Simulasi Biaya & Memilih Penyedia
Retainer respons insiden siber: jam prabayar, retainer tanpa kuota, tarif darurat, dan kapan layak dibeli
Cara kerja retainer respons insiden siber: jam prabayar, retainer tanpa kuota, tarif darurat, titik impas, isi kontrak, dan kaitannya dengan MDR dan asuransi siber.
Retainer respons insiden adalah kontrak yang memastikan tim forensik dan pemulihan siap datang dalam waktu yang disepakati saat terjadi insiden besar, dengan tarif yang sudah dikunci. Ada dua bentuk utama: jam prabayar (Anda membayar sejumlah jam di muka, biasanya dengan tarif lebih rendah) dan retainer tanpa kuota (Anda membayar biaya pendaftaran kecil untuk mendapat prioritas dan tarif tetap, lalu membayar per jam saat dipakai). Tanpa retainer, Anda mencari bantuan di tengah krisis dengan tarif darurat dan antrean yang tidak pasti. Untuk perusahaan menengah tanpa tim forensik sendiri, retainer biasanya layak dipertimbangkan, terutama bila paket MDR Anda hanya mencakup penahanan awal. Angka di bawah adalah ilustrasi.
Panduan ini bagian dari metode memilih penyedia yang paling cocok. Pembagian peran saat insiden ada di SLA dan kontrak, dan contoh anggaran lengkap di simulasi biaya. Urutan tindakan saat kejadian dijelaskan di langkah 72 jam pertama.
Apa yang dikerjakan tim respons insiden
| Tahap | Pekerjaan | Biasanya termasuk di MDR? |
|---|---|---|
| Penahanan awal | Isolasi perangkat, nonaktifkan akun | Ya, bila disepakati |
| Pelingkupan | Menentukan sistem dan data yang terdampak | Sebagian |
| Forensik | Analisis log, citra disk, memori; menentukan pintu masuk dan jalur penyerang | Jarang |
| Pemberantasan | Menghapus akses penyerang, mengganti kredensial, menutup celah | Sebagian |
| Pemulihan | Memulihkan server dari cadangan, memastikan bersih | Jarang |
| Pendampingan | Bahan untuk pemberitahuan UU PDP, laporan ke BSSN, komunikasi dengan direksi, polisi, dan asuransi | Jarang |
| Laporan akhir | Kronologi, akar masalah, rekomendasi | Jarang |
Kolom terakhir adalah pola umum; cek kontrak MDR Anda. Bila MDR berhenti di penahanan, empat tahap berikutnya adalah tempat biaya terbesar muncul.
Contoh ilustratif: jam prabayar vs tarif darurat
Asumsi: retainer prabayar 40 jam × Rp2.500.000 = Rp100.000.000 per tahun, jam tambahan dengan tarif retainer Rp2.500.000. Tanpa retainer, tarif darurat Rp4.000.000 per jam.
| Skenario | Dengan retainer prabayar | Tanpa retainer |
|---|---|---|
| Tidak ada insiden | Rp100.000.000 (jam bisa hangus atau dialihkan) | Rp0 |
| Insiden kecil, 20 jam | Rp100.000.000 | 20 × Rp4.000.000 = Rp80.000.000 |
| Ransomware, 120 jam | Rp100.000.000 + 80 × Rp2.500.000 = Rp300.000.000 | 120 × Rp4.000.000 = Rp480.000.000 |
Titik impasnya: retainer Rp100.000.000 ÷ tarif darurat Rp4.000.000 = 25 jam. Bila satu insiden dalam setahun membutuhkan lebih dari 25 jam, retainer lebih murah. Insiden ransomware dengan forensik dan pemulihan sering melampaui angka itu, tetapi Anda tidak tahu kapan terjadi. Karena itu nilai terbesarnya bukan tarif, melainkan kepastian waktu datang.
Retainer tanpa kuota
Contoh ilustratif: biaya pendaftaran Rp15.000.000 per tahun, tarif Rp3.200.000 per jam saat dipakai, waktu respons yang dijanjikan lebih lambat daripada retainer prabayar. Untuk insiden 120 jam: Rp15.000.000 + 120 × Rp3.200.000 = Rp15.000.000 + Rp384.000.000 = Rp399.000.000. Lebih mahal saat insiden besar, tetapi jauh lebih murah di tahun tanpa insiden. Pilihan ini cocok bila anggaran tahunan ketat atau bila asuransi siber Anda sudah menyediakan panel penyedia respons insiden.
Apa yang harus tertulis di kontrak retainer
- Waktu respons: jarak jauh dalam berapa jam, di lokasi dalam berapa jam, untuk kota mana saja.
- Kanal aktivasi: nomor darurat 24/7, siapa di pihak Anda yang boleh mengaktifkan.
- Konversi jam: apakah jam yang tidak terpakai bisa dipakai untuk latihan meja, uji penetrasi, atau peninjauan kesiapan.
- Tarif di luar kuota dan biaya perjalanan.
- Pra-onboarding: kontak, diagram jaringan, akses ke konsol EDR, dan lokasi cadangan dikumpulkan sebelum insiden, supaya jam pertama tidak habis untuk administrasi.
- Penanganan bukti: cara mengamankan bukti digital bila nanti dibutuhkan untuk laporan polisi atau klaim asuransi.
- Kerahasiaan dan data pribadi: tim respons insiden akan melihat data pribadi; perlakukan sebagai prosesor menurut UU PDP.
- Hubungan dengan penyedia MDR: siapa memimpin saat insiden, dan bagaimana keduanya berbagi akses.
Hubungan dengan asuransi siber
Banyak polis asuransi siber menanggung biaya respons insiden, kadang dengan syarat memakai penyedia dari panel penanggung atau mendapat persetujuan lebih dulu. Bila Anda punya atau akan membeli asuransi siber, cek dulu apakah penyedia retainer Anda bisa diterima penanggung, supaya tidak membayar dua kali. Lihat dasar asuransi siber.
Menentukan kuota jam yang masuk akal
Kuota jam sebaiknya disusun dari skenario, bukan ditebak. Rentang berikut ilustratif dan sangat bergantung pada ukuran lingkungan Anda:
| Skenario | Perkiraan jam (ilustratif) | Pekerjaan utama |
|---|---|---|
| Satu laptop terinfeksi malware, tanpa penyebaran | 8–16 jam | Analisis, pembersihan, pemeriksaan akun |
| Email bisnis disusupi, ada permintaan transfer palsu | 20–40 jam | Analisis akses email, pelingkupan data, pemulihan akun |
| Ransomware pada beberapa server | 80–150 jam | Forensik, pemberantasan, pemulihan, laporan |
Banyak perusahaan menengah memilih kuota di sekitar skenario tengah, lalu menerima bahwa insiden besar akan memakai jam tambahan dengan tarif retainer. Bila tahun berjalan tanpa insiden dan kontrak membolehkan konversi, jam yang tersisa bisa dipakai, misalnya, 16 jam untuk latihan meja bersama direksi dan 24 jam untuk peninjauan kesiapan atau uji ulang. Dengan begitu retainer tetap memberi nilai meskipun tidak ada insiden.
Pertanyaan yang sering diajukan
Apakah UMKM perlu retainer?
UMKM dengan anggaran kecil bisa memulai dengan retainer tanpa kuota atau beberapa jam prabayar dari penyedia MSSP-nya, ditambah rencana tanggap insiden tertulis. Yang terpenting adalah tahu siapa yang ditelepon.
Bisakah retainer dibeli dari penyedia yang sama dengan MDR?
Bisa, dan koordinasinya lebih mudah. Kelemahannya, tim yang menyelidiki juga menilai apakah layanan pemantauannya sendiri gagal. Sebagian perusahaan memilih penyedia berbeda untuk alasan ini.
Apakah tim respons insiden akan bernegosiasi dengan pemeras?
Tidak semua penyedia menawarkan layanan ini, dan keputusan membayar tebusan memiliki risiko hukum dan praktis. Diskusikan dengan penasihat hukum, penanggung, dan aparat penegak hukum.
Berapa jam yang biasanya dibutuhkan satu insiden?
Sangat bervariasi, dari beberapa jam untuk satu laptop terinfeksi sampai ratusan jam untuk ransomware di banyak server. Gunakan skenario terburuk yang realistis untuk menentukan kuota.
Sumber resmi
- BSSN — tim tanggap insiden nasional dan Peraturan BSSN 1/2024
- Pasal.id — UU 27/2022 Pasal 46 tentang pemberitahuan kegagalan pelindungan data pribadi
- Otoritas Jasa Keuangan — pengawasan perusahaan asuransi yang menjual asuransi siber
