Keamanan siber
Bitspark / Insights
Menyusun Inventaris Aset dengan Kepemilikan Keamanan yang Jelas
Pelajari cara organisasi yang berkembang menyusun inventaris aset dinamis, mengatasi ketidakjelasan kepemilikan sistem, dan memperkuat tata kelola pada infrastruktur hibrida.
Mengapa Visibilitas Aset Mendahului Prioritisasi Risiko
Pada bagian sebelumnya mengenai fondasi risiko keamanan siber, kita melihat bahwa prioritisasi ancaman bergantung pada konteks bisnis dan bukan hanya skor keparahan kerentanan semata. Namun, penerapan konteks bisnis mensyaratkan pemahaman yang tepat mengenai perangkat keras, aplikasi, kontainer cloud, dan endpoint internal yang beroperasi dalam ekosistem perusahaan. Ketika tim keamanan tidak memiliki data acuan yang akurat mengenai sistem operasional, infrastruktur penting tidak terpantau oleh pengawasan ancaman, sehingga aset berharga rawan terhadap eksploitasi.
Ringkasan visual / 01
Konteks Aset vs Prioritisasi Ancaman
- 01Pencatatan aset cloud dan on-premise aktif
- 02Korelasi aset dengan tingkat keparahan ancaman
- 03Penetapan prioritas risiko operasional
Kerangka kerja penilaian risiko tidak dapat berjalan optimal tanpa basis data yang jelas. Panduan dari NIST Cybersecurity Framework 2.0 menegaskan bahwa pencatatan dan pemetaan aset fisik maupun perangkat lunak merupakan bagian utama tata kelola organisasi. Tanpa inventaris yang terhubung langsung ke unit bisnis operasional, rujukan seperti katalog Known Exploited Vulnerabilities dari CISA tidak dapat diterapkan secara efisien. Akibatnya, tim keamanan dapat menghabiskan sumber daya untuk memperbarui sistem pengembangan yang tidak kritis sementara server produksi tanpa pemilik tetap rentan diserang.
Tantangan Tata Kelola pada Sistem Terfragmentasi
Arsitektur TI modern saat ini jarang mengandalkan satu jenis perangkat keras dari vendor tunggal. Seiring diadopsinya microservices, edge computing, platform multi-cloud, dan standar antarmuka terbuka, infrastruktur menjadi semakin terfragmentasi. Penelitian tentang sistem terfragmentasi—seperti arsitektur Open Radio Access Network (O-RAN) yang diteliti oleh Polese et al. (2023)—menunjukkan bahwa menghubungkan komponen virtual multivendor melalui antarmuka terbuka menciptakan batas operasional yang kompleks serta memperluas potensi area serangan.
Dalam ekosistem terfragmentasi tersebut, mengidentifikasi batas antara satu subsistem dengan subsistem lainnya memerlukan pelacakan inventaris yang terstruktur di seluruh lapisan abstraksi. Ketika microservices pihak ketiga, API gateway, dan mesin virtual multi-cloud berinteraksi tanpa batasan yang jelas, pemindaian jaringan biasa sering kali gagal mendeteksi aset tersembunyi. Prinsip pengujian keamanan web OWASP mengingatkan bahwa pengujian keamanan bergantung pada penemuan endpoint dan antarmuka API yang belum terpetakan sebelum dieksploitasi pihak luar.
Menetapkan Kepemilikan Keamanan atas Batas Operasional
Mengetahui keberadaan suatu aset hanya menyelesaikan separuh dari masalah tata kelola; menentukan siapa yang bertanggung jawab atas keamanan aset tersebut sama pentingnya. Dalam literatur tata kelola perusahaan, John C. Coffee (2001) menganalisis perkembangan struktur kepemilikan terdispersi dibandingkan kepemilikan terkonsentrasi, yang menunjukkan bagaimana kondisi awal membentuk pola kendali organisasi. Kondisi serupa terjadi dalam operasional TI: ketika kepemilikan sistem terbagi secara tidak jelas di antara beberapa tim tanpa akuntabilitas formal, pemeliharaan dan penerapan tambalan keamanan menjadi terhambat.
Ringkasan visual / 03
Matriks Akuntabilitas Kepemilikan Keamanan
- 01Penunjukan penanggung jawab utama aset
- 02Jalur otorisasi pembaruan dan tambalan
- 03Siklus evaluasi kepemilikan berkala
Untuk mencegah timbulnya sistem tanpa pemilik yang menumpuk beban risiko, organisasi perlu beralih dari kategorial departemen yang samar menuju penunjukan penanggung jawab keamanan yang spesifik. NIST Cybersecurity Framework 2.0 menekankan bahwa peran dan tanggung jawab manajemen risiko harus ditetapkan dan dipantau secara tegas. Setiap aset yang terdaftar—baik database internal, cloud workload, maupun switch jaringan—memerlukan penanggung jawab utama yang berwenang menyetujui pembaruan software, mengatur hak akses, dan merespons peringatan keamanan.
Mengalokasikan Ulang dan Menghentikan Aset Tanpa Pemilik
Sistem tanpa pemilik dan perangkat legacy menimbulkan risiko teknis yang signifikan karena sering kali menjalankan perangkat lunak usang yang tidak lagi menerima pembaruan keamanan. Penelitian ekonomi mengenai alokasi ulang aset perusahaan oleh Brav et al. (2015) menunjukkan bahwa restrukturisasi aset yang tidak produktif serta pengalihan kendali operasional meningkatkan efisiensi secara nyata. Dalam tata kelola keamanan siber, kedisiplinan siklus hidup aset membantu organisasi mengidentifikasi perangkat keras redundan, menghapus cloud instance yang ditinggalkan, dan mengurangi area serangan yang tidak perlu.
Ketika suatu aset tidak lagi memiliki fungsi bisnis yang jelas atau tidak memiliki tim yang merawatnya, kebijakan keamanan harus mewajibkan alokasi ulang atau penghentian operasional (decommissioning). Pembandingan infrastruktur usang terhadap katalog Known Exploited Vulnerabilities CISA sering kali menunjukkan bahwa aset legacy menyimpan celah keamanan lama yang aktif diincar penyerang. Menghentikan sistem yang tidak terpakai ini mengurangi beban operasional dan mempermudah pengelolaan kerentanan pada infrastruktur sisanya.
Mengintegrasikan Inventaris ke dalam Pengujian Berkelanjutan
Inventaris aset tidak boleh berhenti sebagai dokumen statis yang hanya diperbarui sekali dalam setahun saat persiapan audit. Sebagaimana dijelaskan dalam pembahasan sebelumnya mengenai batasan pengujian dan aturan main, pengetesan penetrasi dan evaluasi keamanan sangat bergantung pada keakuratan cakupan sasaran. Panduan dari OWASP Web Security Testing Guide menegaskan bahwa penemuan aset merupakan proses dinamis tempat pemindaian otomatis, penemuan API, dan pemetaan sub-domain terus memperbarui cakupan operasional.
Ringkasan visual / 05
Integrasi Penemuan Berkelanjutan dan Tata Kelola
- 01Pemindaian otomatis API dan sumber daya cloud
- 02Pemetaan batasan dinamis untuk pengujian keamanan
- 03Pembaruan skor risiko secara real-time
Mewujudkan feed aset dinamis yang terhubung langsung ke perangkat keamanan memastikan bahwa pendaftaran server atau layanan cloud baru otomatis masuk ke dalam skema pemindaian kerentanan. Menyelaraskan mekanisme penemuan ini dengan prinsip tata kelola NIST CSF 2.0 menciptakan siklus tertutup: setiap perubahan infrastruktur akan memicu evaluasi otomatis, pembaruan skor risiko, dan pemberitahuan kepada penanggung jawab aset. Otomatisasi ini mencegah sistem baru masuk ke lingkungan produksi tanpa kontrol keamanan dasar.
Langkah Praktis Membangun Tata Kelola Aset Berkelanjutan
Membangun inventaris aset dengan kepemilikan keamanan yang jelas membutuhkan tahapan operasional yang terstruktur. Pertama, terapkan alat pemindaian otomatis yang mampu mendeteksi aset di seluruh jaringan lokal, langganan multi-cloud, dan aplikasi software-as-a-service. Kedua, susun taksonomi yang mengklasifikasikan aset berdasarkan tingkat keritisan bisnis, sensitivitas data, dan domain fungsi untuk menghindari kategori yang membingungkan.
Ketiga, tetapkan aturan bahwa setiap entitas aset dalam registri wajib memiliki penanggung jawab utama, kontak teknis cadangan, dan unit bisnis pemilik. Keempat, hubungkan metadata aset ke dalam alur kerja manajemen kerentanan sehingga tiket perbaikan yang dipicu oleh peringatan CISA atau hasil pemindaian internal langsung terkirim ke tim yang tepat. Kejelasan operasional ini menjadi dasar bagi topik berikutnya dalam seri kami: membangun manajemen kerentanan dan tata kelola tambalan yang terencana.
Sumber yang digunakan
- NIST — Cybersecurity Framework 2.0
- OWASP — Web Security Testing Guide
- CISA — Known Exploited Vulnerabilities Catalog
- Riset akses terbuka · The Rise of Dispersed Ownership: The Roles of Law and the State in the Separation of Ownership and Control (2001) - John C. Coffee The Yale Law Journal · 2001 · OpenAlex
- Riset akses terbuka · Understanding O-RAN: Architecture, Interfaces, Algorithms, Security, and Research Challenges (2023) - Michele Polese, Leonardo Bonati, Salvatore D’Oro, Stefano Basagni, Tommaso Melodia IEEE Communications Surveys & Tutorials · 2023 · OpenAlex
- Riset akses terbuka · The Real Effects of Hedge Fund Activism: Productivity, Asset Allocation, and Labor Outcomes (2015) - Alon Brav, Wei Jiang, Hyunseob Kim Review of Financial Studies · 2015 · OpenAlex
