Identifikasi Risiko dan Daftar Risiko

Risk adalah potensi kerugian atau bahaya yang timbul akibat Threat mengeksploitasi Vulnerability. Dalam keamanan informasi, Risk dinyatakan sebagai gabungan likelihood (seberapa mungkin peristiwa terjadi) dan impact (seberapa parah kerusakan yang ditimbulkan). Memahami Risk memungkinkan organisasi mengambil keputusan keamanan yang tepat dan hemat biaya, alih-alih berusaha menghilangkan setiap Threat yang mungkin terjadi.

Identifikasi Risk dimulai dari tiga unsur utama. Asset adalah segala sesuatu yang bernilai — server, basis data, kekayaan intelektual, atau reputasi. Threat adalah peristiwa potensial yang dapat merugikan Asset, seperti serangan ransomware atau karyawan yang tidak puas. Vulnerability adalah kelemahan yang dapat dieksploitasi oleh Threat, seperti sistem yang belum diperbarui atau kebijakan kata sandi yang lemah. Risk ada ketika Threat bertemu dengan Asset yang tidak terlindungi.

Identifikasi Risk yang sistematis mengikuti proses terstruktur: pertama, inventaris Asset mencatat semua hal yang bernilai; berikutnya, pemodelan Threat mengidentifikasi pihak yang mungkin menyerang dan caranya; kemudian asesmen Vulnerability menemukan kelemahan dalam sistem dan proses. Terakhir, analis memetakan Threat ke Vulnerability untuk menentukan Asset mana yang benar-benar terekspos. Proses ini biasanya diulangi setiap tahun atau setelah perubahan besar.

Menetapkan nilai pada Asset membantu menentukan prioritas. Asset berwujud (perangkat keras, lisensi perangkat lunak) memiliki nilai pasar yang jelas. Asset tidak berwujud (reputasi merek, data pelanggan) memerlukan pertimbangan — regulator dapat menetapkan nilai per catatan untuk PII. Metode biaya penggantian menanyakan biaya untuk membuat ulang Asset tersebut; impact bisnis menanyakan besarnya kehilangan pendapatan jika Asset tidak tersedia selama 1 jam, 1 hari, atau 1 minggu.

Risk register adalah dokumen dinamis yang mencatat semua Risk yang teridentifikasi dalam format terstruktur dan mudah ditelusuri. Setiap entri biasanya mencakup: deskripsi Risk, Asset yang terdampak, sumber Threat, Vulnerability yang dieksploitasi, peringkat likelihood, peringkat impact, skor Risk, Control saat ini, dan Owner Risk yang ditugaskan. Risk register menjadi referensi utama untuk aktivitas tata kelola, audit, dan pelacakan remediasi.

Kolom likelihood menilai seberapa mungkin eksploitasi terjadi (1=Jarang hingga 5=Hampir Pasti). Kolom impact menilai konsekuensi dalam hal kerugian finansial, sanksi regulator, atau waktu henti operasional (1=Diabaikan hingga 5=Katastrofik). Perkalian keduanya menghasilkan skor Risk yang digunakan untuk menentukan prioritas. Kolom Risk residual mencatat Risk yang tersisa setelah Control diterapkan, sehingga tidak ada yang dianggap turun menjadi nol.

Setiap Risk dalam register harus memiliki Owner Risk yang disebutkan namanya — biasanya manajer bisnis atau Owner sistem, bukan tim keamanan. Owner Risk bertanggung jawab memastikan Control diterapkan dan Risk residual tetap berada dalam ambang batas yang dapat diterima. Tim keamanan memberikan saran dan melakukan pemantauan, tetapi tidak dapat memiliki semua Risk karena hal itu menciptakan akuntabilitas titik tunggal yang tidak dapat diterapkan secara luas di seluruh perusahaan.

Beberapa kerangka kerja membantu menyusun identifikasi Threat. STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege) mengategorikan Threat terhadap setiap komponen sistem. PASTA (Process for Attack Simulation and Threat Analysis) adalah metodologi yang berpusat pada Risk dan memetakan tujuan Attacker. DREAD memberi skor pada Threat berdasarkan Damage, Reproducibility, Exploitability, Affected users, dan Discoverability — meskipun DREAD kini lebih jarang digunakan.

Risk tidak dapat diidentifikasi tanpa menemukan Vulnerability terlebih dahulu. Sumber utamanya meliputi: pemindai Vulnerability (Nessus, OpenVAS) yang menguji sistem terhadap CVE yang Known; laporan pengujian penetrasi yang memvalidasi kemungkinan eksploitasi; audit konfigurasi yang membandingkan pengaturan dengan tolok ukur CIS; serta umpan Threat Intelligence yang menyoroti kelemahan yang sedang dieksploitasi. Laporan audit internal dan penilaian mandiri juga mengungkap Vulnerability pada tingkat proses yang terlewatkan oleh pemindaian teknis.

Risk register harus memperhitungkan Threat internal (karyawan, kontraktor, sistem yang salah konfigurasi) dan Threat eksternal (peretas, aktor negara, kompromi rantai pasokan). Threat internal sering berdampak lebih besar karena pihak internal sudah memiliki akses — karyawan yang tidak puas dapat mengeksfiltrasi data tanpa memicu Control perimeter. program Threat internal yang memantau anomali perilaku menangani kategori Risk yang tidak dapat dikurangi hanya dengan Control teknis.

Risk register bukanlah hasil kerja sekali jadi — dokumen ini harus ditinjau dan diperbarui setiap kali terjadi perubahan signifikan: penerapan sistem baru, restrukturisasi organisasi, CVE yang baru diungkapkan, atau temuan setelah insiden. Sebagian besar organisasi mengaitkan peninjauan formal Risk register dengan peninjauan Security tahunan, proses manajemen perubahan, dan audit kepatuhan. Risk register yang sudah usang menciptakan rasa percaya diri yang keliru dan dapat menyebabkan paparan yang tidak ditangani dengan sumber daya memadai selama perubahan infrastruktur yang cepat.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa: risiko menggabungkan kemungkinan dan dampak untuk memprioritaskan keputusan Security, risk register mendokumentasikan aset, ancaman, kerentanan, skor, pemilik, dan risiko residual, serta teknik pemodelan ancaman seperti STRIDE membantu mengidentifikasi secara sistematis hal-hal yang dapat salah. Selanjutnya, kita akan membahas metode analisis risiko kualitatif dan kuantitatif.