Kategori Lesen NACSA Keselamatan Siber 2026: MSS, Pentest, Forensik dan Kategori Lain

Mengapakah Pelesenan Khusus Kategori Diperkenalkan?

Sebelum Akta 854, pasaran perkhidmatan keselamatan siber Malaysia agak kurang dikawal secara formal. Sesiapa sahaja boleh mengiklankan diri sebagai 'syarikat pentest' atau 'pembekal SOC' tanpa keperluan kelayakan minimum. Keadaan ini menghasilkan kualiti yang tidak seragam: ada syarikat bersijil CREST yang serius, dan ada juga 'pemilik komputer riba dengan langganan Nessus' yang menjual laporan imbasan automatik sebagai 'pentest'.

Rejim pelesenan khusus kategori bertujuan untuk: (a) memastikan pembekal memenuhi piawaian kompetensi minimum, (b) memberi pelanggan satu sumber yang boleh dipercayai untuk mengesahkan kredibiliti pembekal, (c) mewujudkan saluran rasmi untuk aduan dan tindakan tatatertib, dan (d) menggalakkan industri keselamatan siber tempatan yang lebih matang dan boleh dieksport.

Bagi pembekal yang sudah serius (CREST, ISO 27001, kakitangan bertauliah), pelesenan ialah kelebihan daya saing yang membezakan mereka. Bagi pembekal amatur, pelesenan ialah halangan kemasukan yang melindungi pasaran.

Kategori 1: Perkhidmatan Keselamatan Terurus (MSS)

Perkhidmatan Keselamatan Terurus (Managed Security Services, MSS) merangkumi syarikat yang menyediakan pemantauan keselamatan berterusan, pengurusan peranti keselamatan (tembok api, EDR) dan respons terhadap amaran untuk pelanggan luar. Perkhidmatan ini termasuk SOC sebagai perkhidmatan (SOC as a Service), Pengesanan dan Respons Terurus (Managed Detection and Response, MDR), SIEM terurus dan perkhidmatan risikan ancaman.

Dalam Akta 854, MSS ialah salah satu kategori utama yang dijangka memerlukan pelesenan kerana akses langsungnya yang luas kepada data dan sistem pelanggan. Pembekal MSS lazimnya mempunyai akses istimewa kepada log audit, peristiwa rangkaian dan kadangkala sistem teras pelanggan. Tahap akses istimewa ini memerlukan tahap akauntabiliti yang sesuai.

Dokumen yang biasanya diperlukan dalam permohonan lesen MSS: (1) sijil pendaftaran syarikat (SSM), (2) dasar keselamatan dalaman dan sistem pengurusan keselamatan maklumat (ISMS) (lazimnya ISO 27001), (3) bukti pasukan SOC dengan kelayakan minimum (analis L1/L2/L3 dengan sijil seperti GCIA, GCIH dan GMON), (4) bukti infrastruktur SOC tempatan atau sekurang-kurangnya kawalan lokasi data, (5) insurans profesional yang mencukupi, dan (6) dasar pengurusan insiden dan kerahsiaan pelanggan.

Kategori 2: Ujian Penembusan (Penetration Testing)

Ujian penembusan ialah kategori yang berprofil risiko tinggi kerana pembekal secara aktif melakukan tindakan yang dalam konteks lain akan menjadi serangan siber, iaitu eksploitasi kerentanan, akses tanpa izin dan peningkatan hak istimewa. Tanpa kawal selia formal, hal ini boleh mencetuskan isu undang-undang dan risiko moral.

Pelesenan pentest di bawah Akta 854 dijangka menghendaki: bukti kakitangan teknikal bersijil (CREST CRT/CCT sebagai minimum, atau OSCP/OSCE/OSEE), peraturan penglibatan (RoE) yang didokumenkan, dasar pengendalian data sensitif yang ditemui semasa tugasan (selalunya bersifat sangat sulit, termasuk siapa yang boleh mengakses, tempoh pengekalan dan mekanisme pemusnahan), dasar pelaporan dan eskalasi penemuan kritikal, dan insurans profesional (lazimnya minimum RM5 juta).

Pelesenan juga akan membezakan jenis pengujian. Pentest web/mudah alih/rangkaian ialah satu peringkat, manakala pasukan merah (red team) berasaskan risikan ialah peringkat yang lebih tinggi dan mungkin memerlukan kelayakan tambahan serta pemeriksaan latar belakang kakitangan. Pembekal yang ingin menawarkan kedua-duanya perlu memperoleh kelayakan untuk setiap satu.

Bagi pelanggan, peraturan ini bermakna: jika anda mahu pentest yang diiktiraf untuk audit BNM, juruaudit luar atau pengemukaan kepada pengawal selia, pilihlah pembekal berlesen. Sebut harga RM6,000 daripada pembekal tidak berlesen dengan 'laporan PDF' biasanya tidak akan memuaskan juruaudit.

Kategori 3: Respons Insiden dan Forensik Digital

Respons insiden (Incident Response) dan forensik digital (Digital Forensics, DFIR) ialah perkhidmatan yang dipanggil semasa atau selepas insiden keselamatan untuk membendung kerosakan, mengumpul bukti, menjalankan analisis punca utama dan menyokong tindakan undang-undang jika perlu. Profil risikonya: pembekal mempunyai akses kepada bukti yang mungkin digunakan di mahkamah, data peribadi pelanggan yang terjejas, dan sistem yang sedang dalam keadaan kritikal.

Pelesenan DFIR/IR dijangka menghendaki: kakitangan teknikal dengan sijil forensik (GCFE, GCFA, EnCase Certified Examiner, Cellebrite CCO/CCPA), prosedur rantaian jagaan (chain of custody) yang didokumenkan, kemudahan makmal forensik tempatan dengan kawalan akses (kunci fizikal, kamera, log akses), dasar pengendalian bukti yang mematuhi Akta Keterangan 1950 dan Akta Komunikasi dan Multimedia 1998, serta rakan kongsi peguam untuk pengemukaan bukti kepada PDRM atau MCMC apabila diperlukan.

Bagi syarikat Malaysia yang menghadapi serangan perisian tebusan (ransomware) atau pelanggaran data, penggunaan pembekal respons insiden berlesen memastikan bukti yang dikumpul boleh digunakan dalam tindakan undang-undang berikutnya (insurans, tindakan terhadap orang dalam, kerjasama dengan PDRM). Pembekal tidak berlesen yang menggunakan prosedur ad hoc berisiko menyebabkan bukti dicabar di mahkamah.

Jadual Perbandingan Tiga Kategori Utama

Jadual berikut meringkaskan keperluan lazim bagi tiga kategori utama. Butiran khusus masih berkembang melalui peraturan pelaksanaan NACSA, jadi gunakan jadual ini sebagai panduan awal sahaja.

Implikasi Praktikal untuk Pelanggan Korporat

Bagi pelanggan korporat Malaysia, peraturan baharu ini menambah tetapi tidak menggantikan usaha wajar terhadap pembekal yang sedia ada. Langkah praktikal untuk perolehan:

• Tambahkan 'status lesen NACSA' pada borang soal selidik pembekal standard anda.
• Minta salinan lesen (atau bukti permohonan dalam proses) sebagai sebahagian daripada permintaan cadangan (RFP).
• Sahkan status melalui portal NACSA secara berkala, bukan hanya semasa pemilihan pembekal.
• Untuk kontrak jangka panjang, masukkan klausa 'kehilangan lesen NACSA' sebagai sebab penamatan.
• Untuk pembekal asing, dapatkan bukti pengaturan pematuhan (entiti Malaysia, rakan kongsi berlesen, atau skop terhad kepada aktiviti yang tidak tertakluk).
• Nota penting: maklumat dalam artikel ini bersifat panduan umum. Organisasi disyorkan merujuk teks rasmi akta, garis panduan terkini pengawal selia (BNM, NACSA dan Pesuruhjaya Perlindungan Data Peribadi) serta mendapatkan nasihat peguam atau juruaudit bertauliah sebelum membuat keputusan pematuhan.

Implikasi Praktikal untuk Pembekal (Penyedia Perkhidmatan)

Bagi syarikat keselamatan siber Malaysia, perubahan ini ialah kelebihan daya saing yang besar jika anda sudah mempunyai kelayakan asas. Bagi pembekal yang masih berada pada tahap awal:

• Mulakan dengan memetakan kakitangan kepada kelayakan sijil yang dijangka. Kos peningkatan kelayakan (CREST CRT ~RM18,000 bagi setiap kakitangan dan OSCP ~RM5,000) ialah pelaburan permulaan.
• Bangunkan dan dokumenkan dasar dalaman (ISMS, RoE, rantaian jagaan dan lokasi data). Banyak elemen ini berguna walaupun di luar pelesenan.
• Dapatkan insurans profesional yang mencukupi lebih awal. Premiumnya biasanya RM10,000–RM50,000 setahun bergantung pada skop.
• Mulakan permohonan lebih awal kerana proses NACSA biasanya mengambil beberapa bulan, dan pelanggan perniagaan ke perniagaan (B2B) sudah mula meminta status pelesenan.

Status nCrypt Malaysia

nCrypt Malaysia komited terhadap pematuhan penuh kepada rangka kerja pelesenan NACSA di bawah Akta 854. Pasukan teknikal kami mengekalkan sijil profesional bertaraf industri (CREST, OSCP dan GIAC), dasar dalaman yang selaras dengan ISO 27001 dan insurans profesional yang mencukupi. Sila rujuk halaman Pensijilan Syarikat untuk status terkini akreditasi syarikat dan kakitangan.