E. Tahap Evaluasi

Dalam pelaksanaan evaluasi manajemen kerentanan pada organisasi, tim tanggap insiden siber dapat menggunakan beberapa metrik penilaian. Metrik yang digunakan untuk penilaian berfokus pada efektivitas remediasi pada sistem (Office of the CISO, 2024). Dengan mengetahui tingkat efektivitas dan efisiensi dari pengelolaan kerentanan yang telah dilakukan, maka pemangku kepentingan dapat menentukan arah kebijakan yang akan diambil. Metrik penilaian yang digunakan untuk melakukan evaluasi proses manajemen kerentanan dapat berupa pertanyaan-pertanyaan seperti berikut:

1) Apakah proses identifikasi kerentanan sudah terselenggara secara efektif?

2) Apakah aset-aset yang teridentifikasi rentan sudah diprioritaskan dengan benar?

3) Seberapa besar nilai kerugian jika kerentanan suatu aset tereksploitasi?

4) Bagaimana pemangku kepentingan merespons kerentanan yang teridentifikasi?

5) Apakah ada hal-hal yang menghambat proses remediasi kerentanan?

6) Seberapa cepat proses remediasi pada kerentanan yang teridentifikasi?

7) Apa parameter risiko suatu kerentanan bisa diterima?

8) Apakah proses validasi hasil remediasi kerentanan sudah dilakukan dengan benar?

9) Apakah proses manajemen kerentanan sudah diterapkan sesuai Service Level Agreement?

Jawaban dari metrik penilaian yang telah ditentukan dapat digunakan organisasi sebagai pembelajaran yang dapat dipetik dari proses manajemen kerentanan yang telah dilakukan. Selain evaluasi berdasarkan langkah-langkah dalam pengelolaan kerentanan, evaluasi juga dapat berupa pengembangan VM dengan cara menyelenggarakan pelatihan bagi personil penyelenggara manajemen kerentanan, penyusunan kebijakan penyelenggaraan, serta koordinasi dan kolaborasi secara berkelanjutan bagi pihak-pihak terkait. Dengan begitu, proses penyelenggaraan manajemen kerentanan dapat terus berkembang dan bisa menyesuaikan dengan tren keamanan siber di Indonesia.