dan pejabat pelindungan data pribadi
• BSSN — Peraturan BSSN 1/2024 tentang pengelolaan insiden siber
• Badan Standardisasi Nasional — SNI ISO/IEC 27001
• Direktorat Jenderal Pajak — PPh 23 dan PPN atas jasa