A. Benchmark Organisasi dalam Praktik Manajemen Kerentanan

Dalam manajemen kerentanan, peran TTIS sangat penting untuk mengidentifikasi, menganalisis, dan merespons kerentanan keamanan siber di dalam sebuah organisasi. TTIS bertanggung jawab untuk mengoordinasikan respons terhadap insiden keamanan yang mungkin timbul akibat kerentanan yang belum ditangani, serta memastikan bahwa langkah-langkah mitigasi yang tepat diterapkan secara efektif. Agar manajemen kerentanan dapat berfungsi secara optimal, diperlukan dukungan yang kuat dari organisasi, termasuk dalam hal tata kelola, kebijakan, sumber daya, dan teknologi. Organisasi harus menyediakan sumber daya yang memadai untuk pengelolaan kerentanan, seperti tenaga ahli, alat deteksi dan mitigasi kerentanan, serta prosedur yang jelas untuk penilaian dan pengelolaan risiko. Selain itu, dukungan dari pimpinan dan kolaborasi antar-departemen juga penting untuk memastikan bahwa manajemen kerentanan dilakukan secara menyeluruh dan berkesinambungan, guna melindungi infrastruktur dan data kritis organisasi dari ancaman siber yang terus berkembang.

Pada bagian ini dibahas beberapa praktik manajemen kerentanan pada negara-negara terdepan dalam keamanan siber. Negara-negara tersebut adalah Amerika Serikat, Jepang, Uni Eropa, Jerman dan Australia. Pemilihan kelima negara tersebut didasarkan pada fakta bahwa masing-masing mencerminkan beragam pendekatan dan praktik dalam manajemen kerentanan, serta menawarkan pandangan yang komprehensif dan bervariasi tentang strategi keamanan siber di tingkat global.

1. Amerika Serikat

Di Amerika Serikat, /United States Computer Emergency Readiness Team (US-CERT) (US-CERT, 2020), yang merupakan bagian dari Cybersecurity and Infrastructure Security Agency (CISA) di bawah Departemen Keamanan Dalam Negeri (Department of Homeland Security-DHS), memiliki fokus utama pada perlindungan infrastruktur kritis nasional, termasuk sektor energi, keuangan, dan komunikasi. Tim ini menyediakan dukungan respons insiden dan berbagi informasi keamanan siber dengan organisasi publik dan swasta di seluruh Amerika Serikat. US-CERT berkolaborasi dengan sektor swasta, lembaga pemerintah, dan mitra internasional untuk memperkuat keamanan siber secara menyeluruh. Di tingkat global, US-CERT sering dijadikan acuan dalam praktik terbaik untuk perlindungan infrastruktur kritis nasional. Sebagai bagian dari CISA, US-CERT memainkan peran kunci dalam manajemen kerentanan di Amerika Serikat dengan memantau dan menganalisis kerentanan yang dapat mempengaruhi infrastruktur kritis nasional (CISA, 2020). US-CERT menggunakan berbagai sumber intelijen untuk mengidentifikasi kerentanan yang baru muncul dan melakukan penilaian risiko terhadap potensi dampaknya. Setelah kerentanan diidentifikasi, saran yang diberikan mencakup informasi tentang cara mitigasi, termasuk rekomendasi untuk patching dan perlindungan sistem. Kerja sama dengan sektor swasta dilakukan untuk memastikan bahwa kerentanan yang ditemukan segera ditangani, serta memberikan panduan kepada organisasi dalam menerapkan solusi mitigasi yang tepat. Pendekatan ini mencakup penyebaran informasi dan panduan teknis secara luas untuk membantu organisasi mengelola dan mengatasi kerentanan yang terdeteksi.

National Vulnerability Database (NVD) (Booth et al., 2013; NIST, 2024) juga memainkan peran krusial dalam manajemen kerentanan di Amerika Serikat. NVD adalah basis data yang dikelola oleh National Institute of Standards and Technology (NIST) dan berfungsi sebagai pusat penyimpanan informasi tentang kerentanan perangkat lunak dan perangkat keras. NVD menyediakan data yang dikategorikan berdasarkan Common Vulnerabilities and Exposures (CVE) yang terdaftar dan mencakup detail teknis, dampak, dan solusi mitigasi untuk setiap kerentanan. Data yang disediakan oleh NVD sangat penting untuk penilaian risiko dan perencanaan mitigasi di berbagai organisasi, serta untuk pengembangan kebijakan keamanan siber di seluruh Amerika Serikat.

2. Jepang

Japan Computer Emergency Response Team Coordination Center (JPCERT/CC) adalah entitas swasta yang berfungsi sebagai CSIRT nasional Jepang. Meskipun bukan lembaga pemerintah, JPCERT/CC bekerja erat dengan pemerintah Jepang dalam hal keamanan siber (JPCERT/CC, 2024). Fokus utama JPCERT/CC adalah pengumpulan, analisis, dan distribusi informasi terkait insiden keamanan siber, serta memberikan dukungan teknis dan koordinasi antar-CSIRT di Jepang. Dalam hal manajemen kerentanan, JPCERT/CC secara aktif memantau dan menganalisis kerentanan yang dapat memengaruhi sistem TI di Jepang. Data tentang kerentanan dikumpulkan dari berbagai sumber, termasuk laporan keamanan dan hasil penelitian, untuk menyusun advisories dan panduan mitigasi yang membantu organisasi menangani risiko tersebut. JPCERT/CC juga bekerja sama dengan pengembang dan penyedia layanan untuk memastikan bahwa solusi mitigasi, seperti patch, tersedia dan diterapkan dengan efektif. Melalui jaringan kolaborasi yang kuat baik di tingkat nasional maupun internasional, serta keterlibatannya dalam forum CSIRT regional di Asia, JPCERT/CC menekankan pentingnya kemitraan antara sektor swasta dan pemerintah serta peningkatan kesadaran dan edukasi tentang keamanan siber.

3. Uni Eropa

CERT-EU (CERT-EU, 2024) adalah CSIRT yang didirikan untuk mendukung institusi, badan, dan agensi Uni Eropa. Beroperasi di bawah Komisi Eropa, CERT-EU bertugas melindungi infrastruktur TI dari ancaman siber yang dapat memengaruhi operasi Uni Eropa. Selain itu, CERT-EU bekerja sama dengan CSIRT nasional dari negara anggota Uni Eropa dan European Union Agency for Cybersecurity (ENISA) untuk memperkuat keamanan siber di tingkat regional. Aktivitas termasuk latihan keamanan siber besar dan berbagi informasi dengan mitra internasional, menjadikannya aktor penting dalam keamanan siber Eropa.

4. Jerman

CERT-Bund, yang dikelola oleh Federal Office for Information Security (BSI), merupakan bagian dari Kementerian Dalam Negeri Jerman. CERT-Bund (CERT-Bund, 2024) bertanggung jawab untuk memantau, menganalisis, dan merespons ancaman siber yang dapat memengaruhi infrastruktur kritis dan sistem pemerintahan Jerman. Melalui CERT-Bund, BSI menjalin kerja sama yang erat dengan sektor swasta, CSIRT lainnya di Eropa, dan institusi keamanan siber internasional. Pendekatan yang diterapkan terstruktur dan formal, dengan penekanan pada kepatuhan regulasi serta penerapan strategi keamanan siber nasional yang ketat untuk memastikan respons yang cepat dan efektif terhadap ancaman siber.

5. Australia

Australian Computer Emergency Response Team (AusCERT) adalah lembaga keamanan siber yang berfokus pada penyediaan layanan tanggap insiden serta dukungan teknis terkait keamanan informasi. Mengacu pada dokumen RFC 2350 (AusCERT, 2024), AusCERT bertugas menjelaskan prosedur dan kebijakan yang diterapkan untuk menangani insiden siber. Layanan yang ditawarkan mencakup kegiatan identifikasi, penanganan, dan mitigasi insiden dengan tujuan melindungi infrastruktur informasi yang kritis. Selain itu, dokumen tersebut menyoroti peran AusCERT dalam memastikan koordinasi dan komunikasi yang efektif antara pihak-pihak terdampak, baik di tingkat nasional maupun internasional.

Di samping tanggap insiden, AusCERT juga memainkan peran krusial dalam manajemen kerentanan, yang merupakan pilar utama keamanan siber. Proses manajemen kerentanan meliputi identifikasi, evaluasi, dan perbaikan kerentanan yang terdapat pada perangkat lunak, perangkat keras, dan jaringan sistem. Melalui layanan ini, AusCERT bekerja sama dengan berbagai organisasi untuk mengelola kerentanan serta mencegah eksploitasi yang berpotensi dilakukan oleh pihak berbahaya. Dengan pendekatan menyeluruh, termasuk pemantauan berkelanjutan dan penerapan patch keamanan, manajemen kerentanan yang dilakukan oleh AusCERT bertujuan untuk memperkuat ketahanan organisasi dalam menghadapi ancaman siber yang semakin kompleks. Perbandingan kelima negara di atas disajikan pada Tabel 1.

Tabel 1. Perbandingan Praktik Manajemen Kerentanan di lima negara

Negara	CSIRT	Fokus Utama	Manajemen Kerentanan
Amerika Serikat	US-CERT	Perlindungan infrastruktur kritis nasional (energi, keuangan, komunikasi); dukungan respons insiden; berbagi informasi keamanan siber	Pemantauan dan analisis kerentanan, kolaborasi dengan sektor swasta, mitigasi dan patching
Jepang	JPCERT/CC	Pengumpulan, analisis, distribusi informasi terkait insiden siber; dukungan teknis dan koordinasi CSIRT nasional	Pemantauan, analisis, dan advisories; kerja sama dengan pengembang dan penyedia layanan
Uni Eropa	CERT-EU	Perlindungan infrastruktur TI di institusi Uni Eropa; berbagi informasi, koordinasi dengan CSIRT nasional di negara anggota	Berbagi informasi, koordinasi, dan partisipasi dalam forum keamanan siber
Jerman	CERT-Bund	Memantau, menganalisis, dan merespons ancaman siber; kerja sama dengan sektor swasta dan CSIRT internasional	Kerja sama dengan sektor swasta dan internasional, respons cepat terhadap ancaman kerentanan
Australia	AusCERT	Tanggap insiden, mitigasi, dan perlindungan infrastruktur kritis; dukungan teknis dan koordinasi nasional dan internasional	Identifikasi, evaluasi, perbaikan kerentanan, pemantauan berkelanjutan, dan patching