TM lancar pusat pertahanan siber di Cyberjaya: apa maksudnya untuk organisasi Malaysia

Pada 8 September 2026, TM One, iaitu sayap perusahaan dan kerajaan Telekom Malaysia, memperkenalkan TM Cyber Defence Centre atau TM CYDEC di kampus TM di Cyberjaya. Ia bukan pusat latihan dan bukan ruang pameran. Ia pusat operasi keselamatan siber, iaitu tempat manusia dan sistem memantau ancaman pada rangkaian, perkhidmatan awan dan aplikasi dalam satu tempat.

Apa yang membezakannya, iaitu model cyber fusion

Banyak organisasi memantau rangkaian, perkhidmatan awan dan aplikasi mereka secara berasingan. Setiap bahagian mempunyai alat sendiri dan laporan sendiri. Masalahnya, serangan jarang berlaku dalam satu bahagian sahaja. Ia biasanya bermula di satu tempat dan bergerak ke tempat lain.

TM CYDEC dibina atas apa yang TM sebut sebagai model cyber fusion. Maksudnya, isyarat daripada rangkaian, awan dan keselamatan digabungkan supaya ancaman dilihat sebagai satu gambaran, bukan beberapa gambaran berasingan yang tidak bercakap antara satu sama lain.

Apa yang ia tawarkan

• ▸ Pemantauan dan risikan ancaman sepanjang masa, 24 jam sehari.
• ▸ Penyelarasan data daripada rangkaian, platform awan, aplikasi dan infrastruktur digital supaya amaran yang berkaitan dapat dicantumkan menjadi satu kejadian.
• ▸ Kawalan dan eskalasi dari dalam Malaysia untuk persekitaran yang sensitif.
• ▸ Sokongan pematuhan bagi organisasi yang tertakluk kepada Akta Keselamatan Siber 2024 dan Akta Perlindungan Data Peribadi 2010.

Bahagian ketiga itu penting kepada sektor tertentu. Bagi bank, agensi kerajaan dan penyedia perkhidmatan kesihatan, keupayaan memantau dan bertindak dari dalam negara bukan sekadar soal teknikal. Ia soal siapa yang boleh melihat data itu, di mana ia disimpan, dan siapa yang membuat keputusan apabila berlaku insiden.

Kenapa ia dibina di dalam negara

Akta Keselamatan Siber 2024 menetapkan rangka kerja untuk melindungi infrastruktur maklumat kritikal negara, dan agensi yang menerajui pelaksanaannya ialah NACSA, iaitu agensi keselamatan siber negara. Bagi organisasi dalam sektor yang terlibat, keupayaan memantau dan bertindak dari dalam Malaysia bukan pilihan tambahan, tetapi keperluan tadbir urus.

Kaitannya dengan AI

Sebahagian besar perbualan tentang AI dan keselamatan siber berlegar pada satu soalan, iaitu sama ada AI menjadikan serangan lebih mudah. Jawapan yang dipakai dalam industri ialah ya, dan ia juga menjadikan kerja pertahanan lebih rumit, kerana data yang mengalir ke dalam alat AI itu sendiri perlu dikawal.

TM menyebut empat risiko khusus yang mereka ambil kira, iaitu pendedahan data, tadbir urus, integriti model dan pematuhan. Ini risiko yang berbeza daripada ancaman rangkaian biasa, kerana ia melibatkan data yang dihantar kepada model pihak ketiga dan keputusan yang diambil berdasarkan hasil daripada model itu.

Apa kata TM One

Timbalan presiden eksekutif TM One, Shanti Jusnita Johari, berkata masa depan keselamatan siber tidak akan ditentukan oleh siapa yang melihat paling banyak amaran, tetapi oleh siapa yang paling faham ekosistem digitalnya sendiri. Beliau berkata organisasi hari ini beroperasi merentas platform awan, rangkaian, perkhidmatan dan infrastruktur kritikal, jadi melindunginya memerlukan semua bahagian itu difahami sebagai satu, dan bukan dipertahankan secara berasingan.

Siapa yang mendapat manfaat dan siapa yang belum

Sasarannya jelas, iaitu organisasi besar, syarikat yang mempunyai tanggungjawab pematuhan, dan agensi kerajaan. Perniagaan kecil dan sederhana belum berada dalam lingkungan itu, kerana perkhidmatan sebegini biasanya melibatkan kontrak tahunan dan proses integrasi yang tidak kecil.

Namun bahagian yang boleh diambil oleh organisasi kecil bukan alatnya, tetapi disiplinnya. Tiga perkara asas memberi kesan yang paling besar, dan ketiga-tiganya percuma atau hampir percuma.

• ▸ Sandaran yang pernah diuji, bukan sandaran yang hanya wujud. Sandaran yang tidak pernah dicuba dipulihkan belum terbukti berfungsi.
• ▸ Tampalan keselamatan yang tidak tertunggak, terutama pada perisian yang boleh dicapai dari internet.
• ▸ Pengesahan dua langkah untuk semua akaun pentadbir, kerana kata laluan sahaja tidak lagi mencukupi.

Apa yang berlaku di dalamnya apabila serangan berlaku

Pusat seperti ini dinilai dengan satu ukuran yang mudah difahami, iaitu berapa lama masa diambil untuk mengesan dan kemudian menutup satu insiden. Dalam dunia keselamatan siber, masa itu dipanggil masa untuk mengesan dan masa untuk bertindak balas.

Prosesnya biasanya melalui lima langkah yang sama, tidak kira besar mana organisasi itu.

• ▸ Pengesanan. Sistem memberi amaran tentang kelakuan luar biasa, contohnya akaun pentadbir yang tiba-tiba memuat turun sejumlah besar data pada waktu malam.
• ▸ Penyaringan. Bukan setiap amaran adalah serangan. Pasukan menyemak sama ada amaran itu benar, kerana terlalu banyak amaran palsu menyebabkan amaran sebenar terlepas pandang.
• ▸ Pembendungan. Yang penting di sini bukan menangkap penyerang, tetapi menghentikan pendarahannya, contohnya memutuskan sambungan satu pelayan supaya ia tidak merebak ke sistem lain.
• ▸ Pembersihan dan pemulihan. Sistem dibersihkan, kata laluan ditukar, dan perkhidmatan dipulihkan daripada sandaran yang sahih.
• ▸ Laporan dan pembaikan. Apa yang berlaku didokumenkan, dan kelemahan yang membenarkan serangan itu ditutup supaya ia tidak berulang.

Sebab model cyber fusion ditekankan ialah langkah pertama dan kedua bergantung sepenuhnya pada gambaran yang lengkap. Kalau amaran daripada rangkaian, awan dan aplikasi disimpan di tiga tempat berbeza, pasukan keselamatan mungkin nampak tiga kejadian kecil yang berasingan, sedangkan sebenarnya ia satu serangan yang bergerak dari satu sistem ke sistem lain.

Kalau awak mempertimbangkan perkhidmatan sebegini, apa yang perlu ditanya

Bagi organisasi yang cukup besar untuk membeli perkhidmatan pengurusan keselamatan siber, nilai sebenar terletak pada syarat kontrak, bukan pada nama teknologi. Lima soalan ini membezakan perkhidmatan yang serius daripada yang hanya kelihatan serius.

• ▸ Adakah pemantauan dijalankan oleh manusia sepanjang masa, atau hanya oleh sistem automatik yang menghantar e-mel?
• ▸ Siapa yang dihubungi pada pukul tiga pagi, dan dalam berapa minit? Minta masa tindak balas itu ditulis dalam kontrak.
• ▸ Di manakah data pemantauan disimpan, dan siapa yang boleh mengaksesnya? Ini penting jika organisasi awak tertakluk kepada pematuhan tertentu.
• ▸ Apa yang berlaku selepas kontrak tamat? Adakah awak menerima log dan laporan lengkap, atau hanya ringkasan?
• ▸ Bolehkah awak melihat rekod insiden sebenar yang pernah dikendalikan, dalam bentuk yang tidak mendedahkan identiti pelanggan lain?

Soalan pertama dan kedua itu yang paling penting. Banyak perkhidmatan yang dipasarkan sebagai pemantauan 24 jam sebenarnya ialah sistem automatik yang menghantar notifikasi, manakala manusia hanya bekerja pada waktu pejabat. Perbezaan itu baru terasa apabila sesuatu berlaku pada hari cuti umum.

Konteks Malaysia yang lebih besar

TM CYDEC bukan usaha tunggal dan bukan yang pertama. Malaysia sudah mempunyai beberapa lapisan pertahanan siber sejak lebih dua puluh tahun, termasuk agensi keselamatan siber negara, badan tindak balas insiden seperti MyCERT yang mengendalikan laporan insiden, dan pengawal selia komunikasi dan multimedia yang menguruskan aspek teknikal dan pematuhan dalam sektor yang dikawal.

Yang berubah bukan kewujudan lapisan itu, tetapi jangkaan terhadap organisasi. Dulu, keselamatan siber dianggap tanggungjawab jabatan teknologi maklumat semata-mata. Sekarang ia muncul dalam laporan lembaga pengarah, dalam kontrak pelanggan, dan dalam syarat pematuhan. Apabila sebuah syarikat telekomunikasi membina pusat khusus untuknya dan memasarkannya kepada perusahaan serta kerajaan, itu tanda jangkaan itu sudah berpindah ke meja pengurusan.

Bagi sesetengah organisasi, ini juga soal rantaian bekalan. Apabila pelanggan besar mula bertanya sama ada pembekal mereka memantau ancaman dengan serius, syarikat yang lebih kecil dalam rantaian itu turut terpaksa menyediakan jawapan. Tekanan itu biasanya datang daripada kontrak, bukan daripada undang-undang.

Apa yang belum diketahui

Satu perkara yang perlu dikatakan dengan jelas. Laporan awam tentang pusat ini tidak menyebut nilai pelaburannya, bilangan kakitangan yang terlibat, jenis kepakaran yang dibawa masuk, atau harga pakej perkhidmatannya. Tiada juga penilaian bebas yang mengukur keberkesanannya setakat ini.

Ketiadaan angka itu biasa bagi pelancaran sebegini, kerana banyak maklumat komersial belum boleh diumumkan. Tetapi ia bermakna penilaian sebenar hanya boleh dibuat kemudian, berdasarkan rekod dan pengalaman pelanggan, bukan berdasarkan pengumuman pada hari pelancaran.

Kesimpulan

Berita ini penting bukan kerana satu syarikat membuka satu pusat, tetapi kerana ia menandakan perubahan jangkaan. Keselamatan siber mula dilihat sebagai sebahagian daripada infrastruktur asas, seperti bekalan elektrik dan air, dan bukan sebagai alat tambahan yang dipasang hanya selepas berlaku insiden.

Bagi pemilik perniagaan kecil, kesimpulan praktikalnya lebih sederhana. Kalau organisasi besar pun perlu membina pusat khas untuk memantau ancaman, maka laman kecil dan data pelanggan kita juga memerlukan tiga perkara asas tadi, iaitu sandaran yang diuji, tampalan yang dikemas kini, dan kunci kedua pada pintu utama.