Keamanan siber Arab Saudi dalam Visi 2030 diorganisasikan berdasarkan kerangka Otoritas Keamanan Siber Nasional (NCA), yang menetapkan kontrol wajib bagi lembaga pemerintah dan infrastruktur kritis sekaligus mengoordinasikan pertahanan siber, kepatuhan regulasi, respons insiden, dan pengembangan tenaga kerja. NCA, yang dibentuk melalui dekret kerajaan pada 2017, berperan sebagai lembaga keamanan siber tertinggi di Kerajaan.
Otoritas Keamanan Siber Nasional
Mandat NCA yang luas mencakup regulasi keamanan siber, pertahanan siber nasional, peningkatan kapasitas, dan kerja sama internasional. Lembaga ini bertanggung jawab langsung kepada Raja, yang mencerminkan prioritas strategis keamanan siber dalam hierarki pemerintahan.
Kontrol Keamanan Siber Esensial (ECC) NCA menetapkan persyaratan keamanan dasar bagi semua lembaga pemerintah dan operator infrastruktur kritis nasional. Kontrol tersebut mencakup ranah tata kelola, pertahanan, ketahanan, dan pengelolaan pihak ketiga, sehingga menyediakan kerangka terstruktur untuk meningkatkan kematangan keamanan siber organisasi.
Kerangka kontrol khusus menangani persyaratan sektoral. Kontrol Keamanan Siber Sistem Kritis berlaku bagi organisasi yang mengoperasikan sistem penting bagi keamanan nasional, perekonomian, atau keselamatan publik. Kontrol Keamanan Siber Cloud menangani risiko khusus yang terkait dengan adopsi komputasi awan. Kontrol Keamanan Siber Data menetapkan persyaratan perlindungan data di seluruh siklus hidupnya.
Kepatuhan terhadap kontrol NCA wajib bagi lembaga pemerintah dan semakin banyak diadopsi organisasi sektor swasta melalui persyaratan kontrak dan praktik terbaik industri. NCA melakukan penilaian kepatuhan dan menerbitkan tolok ukur kematangan untuk mendorong peningkatan berkelanjutan.
Lanskap Ancaman dan Respons Insiden
Arab Saudi menghadapi lanskap ancaman siber yang canggih dan terus berkembang. Sebagai eksportir minyak terkemuka dunia dan kekuatan regional yang signifikan, Kerajaan menarik perhatian pelaku ancaman yang disponsori negara, hacktivist, dan penjahat siber bermotif finansial. Serangan Shamoon pada 2012 terhadap Saudi Aramco, yang menghancurkan data pada sekitar 35,000 workstation, tetap menjadi peristiwa penting yang mendorong investasi keamanan siber nasional.
NCA mengoperasikan Pusat Operasi Keamanan Nasional yang memantau ancaman siber di jaringan pemerintah dan infrastruktur kritis. Pusat ini mengoordinasikan deteksi, analisis, dan respons insiden, serta menyediakan visibilitas terpusat atas lingkungan ancaman siber nasional.
Tim tanggap darurat komputer (CERT) sektoral beroperasi dengan koordinasi NCA. Saudi CERT menangani respons insiden keamanan siber umum, sementara tim khusus menangani insiden di sektor keuangan, energi, dan telekomunikasi. Tim-tim ini menyediakan berbagi intelijen ancaman, advis kerentanan, dan dukungan respons insiden bagi organisasi terkait.
Kapabilitas intelijen ancaman ditingkatkan melalui kemitraan dengan badan keamanan siber internasional, penyedia intelijen ancaman sektor swasta, dan komunitas berbagi informasi. Arab Saudi berpartisipasi dalam Global Forum on Cyber Expertise dan menjalin perjanjian kerja sama keamanan siber bilateral dengan negara-negara mitra utama.
Perlindungan Infrastruktur Kritis
Perlindungan infrastruktur kritis nasional merupakan prioritas utama NCA. Infrastruktur kritis Kerajaan mencakup fasilitas energi—termasuk lingkungan teknologi operasional Saudi Aramco yang luas—instalasi desalinasi, pembangkit dan distribusi listrik, jaringan telekomunikasi, sistem keuangan, serta infrastruktur transportasi.
Keamanan siber teknologi operasional (OT) mendapat perhatian khusus. Konvergensi sistem TI dan OT di lingkungan industri menciptakan vektor serangan baru yang tidak cukup ditangani dengan pendekatan keamanan TI tradisional. Kontrol keamanan siber khusus OT dari NCA menangani kebutuhan unik sistem kendali industri, termasuk persyaratan ketersediaan waktu nyata, tantangan sistem lama, dan operasi yang kritis bagi keselamatan.
Saudi Aramco telah menginvestasikan miliaran riyal untuk keamanan siber dan membangun salah satu operasi keamanan siber industri paling canggih di dunia. Pusat Operasi Keamanan Siber perusahaan memantau puluhan ribu endpoint di fasilitas produksi, kilang, dan jaringan korporat. Kapabilitas deteksi ancaman tingkat lanjut, otomatisasi respons, dan ketahanan mencerminkan pelajaran dari insiden Shamoon pada 2012.
Keamanan siber sektor keuangan diatur melalui Kerangka Keamanan Siber SAMA, yang menetapkan persyaratan terperinci bagi bank, perusahaan asuransi, dan perusahaan teknologi keuangan. Kerangka ini mencakup tata kelola, penilaian risiko, pengelolaan pihak ketiga, dan respons insiden. Pemeriksa SAMA melakukan penilaian kepatuhan secara berkala.
Pasar Keamanan Siber dan Pengembangan Industri
Pasar keamanan siber Arab Saudi tumbuh pesat, dengan belanja tahunan melampaui SAR 15 miliar pada 2025. Pengadaan pemerintah merupakan segmen permintaan terbesar, disusul sektor jasa keuangan, energi, telekomunikasi, dan kesehatan.
Perusahaan keamanan siber internasional menjalankan operasi signifikan di Arab Saudi. Pemain utama, termasuk Palo Alto Networks, CrowdStrike, Fortinet, IBM Security, dan Check Point, telah membangun kantor lokal, pusat dukungan, dan ekosistem mitra. Pasar Saudi merupakan salah satu peluang keamanan siber terbesar di Timur Tengah.
Perusahaan keamanan siber domestik bermunculan, didukung dorongan NCA untuk mengembangkan industri lokal. Perusahaan yang menyediakan layanan keamanan terkelola, pengujian penetrasi, konsultasi kepatuhan, dan pengembangan produk keamanan telah membangun usaha yang layak untuk melayani klien pemerintah maupun swasta.
Program SIREN dari NCA mendorong pengembangan produk keamanan siber domestik melalui preferensi pengadaan, dukungan inkubasi, dan mekanisme investasi bersama. Program ini bertujuan mengembangkan kapabilitas keamanan siber berdaulat yang mengurangi ketergantungan pada teknologi asing untuk aplikasi keamanan kritis.
Pengembangan Tenaga Kerja
Kekurangan talenta keamanan siber merupakan tantangan global yang sangat terasa di Arab Saudi, tempat transformasi digital yang pesat telah menciptakan permintaan jauh melampaui pasokan. NCA memperkirakan kebutuhan akan lebih dari 30,000 profesional keamanan siber pada 2030, sehingga diperlukan investasi besar dalam pendidikan, pelatihan, dan penarikan talenta.
Federasi Keamanan Siber, Pemrograman, dan Drone Saudi (SAFCSP) menyelenggarakan program pelatihan, kompetisi, dan kampanye kesadaran yang menyasar kaum muda Saudi. CyberHub, platform pelatihan federasi tersebut, menyediakan kursus keamanan siber dari tingkat pemula hingga lanjutan dengan ribuan peserta setiap tahun.
Program studi keamanan siber di universitas semakin berkembang, dengan gelar khusus yang ditawarkan di sejumlah universitas Saudi. Prince Mohammed bin Fahd University, Imam Mohammed ibn Saud Islamic University, dan lembaga lainnya telah membentuk kurikulum keamanan siber yang selaras dengan standar internasional dan kerangka kompetensi NCA.
Pencapaian sertifikasi profesional didorong melalui subsidi pemerintah dan insentif pemberi kerja. Profesional keamanan siber Saudi semakin banyak memiliki sertifikasi CISSP, CISM, CEH, dan sertifikasi lain yang diakui secara internasional, sehingga membangun komunitas profesional yang selaras dengan standar global.
Program CyberStar yang dijalankan NCA mengidentifikasi dan mengembangkan talenta keamanan siber berpotensi tinggi melalui pelatihan intensif, pendampingan, dan dukungan penempatan karier. Program ini menyasar individu dari latar belakang pendidikan beragam, dengan mengakui bahwa talenta keamanan siber dapat muncul melalui jalur nontradisional.
Perkembangan Regulasi
Undang-Undang Kejahatan Siber menetapkan sanksi pidana untuk tindak pidana siber, termasuk akses tanpa izin, pencurian data, gangguan sistem, dan tindak pidana terkait konten. Sanksinya mencakup hukuman penjara dan denda yang disesuaikan dengan tingkat keparahan pelanggaran serta sensitivitas sistem yang terdampak.
Undang-Undang Perlindungan Data Pribadi (PDPL) menetapkan kewajiban pemberitahuan kebocoran data. Organisasi wajib melaporkan kebocoran data signifikan kepada SDAIA dan individu yang terdampak dalam tenggat waktu yang ditentukan. Tindakan penegakan berdasarkan PDPL telah membentuk preseden bagi kepatuhan perlindungan data di sektor swasta.
Standar keamanan siber internasional, khususnya ISO 27001 dan NIST Cybersecurity Framework, banyak diadopsi organisasi Saudi sebagai kerangka kepatuhan. Kerangka kontrol NCA mengacu pada standar internasional tersebut sekaligus memasukkan persyaratan khusus Kerajaan.
Tantangan
Laju transformasi digital terus memperluas permukaan serangan. Seiring layanan pemerintah beralih ke ranah daring, perangkat IoT bertambah dalam penerapan kota cerdas, dan perusahaan mengadopsi layanan cloud, jumlah serta keragaman aset yang memerlukan perlindungan keamanan meningkat secara eksponensial.
Keamanan siber rantai pasok menjadi perhatian yang kian penting. Keterhubungan organisasi melalui rantai pasok digital membuka jalur bagi insiden siber yang dapat merambat. Pengelolaan risiko keamanan siber pihak ketiga di ekosistem pemasok yang kompleks membutuhkan kapabilitas penilaian dan pemantauan yang canggih.
Keamanan sistem lama masih menjadi tantangan. Lembaga pemerintah dan perusahaan yang mengoperasikan sistem lama menghadapi kesulitan menerapkan kontrol keamanan modern pada platform yang dirancang sebelum ancaman masa kini dipahami. Program migrasi dan modernisasi menangani utang teknis ini, tetapi kemajuannya membutuhkan waktu dan investasi.
Prospek
Investasi keamanan siber Arab Saudi akan terus meningkat hingga 2030, didorong oleh ekspansi infrastruktur digital, ancaman yang terus berkembang, dan persyaratan regulasi. Pendekatan komprehensif NCA—yang memadukan regulasi, pembangunan kapabilitas, pengembangan industri, dan perluasan tenaga kerja—menyediakan fondasi kuat bagi ketahanan siber nasional.
Kematangan keamanan siber Kerajaan akan diuji oleh pelaku ancaman yang semakin canggih dan menyasar perekonomian digitalnya yang terus berkembang. Kecukupan investasi pertahanan, efektivitas kerangka regulasi, dan memadainya pengembangan tenaga kerja akan menentukan kemampuan Kerajaan melindungi hasil transformasi digitalnya. Keamanan siber bukan sekadar tantangan teknologi, melainkan kepentingan keamanan nasional yang akan menentukan keberlanjutan ambisi ekonomi digital Visi 2030.