C. Tahap Penanganan

1. Remediasi

Dalam melakukan proses remediasi TTIS harus melakukan analisis perhitungan tingkat kerentanan dan prioritisasi untuk menentukan jangka waktu remediasi yang direkomendasikan sebagaimana dijelaskan pada Tabel 5.

Tabel 5. Rekomendasi Jangka Waktu Remediasi

Tingkat Kerentanan	CVSS Score	Aset non-kritikal	Aset Kritikal
Low	< 4.0	Berdasarkan ketersediaan sumber daya	Berdasarkan ketersediaan sumber daya
Medium	4.0 – 6.9	< 9 bulan	< 6 bulan
High	7.0 – 8.9	< 3 bulan	< 1 bulan
Critical	9.0+	7 – 14 hari	1 - 3 hari

Untuk melakukan langkah remediasi pada kerentanan yang ditemukan, TTIS dapat merujuk tahapan remediasi berdasarkan ISO/IEC 30111:2019 yang terbagi ke dalam 3 tahapan:

1) Menentukan teknik remediasi yang akan dilakukan dengan mempertimbangkan waktu remediasi, tingkat risiko eksploitasi, dan langkah pengujian untuk memastikan teknik remediasi yang dilakukan tidak menimbulkan masalah baru

2) Menerapkan teknik remediasi yang telah ditentukan, yang dapat meliputi perbaikan kode sumber, pembaruan versi, dan/atau perubahan konfigurasi untuk menutup kerentanan yang teridentifikasi

3) Menguji hasil remediasi yang dilakukan untuk memastikan celah kerentanan dapat tertutup dan tidak menimbulkan kerentanan baru atau masalah lain yang mengganggu operasional sistem

Jika remediasi tidak dapat diselesaikan sesuai jangka waktu yang direkomendasikan atau celah kerentanan tidak dapat ditutup, maka TTIS harus melakukan langkah mitigasi terhadap kerentanan tersebut.

2. Mitigasi

Langkah mitigasi harus dilakukan oleh TTIS jika kerentanan tidak dapat diremediasi secara penuh oleh organisasi. Beberapa kondisi dan alasan yang dapat menjadi penyebab mitigasi harus dilakukan adalah jika langkah remediasi yang diperlukan dapat mengganggu berjalannya proses bisnis aplikasi, keterbatasan teknologi yang membutuhkan biaya, dan belum adanya update/patch yang disediakan oleh vendor teknologi terdampak. Untuk melakukan langkah mitigasi, TTIS disarankan untuk membuat rencana mitigasi kerentanan yang setidaknya meliputi namun tidak terbatas pada:

1) Penerapan kontrol keamanan untuk mitigasi kerentanan dalam bentuk penggunaan perangkat lunak/tools seperti Security Information and Event Management (SIEM), Endpoint Detection and Response (EDR), Next-Generation Firewalls (NGFW), Antivirus/Anti-Malware, Patch Management Systems.

2) Penerapan multi-factor authentication (MFA) jika kerentanan bersumber dari adanya penggunaan mekanisme autentikasi yang kurang tepat atau kerentanan itu berasal dari fitur aplikasi yang berada pada sisi pengguna.

3) Pengisolasian sumber daya/perangkat yang rentan jika patching belum dapat dilakukan pada sumber daya/perangkat yang rentan.

4) Penghapusan atau penghentian penggunaan sumber daya/perangkat yang rentan jika tidak dapat diisolasi atau dilindung lagi

5) Peningkatan atau penggantian sumber daya/perangkat yang rentan ketika terdapat kerentanan yang tidak dapat diremediasi namun TTIS memiliki ketergantungan terhadap sumber daya/perangkat terkait

Sama halnya dengan remediasi, untuk menerapkan langkah mitigasi TTIS harus melakukan pengujian untuk memastikan bahwa langkah mitigasi yang dilakukan tidak menimbulkan kerentanan baru atau masalah lain yang mengganggu operasional sistem.

3. Penerimaan Risiko

Dalam hal remediasi dan mitigasi tidak dapat dilakukan dan risiko berada pada level yang diterima oleh TTIS, maka TTIS harus menerima risiko dan dampak yang mungkin terjadi dari adanya kerentanan tersebut. Dalam jangka waktu selama risiko tersebut diterima, TTIS harus senantiasa mencari informasi langkah remediasi yang dapat dilakukan terhadap kerentanan tersebut dan melakukan remediasi segera setelah cara penanganan kerentanan tersebut diketahui.