Laporan Tolok Ukur Ketahanan CYGNVS Ungkap Kesenjangan dalam Kesiapan Menghadapi Insiden AI

Laporan Tolok Ukur Ketahanan CYGNVS, yang disusun oleh CYGNVS bersama Marsh Risk, menemukan bahwa kesenjangan antara penggunaan AI oleh organisasi dan kemampuan mereka menangani insiden yang melibatkan AI semakin lebar. Berdasarkan lebih dari 9.500 survei yang jawabannya berasal dari pengakuan responden, laporan tersebut menyebutkan bahwa 89% organisasi yang disurvei pernah mengalami suatu jenis insiden AI, sementara 46% akan menyusun respons secara spontan jika mengalaminya.

Dirilis pada 13 Oktober 2026, laporan ini membahas masalah yang dampaknya semakin besar seiring AI beralih dari menghasilkan konten menjadi menjalankan alur kerja bisnis. Memberi agen akses ke dokumen, email, dan sistem bisnis dapat membuatnya berguna. Namun, hal itu juga membuat instruksi yang keliru, kredensial yang terekspos, atau rangkaian tindakan yang tidak terkendali lebih sulit dibatasi.

Temuan tersebut menunjukkan bahwa penerapan AI dan persiapan untuk memulihkan diri dari kegagalan AI berkembang dengan kecepatan berbeda. Sekitar 80% organisasi dalam kumpulan data menggunakan AI generatif, tetapi hanya satu dari tiga organisasi yang menguji AI mereka terhadap serangan. Memiliki komite tata kelola AI—sebagaimana dilaporkan oleh tiga perempat organisasi pengguna AI—tidak serta-merta berarti organisasi tersebut memiliki pertahanan operasional yang telah diuji.

Apa yang Dimasukkan Laporan sebagai Insiden AI

Angka utama dalam laporan ini perlu dilihat dalam konteksnya. Laporan tersebut menggunakan definisi insiden AI yang luas, mencakup halusinasi berbahaya, bias, pergeseran model, kebocoran data, agen yang mengejar tujuan yang tidak dimaksudkan, kegagalan di antara agen-agen yang saling berinteraksi, serta mekanisme pengaman yang tidak memadai. Peristiwa-peristiwa ini dapat memiliki penyebab dan konsekuensi yang sangat berbeda.

Jawaban yang tidak akurat kepada pelanggan dan agen yang membocorkan informasi rahasia sama-sama termasuk dalam cakupan pembahasan yang lebih luas itu, tetapi keduanya bukan peristiwa keamanan yang setara. Karena itu, angka 89% sebaiknya dipahami sebagai pengalaman yang dilaporkan terkait suatu bentuk insiden AI, bukan sebagai bukti bahwa hampir sembilan dari sepuluh organisasi mengalami pelanggaran keamanan yang disebabkan AI. Laporan tersebut juga menyebutkan bahwa 16% organisasi menghadapi insiden AI setidaknya sekali seminggu, tanpa menyatakan bahwa semua insiden itu memiliki tingkat keparahan yang sama.

Pembedaan ini penting dalam merencanakan respons. Keluaran model yang berbahaya mungkin mengharuskan penarikan konten dan peninjauan keputusan yang terdampak. Agen yang bertindak melalui alat-alat terhubung mungkin mengharuskan pencabutan izin, pengamanan catatan aktivitas, dan identifikasi perubahan di sejumlah sistem. Prosedur penanganan intrusi konvensional mungkin mencakup sebagian langkah dalam kedua jenis respons tersebut, tetapi tim tetap perlu mengetahui tindakan khusus AI apa yang dapat mereka lakukan dan siapa yang berwenang melakukannya.

Rencana Sudah Lazim. Rencana yang Siap Dijalankan Tidak Begitu.

Laporan tersebut membagi kesiapan ke dalam empat tahap: mempersiapkan, berlatih, merespons, dan melaporkan. Di keempat tahap itu, kelemahan yang terus berulang adalah kesenjangan antara memiliki dokumentasi dan mampu menjalankannya di bawah tekanan.

• Persiapan: 92% memiliki proses respons insiden yang terdokumentasi, tetapi hanya 37% memiliki panduan khusus untuk serangan ransomware dan 29% memiliki panduan untuk insiden yang melibatkan pihak ketiga.
• Latihan: 17% tidak mengadakan latihan berbasis skenario. Sebanyak 66% lainnya mengadakannya setahun sekali atau sekali setiap dua tahun.
• Respons: 67% belum menetapkan penanggung jawab yang jelas untuk proses dan dependensi mereka yang paling penting.
• Pelaporan: 69% mengakui adanya kesenjangan signifikan dalam pencatatan tentang siapa melakukan apa dan kapan.

Sementara itu, lebih dari enam dari sepuluh organisasi menyatakan bahwa jumlah insiden meningkat dalam 12 bulan sebelumnya, dan 84% meninjau rencana respons paling sering sekali setahun. Angka-angka ini menggambarkan aspek kesiapan yang berbeda, tetapi jika dilihat bersama, semuanya memunculkan pertanyaan praktis: seberapa cepat sebuah rencana menjadi usang ketika sistem, vendor, dan izin yang dicakupnya terus berubah?

Dalam penerapan AI, perubahan dapat mencakup model baru, sumber data tambahan, atau izin untuk menjalankan tugas yang sebelumnya dilakukan secara manual. Masing-masing dapat mengubah respons yang diperlukan ketika terjadi kegagalan. Rencana perlu mengidentifikasi penanggung jawab sistem terkait, kendali pembatasan dampak yang tersedia, serta bukti yang harus tetap terjaga selama proses pembatasan.

Mengapa Infrastruktur Respons Memerlukan Batas Tersendiri

Hanya 33% organisasi yang disurvei memiliki lingkungan komando khusus di luar jalur utama yang tidak dapat diamati atau dipengaruhi oleh AI yang sedang diselidiki. Persoalan arsitekturnya sederhana: tim respons memerlukan tempat untuk berkoordinasi yang tetap dapat dipercaya ketika lingkungan terdampak tidak lagi dapat dipercaya.

Bayangkan sebuah agen yang memiliki akses ke dokumen bersama dan sistem pesan perusahaan. Jika petugas respons menyimpan catatan investigasi dan rencana pembatasan dampak di sistem yang sama, izin agen tersebut mungkin juga memberinya akses ke respons itu. Ini bukan berarti setiap agen yang mengalami gangguan akan menyembunyikan perilakunya. Artinya, arsitektur respons tidak boleh bergantung pada sistem terdampak untuk berfungsi dengan benar.

CYGNVS menyediakan platform untuk mengoordinasikan tim keamanan, pemimpin bisnis, dan spesialis eksternal. Pusat Komando Insiden AI mereka mencakup panduan penanganan khusus AI, skenario latihan, dan panduan respons. Perusahaan tersebut menyatakan bahwa lingkungan ini beroperasi secara terpisah dari sistem masuk tunggal, email, dan infrastruktur perusahaan milik pelanggan.

Kemampuan di luar jalur utama mencakup identitas pengguna yang terpisah dan Isolate Mode, yang membatasi ruang kerja insiden hanya untuk peserta yang berwenang. Perusahaan itu juga menjelaskan fitur snapshot historis dan sertifikasi akses bertanda tangan digital untuk mendokumentasikan aktivitas penanganan. Fitur-fitur ini mendukung koordinasi dan pengelolaan bukti; efektivitasnya tetap bergantung pada cara organisasi mengatur akses, menetapkan tanggung jawab, dan berlatih menggunakannya.

Latihan Harus Melibatkan Para Pengambil Keputusan

Hanya 15% organisasi dalam laporan tersebut yang mengadakan latihan simulasi lintas fungsi secara menyeluruh dengan melibatkan tim hukum, eksekutif, dan komunikasi. Hampir separuh masih menganggap latihan terutama sebagai simulasi untuk tim keamanan dan TI, sementara fungsi lain dilibatkan bila diperlukan.

Akibatnya, keputusan penting belum cukup sering dilatih. Tim keamanan mungkin dapat menonaktifkan suatu integrasi, tetapi pemimpin bisnis mungkin perlu menyetujui penghentian layanan yang digunakan pelanggan. Tim hukum dan komunikasi mungkin perlu menilai apa yang dapat disampaikan sebelum penyelidikan selesai. Melatih proses serah terima ini membantu mengungkap kewenangan yang belum ditetapkan dan asumsi yang saling bertentangan.

Penyedia eksternal juga merupakan salah satu faktor ketergantungan. Meski 88% melaporkan memiliki rencana komunikasi krisis, lebih dari empat dari sepuluh belum memastikan tersedianya keahlian eksternal yang dibutuhkan untuk menjalankan rencana tersebut. Daftar kontak dan pengaturan kontrak merupakan bagian operasional dari kesiapan, terutama ketika beberapa organisasi mungkin membutuhkan spesialis yang sama saat terjadi insiden berskala luas.

Cara Membaca Tolok Ukur

Metodologi tersebut menjelaskan bahwa lebih dari 9.500 survei dikumpulkan antara Januari 2023 dan September 2026 di 21 industri di negara-negara Asia, Eropa, dan Amerika Utara. Jawaban diberikan sendiri oleh responden, dianonimkan, dan dianalisis secara agregat. Kumpulan data tersebut mencakup organisasi yang mengalami maupun yang tidak mengalami insiden siber atau AI kritis dalam 24 bulan sebelumnya.

Data ini merupakan kumpulan jawaban survei selama beberapa tahun, bukan satu survei baru yang melibatkan 9.500 perusahaan berbeda. Metodologi yang dipublikasikan tidak menetapkan sampel probabilitas yang mewakili semua organisasi ataupun mencantumkan jumlah sampel untuk setiap temuan yang disorot. Persentase tersebut berguna sebagai indikator dalam kumpulan data ini, tetapi tidak seharusnya dianggap sebagai perkiraan yang tepat tentang prevalensi insiden secara universal.

Laporan tersebut menyimpulkan bahwa organisasi yang baru-baru ini mengalami insiden kritis cenderung menunjukkan kesiapan yang lebih kuat pada beberapa aspek pengukuran. Keterkaitan itu mendukung perlunya menelaah perubahan yang dilakukan organisasi tersebut, tetapi tidak dengan sendirinya membuktikan bahwa pengalaman menghadapi insiden menyebabkan peningkatan tersebut. CYGNVS juga menjual perangkat lunak pengelolaan respons, sehingga kepentingan komersialnya relevan saat mengevaluasi rekomendasinya.

Menerjemahkan Temuan Menjadi Perubahan Operasional

Bersamaan dengan laporan tersebut, CYGNVS memperkenalkan kemampuan Resilience Benchmark, yang menurut perusahaan memungkinkan pelanggan membandingkan kesiapan berdasarkan industri, ukuran, dan wilayah geografis. Nonpelanggan dapat mengikuti penilaian gratis untuk mendapatkan laporan tolok ukur yang dipersonalisasi. Laporan dan penilaian tersebut tersedia melalui sumber daya ketahanan CYGNVS.

Hal paling bermanfaat yang dapat dilakukan adalah menguji tindakan konkret: siapa yang dapat menangguhkan agen, di mana petugas tanggap berkomunikasi jika sistem perusahaan disusupi, catatan mana yang tetap tersedia, dan apakah spesialis eksternal dapat bergabung tanpa perlu mengimprovisasi akses darurat. Mengukur kemampuan tersebut memberi dewan direksi dan pemimpin keamanan gambaran kesiapan yang lebih jelas daripada sekadar mengetahui bahwa kebijakan sudah ada.

Seiring organisasi memperluas kewenangan AI, kesiapan tanggap perlu dikembangkan sejalan dengannya. Laporan CYGNVS Resilience Benchmark Report memperlihatkan kesenjangan tersebut. Untuk menutupnya, tim perlu mengubah niat yang tertulis menjadi keputusan dan kendali yang telah mereka latih.