Cara memilih penyedia keamanan siber terkelola yang paling cocok: metode, kriteria, matriks penilaian, dan urutan langkah

Penyedia keamanan siber terkelola yang paling cocok adalah yang cakupannya menutup aset dan risiko terbesar Anda, berwenang bertindak cukup cepat saat tim Anda tidak ada, menyimpan data sesuai kewajiban UU PDP, dan total biayanya selama masa kontrak masuk anggaran, termasuk PPN, kenaikan perpanjangan, dan biaya keluar. Tidak ada daftar "penyedia terbaik" yang berlaku untuk semua usaha. Metode di bawah ini membawa Anda dari daftar aset ke keputusan dalam tujuh langkah, dengan matriks penilaian yang Anda isi sendiri setelah uji coba.

Panduan ini adalah pintu masuk kategori simulasi biaya dan memilih penyedia. Setiap langkah merujuk ke panduan yang lebih rinci.

Langkah 1: tuliskan apa yang ingin dilindungi

Mulailah dari daftar, bukan dari brosur penyedia:

Jumlah pengguna aktif, laptop, PC bersama, dan server (fisik, virtual, cloud).
Akun cloud dan email korporat.
Aplikasi yang menghadap internet: situs, toko online, portal pelanggan, API.
Lokasi: kantor pusat, cabang, gudang, pabrik.
Data yang paling sensitif: data pribadi pelanggan, data keuangan, rahasia dagang.
Sistem yang bila mati sehari menghentikan usaha.

Daftar ini dipakai untuk semua penawaran, sehingga angka yang Anda terima bisa dibandingkan.

Langkah 2: tentukan jenis layanan yang dibutuhkan

Jawab tiga pertanyaan: apakah ada orang di perusahaan yang bisa bertindak pada malam hari dan akhir pekan, apakah Anda wajib menyimpan dan meninjau log untuk klien atau auditor, dan apakah ada pihak yang mengurus kebijakan dan risiko. Jawaban itu mengarah ke kombinasi MSSP, MDR, SOC sebagai layanan, dan CISO virtual. Lihat perbedaan MSSP, MDR, dan SOC.

Langkah 3: hitung kisaran anggaran sebelum meminta penawaran

Dengan daftar aset dan rentang harga ilustratif, hitung kisaran biaya tahunan supaya Anda tahu apakah penawaran yang datang masuk akal. Contoh untuk dua ukuran usaha ada di simulasi biaya UMKM dan perusahaan menengah, dan kalkulatornya di estimasi biaya layanan terkelola. Bila Anda mempertimbangkan membangun tim sendiri, bandingkan dulu dengan SOC internal versus layanan terkelola.

Langkah 4: minta penawaran dengan format yang sama

Kirim daftar aset yang sama ke tiga sampai empat calon penyedia, dan minta mereka mengisi tabel:

Kolom	Isi yang diminta
Komponen	MDR, firewall, SIEM, vCISO, pemindaian, uji penetrasi, retainer insiden
Satuan dan kuantitas	Per perangkat, per pengguna, per GB log, per jam
Tarif dan kuota	Tarif per unit, batas, tarif kelebihan
Jam layanan	Jam kerja atau 24/7, termasuk hari libur
Kewenangan	Tindakan yang diambil tanpa persetujuan
Tidak termasuk	Daftar eksplisit
Biaya satu kali	Onboarding, pemasangan, migrasi
Pajak dan mata uang	Termasuk/belum PPN, IDR atau USD

Langkah 5: periksa SLA, kontrak, dan respons insiden

Penawaran yang murah tanpa SLA terukur dan tanpa respons insiden bisa menjadi mahal saat kejadian. Pertanyaan SLA dan pasal kontrak dibahas di SLA dan kontrak layanan keamanan terkelola, dan pilihan respons insiden di retainer respons insiden. Untuk kontrak multi-tahun atau harga dalam USD, hitung kenaikan perpanjangan, PPN, dan kurs.

Langkah 6: uji tuntas dan uji coba

Gunakan panduan uji tuntas penyedia dan checklist uji tuntas. Jalankan uji coba 2–4 minggu pada sebagian aset nyata dengan skenario yang disepakati, misalnya menjalankan alat simulasi serangan yang aman pada satu laptop uji di malam hari, lalu ukur kapan penyedia mendeteksi, kapan menghubungi Anda, dan apa yang mereka lakukan.

Langkah 7: isi matriks penilaian sendiri

Matriks ini bukan skor penyedia dari kami. Anda menentukan bobot sesuai prioritas, lalu memberi nilai 1–5 berdasarkan bukti dari langkah 4–6. Contoh ilustratif untuk dua penawaran yang disamarkan sebagai Opsi A dan Opsi B:

Kriteria	Bobot	Opsi A	Opsi B
Cakupan aset dan jam layanan	30%	4	3
Kewenangan bertindak dan SLA terukur	25%	3	5
Data, lokasi log, dan kepatuhan UU PDP	15%	4	3
Total biaya 3 tahun termasuk PPN	20%	3	4
Kemudahan keluar dan kepemilikan data	10%	4	3

Nilai tertimbang Opsi A = 0,30 × 4 + 0,25 × 3 + 0,15 × 4 + 0,20 × 3 + 0,10 × 4 = 1,20 + 0,75 + 0,60 + 0,60 + 0,40 = 3,55. Opsi B = 0,30 × 3 + 0,25 × 5 + 0,15 × 3 + 0,20 × 4 + 0,10 × 3 = 0,90 + 1,25 + 0,45 + 0,80 + 0,30 = 3,70. Selisih sekecil ini berarti keputusan sebaiknya ditentukan oleh kriteria yang paling penting bagi Anda, misalnya: apakah Opsi A bisa memperbaiki SLA-nya dalam negosiasi?

Kesalahan memilih yang paling sering terjadi

Membandingkan harga per bulan tanpa menyamakan jam layanan dan kewenangan.
Memilih berdasarkan demo konsol yang menarik, bukan uji coba dengan aset sendiri.
Tidak menanyakan apa yang terjadi saat insiden besar: siapa yang datang, dalam berapa jam, dan berapa biayanya.
Menandatangani kontrak tiga tahun sebelum layanan terbukti.
Lupa bahwa tim internal tetap harus memegang peran: menjawab telepon, menyetujui tindakan, memberi tahu subjek data.

Pertanyaan yang sering diajukan

Berapa banyak penawaran yang perlu dibandingkan?

Tiga sampai empat cukup untuk melihat pola harga dan cakupan tanpa membuat proses berbulan-bulan.

Apakah penyedia lokal atau global lebih baik?

Tergantung kebutuhan. Penyedia dengan analis di Indonesia memudahkan bahasa, zona waktu, dan kehadiran di lokasi; penyedia global mungkin punya cakupan ancaman lebih luas. Nilai keduanya dengan kriteria yang sama dan cek lokasi data.

Bolehkah meminta uji coba gratis?

Boleh meminta; sebagian penyedia menawarkan, sebagian menagih biaya kecil. Yang penting skenario dan cara mengukurnya disepakati tertulis.

Kapan melibatkan penasihat hukum?

Saat meninjau perjanjian pemrosesan data, batas tanggung jawab, dan klausul keluar, terutama bila Anda mengelola data pribadi dalam skala besar.

Sumber resmi

BSSN — panduan dan peraturan pengelolaan insiden siber
Pasal.id — UU 27/2022 dan PP 71/2019 untuk kewajiban keamanan
Badan Standardisasi Nasional — SNI ISO/IEC 27001
Direktorat Jenderal Pajak — PPN dan PPh atas jasa