Setiap organisasi memiliki aset yang menjadi inti dari operasionalnya. Bagi perusahaan perbankan, aset tersebut dapat berupa data transaksi dan sistem pembayaran. Pada rumah sakit, data rekam medis menjadi salah satu aset yang paling penting. Sementara itu, perusahaan teknologi mungkin lebih berfokus pada kode sumber, layanan cloud, atau model Artificial Intelligence yang mereka kembangkan.
Karena tidak semua aset memiliki tingkat kepentingan yang sama, organisasi perlu menentukan prioritas dalam menerapkan keamanan. Di sinilah Asset-Centric Threat Modelling menjadi salah satu pendekatan yang relevan. Berbeda dengan pendekatan yang memulai analisis dari ancaman atau kerentanan, metode ini berfokus pada aset yang paling bernilai terlebih dahulu. Setelah aset penting berhasil diidentifikasi, organisasi kemudian menganalisis ancaman, kelemahan, dan langkah mitigasi yang diperlukan untuk melindunginya.
Pendekatan ini membantu organisasi menggunakan sumber daya keamanan secara lebih efektif karena perhatian difokuskan pada aset yang memiliki dampak terbesar terhadap operasional, reputasi, maupun keberlangsungan bisnis.
1. Apa Itu Asset-Centric Threat Modelling?
Asset-Centric Threat Modelling adalah pendekatan threat modelling yang menjadikan aset sebagai titik awal analisis keamanan.
Alih-alih langsung mencari ancaman atau kerentanan, tim terlebih dahulu mengidentifikasi aset yang memiliki nilai paling tinggi bagi organisasi. Setelah itu, analisis dilakukan untuk memahami ancaman yang dapat memengaruhi aset tersebut, bagaimana serangan dapat terjadi, serta langkah mitigasi yang perlu diterapkan.
Dengan cara ini, organisasi dapat memastikan bahwa perlindungan difokuskan pada bagian yang paling penting.
2. Mengapa Pendekatan Berbasis Aset Penting?
Tidak semua data, aplikasi, atau layanan memiliki nilai yang sama.
Sebagai contoh, gangguan pada halaman informasi perusahaan tentu tidak memberikan dampak sebesar gangguan pada sistem pembayaran atau kebocoran data pelanggan.
Melalui pendekatan berbasis aset, organisasi dapat:
- menentukan prioritas pengamanan;
- mengalokasikan sumber daya secara lebih efisien;
- mengurangi risiko terhadap aset yang paling bernilai;
- mendukung pengambilan keputusan berdasarkan kebutuhan bisnis.
Pendekatan ini membantu memastikan bahwa upaya keamanan memberikan manfaat yang maksimal.
3. Jenis Aset yang Perlu Dilindungi
Setiap organisasi memiliki aset yang berbeda sesuai dengan bidang usahanya.
Beberapa contoh aset yang sering menjadi fokus antara lain:
- data pelanggan;
- data keuangan;
- sistem pembayaran;
- basis data perusahaan;
- layanan cloud;
- API;
- kode sumber aplikasi;
- identitas pengguna;
- model Artificial Intelligence;
- infrastruktur jaringan.
Menentukan aset yang paling kritis merupakan langkah awal yang sangat penting dalam proses analisis.
4. Langkah-Langkah Asset-Centric Threat Modelling
Mengidentifikasi Aset
Tahap pertama adalah membuat daftar aset yang dimiliki organisasi dan menentukan tingkat kepentingannya.
Penilaian dapat didasarkan pada nilai bisnis, sensitivitas data, maupun dampaknya terhadap operasional.
Memahami Hubungan Antar Aset
Setelah aset diidentifikasi, tim memetakan hubungan antar komponen sistem.
Langkah ini membantu memahami bagaimana satu aset bergantung pada aset lainnya dan bagaimana serangan terhadap satu komponen dapat memengaruhi keseluruhan sistem.
Mengidentifikasi Ancaman
Selanjutnya, tim menganalisis ancaman yang mungkin memengaruhi setiap aset.
Metode seperti STRIDE, Attack Tree, atau PASTA dapat digunakan untuk membantu proses identifikasi.
Menilai Risiko
Setiap ancaman kemudian dievaluasi berdasarkan kemungkinan terjadinya dan dampaknya terhadap aset.
Ancaman yang memiliki risiko tertinggi menjadi prioritas dalam penyusunan strategi mitigasi.
Menentukan Mitigasi
Tahap terakhir adalah menerapkan langkah-langkah pengamanan yang sesuai.
Contohnya meliputi:
- autentikasi multifaktor;
- kontrol akses berbasis peran;
- enkripsi data;
- pemantauan aktivitas;
- pencadangan data;
- pembaruan perangkat lunak secara berkala.
Mitigasi difokuskan pada perlindungan aset yang memiliki nilai paling tinggi.
5. Manfaat Asset-Centric Threat Modelling
Pendekatan ini memberikan berbagai manfaat bagi organisasi.
Di antaranya:
- membantu menentukan prioritas keamanan;
- meningkatkan efisiensi penggunaan anggaran dan sumber daya;
- mengurangi risiko terhadap aset yang paling penting;
- memperkuat hubungan antara keamanan dan tujuan bisnis;
- mendukung kepatuhan terhadap berbagai regulasi perlindungan data.
Dengan demikian, strategi keamanan menjadi lebih terarah dan mudah dievaluasi.
6. Contoh Penerapan
Sebuah perusahaan e-commerce mengidentifikasi bahwa data pelanggan, sistem pembayaran, dan layanan autentikasi merupakan aset yang paling penting.
Melalui Asset-Centric Threat Modelling, tim memetakan hubungan antara aplikasi web, API, basis data, dan layanan pembayaran.
Hasil analisis menunjukkan bahwa kebocoran kredensial administrator berpotensi memberikan akses ke data pelanggan dan informasi transaksi.
Berdasarkan temuan tersebut, perusahaan menerapkan autentikasi multifaktor, memperketat kontrol akses administrator, mengenkripsi data sensitif, serta meningkatkan pemantauan aktivitas pengguna.
Pendekatan ini membantu perusahaan melindungi aset yang memiliki dampak terbesar terhadap bisnis dan kepercayaan pelanggan.
7. Asset-Centric Threat Modelling sebagai Proses Berkelanjutan
Nilai suatu aset dapat berubah seiring perkembangan organisasi.
Penambahan layanan baru, perubahan proses bisnis, integrasi teknologi, maupun regulasi baru dapat memengaruhi prioritas keamanan.
Oleh karena itu, identifikasi aset dan proses threat modelling perlu diperbarui secara berkala agar strategi perlindungan tetap sesuai dengan kondisi organisasi.
Dengan evaluasi yang berkelanjutan, organisasi dapat menjaga keamanan aset penting meskipun lingkungan teknologi terus berkembang.
Penutup
Setiap organisasi memiliki aset yang menjadi fondasi utama bagi operasional dan keberlangsungan bisnisnya. Asset-Centric Threat Modelling membantu memastikan bahwa aset-aset tersebut memperoleh perhatian yang sesuai dalam proses perencanaan keamanan. Dengan menjadikan aset sebagai titik awal analisis, organisasi dapat lebih mudah memahami ancaman yang paling relevan, menilai tingkat risikonya, dan menentukan strategi mitigasi yang tepat.
Pendekatan ini juga membantu menghubungkan kebutuhan bisnis dengan upaya pengamanan, sehingga investasi keamanan dapat diarahkan pada area yang memberikan dampak paling besar. Melalui penerapan Asset-Centric Threat Modelling secara berkelanjutan, organisasi dapat membangun sistem yang lebih tangguh sekaligus menjaga aset yang paling bernilai dari berbagai ancaman siber.
