Telset.id – Mayoritas organisasi, tepatnya 82 persen, saat ini masih membawa security debt atau utang keamanan siber, yaitu akumulasi kerentanan yang belum diperbaiki selama lebih dari satu tahun. Kondisi ini menjadi indikator bahwa kerentanan ditemukan lebih cepat daripada kemampuan tim untuk memperbaikinya, sehingga risiko bisnis terus meningkat.
Sohail Iqbal, CISO di Veracode, menjelaskan bahwa ketidakseimbangan ini semakin membesar. Di satu sisi, alat deteksi semakin canggih dalam menemukan celah keamanan di aplikasi, dependensi, dan pipeline pengembangan. Namun di sisi lain, kapasitas remediasi tim engineering tidak bertambah sepadan. Akibatnya, kerentanan yang parah dan berpotensi dieksploitasi terus bertambah dan bertahan lama di lingkungan produksi.
Masalah ini tidak lagi bisa dianggap sebagai tantangan teknis yang hanya menjadi urusan tim keamanan. Para CISO kini perlu meyakinkan jajaran direksi atau C-suite bahwa pengurangan security debt adalah isu yang berdampak pada seluruh unit bisnis dan membutuhkan investasi berkelanjutan.
Artikel ini merupakan bagian dari TechRadar Pro Perspectives, kanal yang menampilkan pemikiran para tokoh teknologi industri, dan ditulis oleh Sohail Iqbal, CISO di Veracode.
Perlakukan Security Debt seperti Utang Finansial
Pemimpin bisnis harus mengubah cara pandang mereka terhadap security debt. Utang keamanan siber seharusnya diperlakukan dengan tingkat pengawasan yang sama seperti utang finansial. Layaknya utang finansial, security debt terakumulasi seiring waktu dan berbunga jika tidak dikelola, sehingga menciptakan biaya yang terus membengkak bagi perusahaan.
Biaya tersebut muncul dalam berbagai bentuk, mulai dari keterlambatan rilis produk, upaya remediasi darurat, temuan audit, respons insiden, hingga pada akhirnya meningkatkan risiko organisasi secara keseluruhan. Seperti halnya utang finansial, security debt membutuhkan manajemen aktif, bukan sekadar penanganan kerusakan secara berkala.
Organisasi perlu memahami dengan jelas berapa banyak security debt yang mereka bawa, membedakan kerentanan yang paling penting, dan membuat keputusan yang disengaja tentang di mana investasi remediasi harus difokuskan. Tanpa disiplin tersebut, backlog akan terus bertambah sementara risiko organisasi meningkat.
Dewan direksi sudah memantau kinerja finansial, ketahanan operasional, dan keandalan layanan karena masing-masing memengaruhi kemampuan organisasi untuk beroperasi. Security debt termasuk dalam kategori yang sama. Ini adalah indikator terukur dari eksposur organisasi dan harus dikelola dengan tingkat pengawasan dan akuntabilitas yang sama seperti risiko bisnis lainnya.
Kapasitas adalah Kunci, Bukan Visibilitas
Mayoritas organisasi sebenarnya sudah mengetahui di mana kerentanan keamanan mereka berada. Masalah utamanya adalah keterbatasan kapasitas remediasi. Ketika kerentanan ditemukan lebih cepat daripada kemampuan tim engineering untuk menyelesaikannya, security debt akan terus bertumbuh, tidak peduli seberapa canggih alat deteksi yang digunakan.
Untuk mendapatkan dukungan dari C-suite, para CISO harus menunjukkan kesenjangan kapasitas ini dalam istilah bisnis. Ini termasuk menyoroti volume kerentanan yang ditemukan dibandingkan yang diperbaiki, berapa lama masalah berisiko tinggi tetap tidak terselesaikan, dan di mana sistem kritis masih terbuka terhadap eksploitasi. Membingkai remediasi sebagai kendala operasional memudahkan eksekutif memahami manfaat bisnis yang lebih luas dari penanganannya, mulai dari meningkatkan kapasitas engineering hingga mengurangi biaya dan menjaga ketersediaan layanan.
Keberhasilan dalam mengurangi security debt harus diukur dari pengurangan eksposur, bukan sekadar menghitung kerentanan yang ditemukan atau ditutup. Metrik seperti jumlah kerentanan yang dapat dieksploitasi di sistem kritis, usia rata-rata kerentanan tersebut, dan total security debt memberikan gambaran yang lebih jelas tentang risiko organisasi.
Penerimaan risiko secara formal untuk masalah berisiko tinggi yang belum terselesaikan, dikombinasikan dengan waktu engineering yang didedikasikan, otomatisasi, dan remediasi berbantuan AI, dapat meningkatkan throughput remediasi secara signifikan tanpa memperlambat pengembangan.
Penting untuk dipahami bahwa tidak semua kerentanan memiliki tingkat risiko yang sama. Skor keparahan seperti Common Vulnerability Scoring System (CVSS) memang berguna, tetapi tidak memperhitungkan eksploitabilitas, konteks enterprise, atau apakah aplikasi yang terdampak bersifat kritis bagi bisnis. Pendekatan yang lebih efektif menggabungkan keparahan dengan eksploitabilitas dan konteks organisasi untuk mengidentifikasi persentase kecil kerentanan yang paling mungkin berdampak pada bisnis.
Setiap organisasi memiliki aplikasi ‘crown-jewel’, baik itu platform yang berhadapan dengan pelanggan, layanan penghasil pendapatan, atau aplikasi yang menangani data sensitif. Aplikasi-aplikasi ini harus diprioritaskan untuk remediasi. Sebagai gambaran, 11 persen kerentanan dianggap sangat parah dan dapat dieksploitasi. Memfokuskan sumber daya pada subset ini memungkinkan organisasi mengurangi risiko jauh lebih efektif daripada memperlakukan setiap kerentanan secara setara, sekaligus memberi pemimpin keamanan cara yang lebih jelas untuk menjelaskan prioritas remediasi dalam istilah bisnis, bukan jargon teknis.
Efek domino dari security debt melampaui fungsi keamanan. Utang ini memengaruhi ketahanan, kepatuhan regulasi, dan kemampuan organisasi untuk mengoperasikan perangkat lunak dengan percaya diri. CISO memiliki peluang untuk membentuk ulang percakapan dengan membingkai security debt sebagai risiko enterprise, bukan sekadar backlog teknis.
Ketika kepemimpinan dapat memahami hubungan antara kapasitas remediasi dan risiko bisnis, keputusan seputar investasi dan prioritas menjadi jauh lebih jelas. Security debt tidak akan pernah bisa diberantas sepenuhnya. Yang terpenting adalah seberapa efektif utang tersebut diukur, dikelola, dan dikurangi dari waktu ke waktu.
Perusahaan yang berinvestasi dalam kapasitas remediasi dan fokus pada kerentanan yang paling penting akan lebih siap untuk mengendalikan risiko dalam skala besar. Pendekatan ini juga relevan dengan perkembangan lanskap keamanan siber yang semakin kompleks, termasuk munculnya ancaman berbasis AI yang membutuhkan strategi deteksi AI scam dan perlindungan data yang lebih ketat.
Selain itu, penting bagi organisasi untuk memahami risiko yang terkait dengan teknologi baru. Investasi keamanan siber yang tepat, termasuk dampak halusinasi AI, menjadi pertimbangan yang semakin krusial dalam pengambilan keputusan strategis.
Keamanan perangkat juga menjadi perhatian tersendiri. Produsen perangkat kini semakin serius dalam menyediakan pembaruan keamanan jangka panjang, seperti yang terlihat pada komitmen update keamanan dari berbagai vendor. Hal ini menunjukkan bahwa kesadaran akan pentingnya pengelolaan kerentanan semakin meluas di seluruh ekosistem teknologi.
Pada akhirnya, mengelola security debt bukan hanya tentang menutup celah keamanan, tetapi tentang membangun ketahanan organisasi secara menyeluruh. Dengan pendekatan yang tepat, organisasi dapat mengubah security debt dari beban teknis menjadi indikator risiko bisnis yang terukur dan dapat dikelola.
Komentar
Belum ada komentar.