Salah satu langkah paling penting dalam threat modelling adalah mengetahui apa yang sebenarnya harus dilindungi. Banyak organisasi memiliki berbagai jenis aset, mulai dari data pelanggan, aplikasi bisnis, server, layanan cloud, hingga infrastruktur jaringan. Namun, tidak semua aset memiliki tingkat kepentingan yang sama. Ada aset yang apabila terganggu hanya menyebabkan dampak kecil, tetapi ada pula yang dapat menghentikan operasional bisnis atau menimbulkan kerugian yang sangat besar.
Karena itu, proses threat modelling sebaiknya dimulai dengan mengidentifikasi aset yang paling bernilai atau dikenal sebagai aset kritis. Dengan mengetahui aset mana yang memiliki nilai tertinggi bagi organisasi, tim dapat memusatkan perhatian pada ancaman yang benar-benar perlu diprioritaskan. Pendekatan ini membantu penggunaan sumber daya keamanan menjadi lebih efektif sekaligus mengurangi risiko terhadap bagian sistem yang paling penting.
Menentukan aset kritis bukan hanya tanggung jawab tim keamanan. Proses ini juga memerlukan keterlibatan pemilik proses bisnis, pengembang aplikasi, administrator sistem, hingga manajemen agar penilaian yang dilakukan benar-benar mencerminkan kebutuhan organisasi.
1. Apa yang Dimaksud dengan Aset Kritis?
Aset kritis adalah aset yang memiliki nilai paling tinggi bagi organisasi dan memberikan dampak besar apabila mengalami gangguan, kerusakan, atau kebocoran.
Aset tersebut dapat berupa informasi, perangkat lunak, infrastruktur, maupun layanan yang mendukung operasional organisasi.
Contohnya meliputi:
- data pelanggan;
- sistem pembayaran;
- basis data utama;
- layanan autentikasi;
- server produksi;
- aplikasi bisnis;
- kode sumber perangkat lunak;
- model Artificial Intelligence.
Gangguan pada aset-aset tersebut dapat memengaruhi operasional, keuangan, maupun reputasi organisasi.
2. Mengapa Menentukan Aset Kritis Itu Penting?
Threat modelling bertujuan membantu organisasi memahami risiko yang paling relevan.
Tanpa mengetahui aset yang paling penting, proses identifikasi ancaman menjadi kurang terarah karena semua komponen dianggap memiliki prioritas yang sama.
Dengan menentukan aset kritis, organisasi dapat:
- memusatkan analisis pada bagian yang paling bernilai;
- menentukan prioritas mitigasi;
- mengoptimalkan penggunaan anggaran dan sumber daya;
- mengurangi dampak apabila terjadi insiden keamanan.
Pendekatan ini membuat strategi keamanan lebih efektif dan sesuai dengan kebutuhan bisnis.
3. Jenis-Jenis Aset yang Perlu Dievaluasi
Dalam proses identifikasi, organisasi perlu mengevaluasi berbagai jenis aset.
Beberapa di antaranya adalah:
Data
Meliputi data pelanggan, informasi keuangan, rekam medis, dokumen perusahaan, maupun data operasional.
Aplikasi
Termasuk aplikasi web, aplikasi seluler, sistem pembayaran, portal pelanggan, dan layanan internal.
Infrastruktur
Mencakup server, jaringan, perangkat penyimpanan, layanan cloud, container, dan lingkungan produksi.
Identitas Digital
Meliputi akun administrator, akun layanan (service account), kredensial API, serta sertifikat digital.
Proses Bisnis
Selain aset teknologi, proses bisnis yang mendukung operasional utama juga perlu dipertimbangkan karena gangguan pada proses tersebut dapat berdampak besar terhadap organisasi.
4. Langkah-Langkah Menentukan Aset Kritis
Membuat Inventaris Aset
Langkah pertama adalah menyusun daftar seluruh aset yang dimiliki organisasi.
Inventaris ini menjadi dasar dalam proses evaluasi berikutnya.
Menentukan Nilai Bisnis
Setiap aset kemudian dinilai berdasarkan kontribusinya terhadap operasional organisasi.
Beberapa pertanyaan yang dapat digunakan antara lain:
- Apakah aset ini mendukung layanan utama?
- Apakah organisasi dapat tetap beroperasi jika aset ini terganggu?
- Seberapa besar dampaknya terhadap pelanggan?
Menilai Sensitivitas Data
Apabila aset berupa informasi, organisasi perlu mengevaluasi tingkat sensitivitasnya.
Semakin sensitif data yang dikelola, semakin tinggi pula kebutuhan perlindungannya.
Menganalisis Dampak
Setiap aset dievaluasi berdasarkan kemungkinan dampak apabila mengalami:
- kebocoran;
- perubahan tanpa izin;
- kehilangan;
- gangguan layanan.
Penilaian ini membantu menentukan tingkat prioritas aset.
Menentukan Prioritas
Setelah seluruh penilaian selesai dilakukan, aset dapat dikelompokkan menjadi beberapa tingkat prioritas, misalnya tinggi, sedang, dan rendah.
Aset dengan prioritas tertinggi menjadi fokus utama dalam proses threat modelling.
5. Kriteria Penilaian Aset Kritis
Beberapa faktor yang sering digunakan dalam menentukan tingkat kekritisan suatu aset meliputi:
- nilai bisnis;
- sensitivitas informasi;
- dampak terhadap operasional;
- dampak terhadap pelanggan;
- persyaratan regulasi;
- kemungkinan menjadi target serangan;
- ketergantungan sistem lain terhadap aset tersebut.
Kombinasi faktor-faktor tersebut membantu organisasi menghasilkan penilaian yang lebih objektif.
6. Contoh Penerapan
Sebuah perusahaan fintech melakukan inventaris terhadap seluruh aset digital yang dimilikinya.
Dari hasil evaluasi diketahui bahwa sistem pembayaran, basis data pelanggan, layanan autentikasi, dan API transaksi merupakan aset yang memiliki tingkat prioritas tertinggi.
Melalui proses threat modelling, tim kemudian memfokuskan analisis pada aset-aset tersebut untuk mengidentifikasi kemungkinan ancaman, mengevaluasi tingkat risikonya, dan menyusun langkah mitigasi yang sesuai.
Pendekatan ini membuat perusahaan dapat mengalokasikan sumber daya keamanan secara lebih efektif dibandingkan apabila seluruh aset diperlakukan dengan tingkat prioritas yang sama.
7. Evaluasi Aset Kritis Harus Dilakukan Secara Berkala
Aset yang dianggap kritis saat ini belum tentu tetap menjadi prioritas pada masa mendatang.
Penambahan layanan baru, perubahan strategi bisnis, migrasi ke cloud, maupun perkembangan teknologi dapat mengubah tingkat kepentingan suatu aset.
Oleh karena itu, organisasi perlu meninjau kembali daftar aset kritis secara berkala agar proses threat modelling tetap relevan dengan kondisi terbaru.
Evaluasi yang berkelanjutan membantu memastikan bahwa strategi keamanan selalu mengikuti perubahan kebutuhan organisasi.
Penutup
Threat modelling akan memberikan hasil yang lebih efektif apabila diawali dengan pemahaman mengenai aset yang benar-benar penting bagi organisasi. Dengan mengetahui aset kritis, tim dapat memusatkan perhatian pada ancaman yang memiliki potensi memberikan dampak terbesar terhadap operasional, keuangan, maupun reputasi organisasi.
Menentukan aset kritis bukan sekadar membuat daftar perangkat atau data yang dimiliki, tetapi merupakan proses memahami nilai bisnis, tingkat sensitivitas, serta konsekuensi yang dapat muncul apabila aset tersebut terganggu. Dengan melakukan identifikasi dan evaluasi secara berkala, organisasi dapat membangun strategi keamanan yang lebih terarah, efisien, dan mampu melindungi aset yang paling bernilai dari berbagai ancaman siber.
