Apa yang terjadi
Pada 22 Juli 2026, Badan Keamanan Siber Singapura (CSA) mengumumkan bahwa akan merilis Kode Praktik Keamanan Siber (CCoP) yang diperbarui untuk Infrastruktur Informasi Kritis (CII) pada akhir 2026 — pembaruan pertama sejak 2022 — secara eksplisit untuk mengatasi ancaman yang didukung AI dan Ancaman Persisten Lanjutan (APT). Pengumuman tersebut (dibuat oleh Menteri Josephine Teo di Forum Panel Ahli Keamanan Siber Teknologi Operasional 2026) menetapkan persyaratan wajib baru yang mulai berlaku tahun ini: akuntabilitas keamanan siber tingkat dewan (semua anggota dewan, bukan hanya satu direktur) dengan kerangka ketahanan siber yang terdokumentasi dan ditinjau setiap tahun; sertifikasi Cyber Trust Mark Level 5 wajib untuk pemilik CII; pengawasan wajib atas sistem yang saling terhubung terkait dengan CII; penyebaran alat deteksi ancaman yang dikembangkan secara lokal pimpinan CSA di seluruh segmen jaringan CII; panduan teknis baru mencakup simulasi serangan permusuhan, pengujian penetrasi, dan perburuan ancaman; dan rencana latihan keamanan siber yang komprehensif. CSA juga mengumumkan Kode Praktik baru pendamping untuk Layanan Cloud (CCoP Cloud), yang akan diluncurkan di 2H2026, dikembangkan bersama dengan AWS, Google Cloud, dan Microsoft Azure melalui Panduan Pendamping khusus CSP. Ini adalah kode keamanan siber CII nasional utama pertama yang secara eksplisit direvisi untuk mengkodifikasi kontrol yang didorong oleh ancaman AI (misalnya, penemuan kerentanan musuh yang lebih cepat melalui AI perbatasan).
Mengapa penting
Ini adalah kode praktik keamanan siber yang dimandatkan secara hukum (bukan panduan sukarela) yang berlaku untuk semua 11 sektor CII di Singapura (penerbangan, kesehatan, transportasi darat, maritim, media, keamanan/layanan darurat, air, perbankan/keuangan, energi, info-komunikasi, pemerintah). Ini adalah salah satu contoh pertama dari regulator nasional yang secara langsung mengkodifikasi respons terhadap ancaman yang didukung AI (simulasi permusuhan, siklus patch yang lebih cepat, penemuan kerentanan penyerang yang dipercepat oleh AI) langsung ke dalam rezim kepatuhan infrastruktur kritis yang mengikat, dengan sertifikasi konkret (Cyber Trust Mark Level 5) dan persyaratan akuntabilitas dewan. Ini menetapkan templat yang dapat diikuti oleh regulator CII APAC/Five Eyes lainnya ketika serangan yang didukung AI perbatasan terhadap OT/infrastruktur kritis menjadi risiko arus langsung saat ini (misalnya, insiden utilitas air Meksiko yang dikutip Mei 2026 yang dimungkinkan oleh AI).
Tindakan yang diperlukan
Pemilik CII di 11 sektor yang ditunjuk Singapura harus mulai memetakan kesenjangan tata kelola keamanan siber dewan dan kontrol teknis saat ini terhadap persyaratan CCoP 2026 yang diumumkan (kerangka ketahanan dewan, Cyber Trust Mark L5, pengawasan sistem yang saling terhubung) sebelum publikasi formal di akhir 2026; operator CII yang dihosting cloud harus melacak CCoP (Cloud) dan Panduan Pendamping CSP yang akan datang untuk panduan konfigurasi khusus AWS/Google Cloud/Azure.