Ancaman Keamanan Siber Terbesar: Risiko yang Sudah Diketahui

Telset.id – Risiko keamanan siber terbesar saat ini bukan berasal dari serangan canggih yang belum diketahui, melainkan dari celah keamanan yang sudah teridentifikasi namun tidak segera diperbaiki. Sebuah laporan terbaru mengungkapkan bahwa satu dari tiga aset TI di perusahaan global masih kekurangan kontrol keamanan kritis, sementara hampir satu dari lima aset menjalankan perangkat lunak yang sudah habis masa dukungannya.

Analisis terhadap lebih dari 800.000 aset TI menunjukkan bahwa permukaan serangan modern tidak hanya meluas, tetapi juga semakin terfragmentasi dan sulit dikendalikan. Dan Schiappa, President of Technology and Services di Arctic Wolf, menekankan bahwa organisasi saat ini lebih mahir dalam mengidentifikasi kerentanan, namun kurang efektif dalam memprioritaskan dan memperbaikinya. Kesenjangan antara mengetahui, memprioritaskan, dan memperbaiki inilah yang menjadi titik awal sebagian besar pelanggaran data.

“Attackers are not outpacing defenders technologically. They are taking advantage of execution gaps,” tulis Schiappa dalam artikelnya di TechRadar Pro. Pernyataan ini menegaskan bahwa pelaku kejahatan siber tidak perlu berinovasi secara teknologi; mereka cukup memanfaatkan kelengahan organisasi dalam melakukan remediasi.

Data menunjukkan bahwa 65% insiden keamanan melibatkan penyalahgunaan layanan akses jarak jauh seperti VPN, RDP, dan alat manajemen jarak jauh. Ini bukanlah kelemahan yang rumit, melainkan komponen fundamental dari lingkungan TI modern yang sering diabaikan. Setiap kerentanan dalam sepuluh besar yang paling sering dieksploitasi dalam kasus respons insiden terbaru sebenarnya sudah memiliki patch dari vendor, seringkali berbulan-bulan sebelumnya.

Masalah Visibilitas yang Mendasar

Inti dari permasalahan ini adalah visibilitas. Lingkungan TI perusahaan telah berevolusi menjadi ekosistem yang sangat terdistribusi, meliputi infrastruktur on-premises, layanan cloud, aplikasi SaaS, perangkat jarak jauh, dan integrasi pihak ketiga. Setiap lapisan biasanya dikelola oleh alat yang berbeda dengan inventarisnya masing-masing, dan tidak ada satu pun yang memberikan gambaran lengkap.

Akibatnya, hampir seperlima (17%) aset kini tidak tercakup oleh alat manajemen kerentanan sama sekali. Artinya, aset-aset tersebut secara efektif tidak terlihat dari sudut pandang keamanan. Ini bukan sekadar kelalaian teknis, melainkan kelemahan struktural yang diakui oleh banyak pemimpin keamanan: organisasi tidak bisa mengamankan apa yang tidak bisa mereka lihat.

Bagi perusahaan di Inggris, tantangan ini semakin penting. Kerangka kerja regulasi seperti Network and Information Systems (NIS2) Regulations dan Cyber Security and Resilience Bill yang akan datang menekankan perlunya kontrol yang dapat dibuktikan atas aset dan risiko. Inventaris yang tidak akurat dan data yang terfragmentasi membuat pembuktian ini semakin sulit.

Sistem Warisan: Risiko yang Tak Kunjung Hilang

Memperparah masalah visibilitas adalah persistensi teknologi warisan. Sebanyak 19% aset TI menjalankan perangkat lunak atau perangkat keras yang sudah mencapai akhir masa pakai (end-of-life), yang berarti tidak lagi menerima pembaruan keamanan. Sistem-sistem ini sangat menantang, terutama di sektor kesehatan, manufaktur, dan jasa keuangan, di mana mereka sering tertanam dalam proses kritis dan tidak mudah diganti.

Masalahnya bukan hanya keberadaan mereka, tetapi juga ketidakjelasannya. Tidak jarang organisasi percaya bahwa sistem warisan sudah dinonaktifkan, hanya untuk kemudian menyadari bahwa sistem tersebut masih aktif. Ini menciptakan titik buta yang persisten dalam permukaan serangan, yang dengan cepat dieksploitasi oleh penyerang.

Yang lebih mengkhawatirkan adalah sejauh mana organisasi salah memahami postur keamanan mereka sendiri. Banyak yang mengandalkan satu sistem catatan, seperti alat manajemen konfigurasi, sebagai “sumber kebenaran” mereka. Namun, sistem ini seringkali tidak lengkap. Dalam satu contoh, sebuah perusahaan percaya bahwa perlindungan endpoint-nya sudah penuh berdasarkan laporan internal. Analisis independen mengungkapkan bahwa sebagian perangkatnya tidak termasuk dalam sistem sama sekali.

Kesenjangan antara persepsi dan realitas ini menciptakan rasa aman yang palsu, yang semakin tidak dapat dipertahankan di tengah meningkatnya pengawasan regulasi dan akuntabilitas tingkat dewan direksi.

Dari Manajemen Kerentanan ke Manajemen Eksposur

Terhadap latar belakang ini, terjadi pergeseran yang lebih luas dalam pendekatan organisasi terhadap keamanan siber. Manajemen kerentanan tradisional, yang berfokus pada identifikasi dan penilaian kelemahan, tidak lagi memadai. Tantangannya bukanlah kurangnya data, melainkan kurangnya kejelasan tentang apa yang paling penting.

Manajemen eksposur, sebaliknya, mengadopsi pandangan yang lebih holistik. Pendekatan ini menggabungkan penemuan aset berkelanjutan dengan data dari berbagai sumber, menerapkan konteks bisnis dan ancaman untuk memprioritaskan risiko. Yang terpenting, pendekatan ini juga berfokus pada verifikasi, memastikan bahwa tindakan remediasi benar-benar selesai.

Perubahan ini sudah memberikan hasil yang terukur. Organisasi yang mengadopsi praktik manajemen eksposur yang lebih matang melihat pengurangan lebih dari 40% di seluruh kategori risiko utama, termasuk kontrol yang hilang dan aset end-of-life.

Implikasinya bagi organisasi di Indonesia pun sama jelasnya. Keamanan siber bukan lagi hanya tentang bertahan dari ancaman yang tidak diketahui. Ini tentang mengelola risiko yang sudah diketahui secara sistematis, berkelanjutan, dan dalam skala besar. Kemampuan untuk menunjukkan kontrol atas permukaan serangan, untuk membuktikan apa yang ada, bagaimana dilindungi, dan apakah risiko telah dikurangi, dengan cepat menjadi ekspektasi dasar.

Penyerang kini mampu mencapai kontrol di seluruh domain dalam hitungan menit setelah memasuki lingkungan. Dalam konteks itu, keterlambatan dalam remediasi atau celah dalam visibilitas bukan hanya masalah operasional, melainkan risiko bisnis yang kritis. Organisasi yang akan sukses adalah mereka yang menutup kesenjangan antara wawasan dan tindakan, yang bergerak melampaui asumsi dan mengembangkan pemahaman yang jelas dan dapat diverifikasi tentang eksposur mereka.

Pada akhirnya, dalam lanskap ancaman saat ini, risiko terbesar bukanlah apa yang belum diketahui organisasi, melainkan apa yang sudah mereka ketahui tetapi belum diperbaiki.