Persiapan: Rencana IR, Panduan Operasional, dan Tim

Siklus hidup respons insiden NIST memiliki empat fase: Persiapan, Deteksi dan Analisis, Penahanan/Penghapusan/Pemulihan, serta Aktivitas Pascainsiden. Persiapan adalah fase yang paling penting—segala hal yang dilakukan organisasi sebelum insiden menentukan seberapa efektif organisasi tersebut merespons ketika insiden terjadi. Organisasi yang berinvestasi dalam persiapan menemukan pelanggaran lebih cepat, menahannya dengan lebih cepat, dan mengeluarkan biaya pemulihan yang jauh lebih rendah. Perbedaan biaya rata-rata antara kesiapan IR yang tinggi dan rendah mencapai jutaan dolar per insiden.

Rencana Tanggap Insiden (IRP) adalah dokumen utama yang menetapkan pendekatan organisasi dalam menangani insiden keamanan. IRP yang komprehensif mencakup: misi dan cakupan, peran tim dan informasi kontak, definisi hal-hal yang dianggap sebagai insiden, kriteria klasifikasi tingkat keparahan, prosedur eskalasi, templat komunikasi, persyaratan pemberitahuan hukum dan peraturan, serta referensi ke Playbook teknis. IRP harus disetujui oleh pimpinan senior dan ditinjau setidaknya setahun sekali.

CSIRT adalah tim yang bertanggung jawab melaksanakan IRP. Peran utama meliputi: Komandan Insiden (koordinasi dan pengambilan keputusan secara keseluruhan), Analis Keamanan (Investigasi teknis dan pengumpulan Evidence), Pemimpin Komunikasi (pesan untuk pemangku kepentingan, pelanggan, dan media), Penasihat Hukum (kepatuhan terhadap peraturan dan penghubung dengan penegak hukum), serta Sponsor Eksekutif (otorisasi untuk tindakan remediasi yang signifikan). Peran yang didefinisikan dengan baik mencegah kebingungan dan memastikan tidak ada tugas penting yang terabaikan.

Klasifikasi tingkat keparahan menentukan urgensi Response, jalur eskalasi, dan persyaratan pemberitahuan. Model empat tingkat yang umum: P1/Critical — pelanggaran aktif dengan eksfiltrasi data atau dampak bisnis yang signifikan, memerlukan Response segera 24/7; P2/High — Compromise yang Confirmed tanpa kehilangan data yang Confirmed; P3/Medium — aktivitas mencurigakan yang sedang diselidiki; P4/Low — pelanggaran kebijakan atau anomali kecil. Kesalahan klasifikasi — memperlakukan P1 sebagai P3 — memungkinkan pelanggaran meluas sementara Response tertunda.

Jika IRP memberikan arahan strategis, Playbook memberikan prosedur taktis langkah demi langkah untuk menangani jenis insiden tertentu. Playbook Ransomware dapat menetapkan: mengisolasi sistem yang terdampak (langkah 1), mengambil citra Forensic sebelum pembersihan apa pun (langkah 2), memeriksa apakah varian tersebut telah dikenal dan apakah dekripsi tersedia (langkah 3), memberi tahu tim eksekutif (langkah 4), serta melibatkan perusahaan IR eksternal (langkah 5). Playbook mengurangi beban kognitif selama insiden yang penuh tekanan, ketika petugas Response mungkin melewatkan langkah-langkah penting.

Persiapan teknis mencakup penerapan dan konfigurasi alat yang akan dibutuhkan petugas Response selama insiden. Perangkat alat IR yang penting: SIEM untuk menggabungkan dan mengorelasikan log, EDR untuk visibilitas dan pengendalian endpoint, alat pencitraan Forensic (FTK, dd, Magnet AXIOM), akuisisi memori (Magnet RAM Capture, WinPmem), perekaman paket jaringan (Wireshark, Zeek), serta saluran komunikasi di luar jalur utama (jika Email utama disusupi dalam insiden).

Banyak organisasi memiliki perjanjian retainer dengan perusahaan Response insiden khusus (Mandiant, CrowdStrike, Palo Alto Unit 42). Retainer menjamin Response prioritas ketika insiden terjadi, dengan tarif yang telah dinegosiasikan dan SLA yang ditetapkan (misalnya, petugas Response tiba di lokasi dalam waktu 4 jam sejak pemberitahuan). Tanpa retainer, pelibatan perusahaan IR selama pelanggaran besar dapat memerlukan waktu berhari-hari dan dikenai harga premium. Perusahaan retainer juga menyediakan fasilitasi latihan tabletop, perburuan Threat, dan penilaian sebelum pelanggaran.

Latihan tabletop menyimulasikan skenario insiden dalam format diskusi di ruang rapat tanpa menyentuh sistem produksi. Peserta membahas skenario yang terus berkembang — serangan Ransomware, Email penipuan CEO, Compromise kredensial — dan mendiskusikan tindakan yang akan mereka ambil pada setiap titik keputusan. Latihan tabletop mengungkap celah dalam Playbook, tanggung jawab peran yang tidak jelas, dan asumsi yang belum diuji sebelum insiden nyata menyingkapkannya. Latihan ini sebaiknya dilakukan setiap triwulan untuk CSIRT dan setiap tahun untuk para eksekutif.

Komunikasi insiden harus direncanakan terlebih dahulu. Pertimbangan utama meliputi: batas waktu pemberitahuan peraturan (GDPR mewajibkan pemberitahuan pelanggaran dalam 72 jam, HIPAA dalam 60 hari, sedangkan undang-undang pelanggaran tiap negara bagian berbeda-beda), templat pemberitahuan pelanggan, kriteria pemberitahuan kepada penegak hukum (FBI untuk Ransomware, Secret Service untuk penipuan keuangan), pesan hubungan masyarakat, serta komunikasi internal kepada karyawan. Yang sangat penting, komunikasi selama insiden harus menggunakan saluran di luar jalur utama — penyerang mungkin sedang memantau Email perusahaan.

Persiapan mencakup penetapan prosedur pengumpulan Evidence yang menjaga keberterimaan secara hukum. Persyaratan utama: dokumentasikan urutan volatilitas, gunakan pemblokir tulis untuk pencitraan disk, catat Hash kriptografis dari semua Evidence (SHA-256), dan dokumentasikan rantai penguasaan sejak pengumpulan hingga Storage. Evidence yang tidak dapat diautentikasi — karena prosedur tidak diikuti — mungkin tidak dapat diterima dalam proses hukum terhadap penyerang atau karyawan.

Organisasi tanpa persiapan IR yang matang sering melakukan kesalahan mahal selama pelanggaran: petugas Response membuat ulang citra sistem sebelum mengambil Evidence Forensic (menghilangkan kemampuan untuk memahami apa yang terjadi), berkomunikasi melalui saluran yang telah disusupi (memberi tahu penyerang), melakukan eskalasi terlalu lambat karena klasifikasi tingkat keparahan tidak jelas, tidak memiliki wewenang untuk mengambil keputusan pengendalian (sehingga memerlukan persetujuan berjam-jam), dan tidak dapat mengidentifikasi sistem yang terdampak karena inventaris aset tidak lengkap. Semua kegagalan ini dapat dicegah dengan persiapan.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda telah mempelajari: IRP adalah dokumen utama yang mendefinisikan peran, klasifikasi tingkat keparahan, dan prosedur komunikasi, Playbook memberikan panduan taktis langkah demi langkah untuk jenis insiden tertentu, serta latihan tabletop dan perjanjian retainer mempersiapkan tim agar dapat merespons secara efektif sebelum insiden nyata terjadi. Selanjutnya kita akan membahas deteksi dan analisis: mengidentifikasi insiden nyata.