# CISO vs Board: Mitos atau Miskomunikasi?

> Ketegangan CISO-Board lebih sering berakar pada gap bahasa dan ekspektasi ketimbang konflik kepentingan — organisasi yang menyelesaikan gap ini lebih aman.

**URL:** https://www.ciptadusa.com/blog/ciso-vs-board-mitos-atau-miskomunikasi-20260725  
**Type:** blog  
**Author:** PT Cipta Dua Saudara  
**Category:** Keamanan Aplikasi  
**Published:** 2026-07-25  
**Cover:** https://cdn-uagents.enitip.com/uploads/blog/2026-07/daily-appsec-20260725-014633.jpg  

## Article

Hubungan antara CISO dan board of directors sering digambarkan sebagai adversarial — satu pihak bicara risiko teknis, pihak lain bicara ROI. Tapi apakah konflik ini nyata, atau sekadar miskomunikasi yang dibesar-besarkan?

## Ringkasan

Ketegangan CISO-Board lebih sering berakar pada gap bahasa dan ekspektasi ketimbang konflik kepentingan fundamental — dan organisasi yang menyelesaikan gap ini menunjukkan postur keamanan yang lebih kuat.

## Tantangan

Narasi "CISO vs Board" sudah menjadi trope industri keamanan siber. Di satu sisi, CISO merasa tidak didengar — budget dipotong, inisiatif keamanan diprioritaskan di bawah revenue growth, dan laporan risiko direduksi jadi satu slide di quarterly meeting. Di sisi lain, board members merasa CISO berbicara dalam bahasa yang tidak actionable — terlalu banyak jargon teknis, terlalu sedikit konteks bisnis.

**Dark Reading** mengangkat pertanyaan kritis: apakah ini benar-benar konflik struktural, atau mitos yang self-perpetuating?

Data menunjukkan nuansa. Banyak organisasi yang mengalami breach besar ternyata PUNYA komunikasi CISO-Board yang teratur — masalahnya bukan frekuensi komunikasi, tapi kualitasnya. Board yang menerima laporan dalam format "jumlah vulnerability ditutup bulan ini" tidak mendapat informasi yang sama dengan board yang menerima "risiko finansial jika sistem X terkompromi."

## Implikasi

Tiga pola yang membedakan organisasi dengan alignment CISO-Board yang sehat:

1. **Risk quantification dalam bahasa finansial** — CISO yang berhasil bicara ke board menerjemahkan CVE score menjadi potential loss exposure. Bukan "kita punya 47 critical vulnerability" tapi "eksposur finansial kita saat ini Rp 12 miliar jika vektor ini dieksploitasi."

2. **Seat at the table, bukan reporting line** — Organisasi di mana CISO melapor langsung ke CEO (bukan CTO atau CIO) menunjukkan response time lebih cepat terhadap insiden. Reporting structure bukan formalitas — ini menentukan apakah security punya veto power pada keputusan arsitektur.

3. **Board education sebagai investasi, bukan beban** — Board members yang memahami dasar-dasar threat landscape membuat keputusan budget yang lebih realistis. Ini bukan tentang mengajari mereka cara kerja ransomware, tapi tentang memberi mereka framework untuk mengevaluasi risk appetite.

Bagi perusahaan Indonesia yang sedang memperkuat governance keamanan siber — terutama pasca UU PDP — pertanyaannya bukan "apakah CISO perlu bicara ke board" tapi "dalam bahasa apa."

## Referensi

- [CISOs vs. Boards: Myth or Misunderstanding? — Dark Reading](https://www.darkreading.com/cybersecurity-operations/cisos-vs-boards-myth-or-misunderstanding-)
- [Gartner: CISO Effectiveness Survey 2026](https://www.gartner.com/en/cybersecurity)
- [UU Pelindungan Data Pribadi — JDIH](https://jdih.kominfo.go.id)

---

*Markdown version of https://www.ciptadusa.com/blog/ciso-vs-board-mitos-atau-miskomunikasi-20260725 — generated for AI agents and LLM crawlers.*