A. Kerangka Kerja Manajemen Kerentanan di Indonesia

Dalam rangka penerapan manajemen kerentanan di Indonesia, pada bagian ini dijelaskan desain kerangka kerja yang dapat diterapkan di Indonesia dengan menggambarkan dasar kebijakan yang menjadi rujukan, proses manajemen kerentanan, kolaborasi/input dari kerentanan, hingga entitas-entitas yang terlibat dalam proses manajemen kerentanan.

Gambar 7. Kerangka kerja Manajemen Kerentanan Indonesia

Gambar 7 mengilustrasikan kerangka kerja strategis dalam penerapan manajemen kerentanan di Indonesia. Tujuan utama dari kerangka kerja ini adalah membangun basis data kerentanan nasional serta mewujudkan manajemen kerentanan yang andal melalui kolaborasi skala nasional.

Bagian pertama dari kerangka kerja adalah landasan hukum dan peraturan yang mendasari penyusunan dan pelaksanaan manajemen kerentanan. Bagian ini mencakup Undang-Undang, Peraturan Presiden, Peraturan Pemerintah, Peraturan Badan Siber dan Sandi Negara, dan Peraturan Deputi Bidang Keamanan Siber dan Sandi Pemerintahan dan Pembangunan Manusia. Landasan hukum yang dipilih dan digunakan pada kerangka kerja manajemen kerentanan tersebut merupakan peraturan terkait informasi dan transaksi elektronik, sistem pemerintahan berbasis elektronik, strategi keamanan siber nasional dan manajemen krisis siber, serta pengaturan mengenai TTIS.

Bagian kedua dari kerangka kerja manajemen kerentanan adalah siklus manajemen kerentanan. Siklus ini terdiri dari tahap identifikasi hingga penanganan terhadap kerentanan yang ditemukan. Tahapan yang harus dilalui dalam siklus manajemen kerentanan adalah mengidentifikasi aset, mengidentifikasi kerentanan melalui proses pengujian atau berdasarkan laporan kerentanan, melakukan validasi dan penilaian risiko untuk menentukan prioritas penanganan kerentanan, melakukan penanganan terhadap kerentanan dalam bentuk remediasi dan mitigasi kerentanan, melakukan verifikasi terhadap langkah penanganan yang diambil dan memberikan laporan hasil penanganan kerentanan, serta melakukan evaluasi terhadap penanganan kerentanan yang dilakukan untuk mendapatkan pembelajaran yang dapat dipelajari dari adanya kerentanan tersebut.

Bagian ketiga dari kerangka kerja menjelaskan sumber informasi kerentanan yang dapat diperoleh untuk melakukan identifikasi terhadap kerentanan pada aset. Sumber-sumber tersebut di antaranya adalah vulnerability assessment dan penetration testing, vulnerability disclosure program/bug bounty, Vendor Advisory, threat intelligence, dan call center. Banyaknya sumber informasi kerentanan yang dapat digunakan ini diharapkan dapat menciptakan kolaborasi di level nasional seperti Vulnerability Sharing Platform dengan berbagai layanan manajemen kerentanan.

Bagian keempat dari kerangka kerja mendefinisikan setiap pihak yang terlibat dalam proses manajemen kerentanan. Bagian ini bertujuan untuk mengidentifikasi pihak-pihak yang terkait dalam manajemen kerentanan serta tugas dan tanggung jawab setiap pihak dalam siklus manajemen kerentanan tersebut. Pihak yang dimaksud dapat berupa individu tertentu atau organisasi, penyelenggara sistem elektronik, pengguna, pengembang/Konsultan, Komunitas Keamanan Siber, Koordinator dan Regulator, serta TTIS.