Risk-Based Vulnerability Management (RBVM): Pendekatan Modern dalam Prioritisasi Kerentanan Siber
Pendahuluan
Seiring meningkatnya kompleksitas infrastruktur TI dan ancaman siber, organisasi menghadapi tantangan besar dalam mengelola ribuan kerentanan yang ditemukan melalui Vulnerability Assessment (VA), Penetration Testing (PT), Security Scanner, maupun Threat Intelligence Platform.
Salah satu kesalahan yang masih sering terjadi adalah menjadikan CVSS (Common Vulnerability Scoring System) sebagai satu-satunya dasar prioritas remediasi. Akibatnya, tim keamanan sering menghabiskan waktu memperbaiki kerentanan dengan skor tinggi yang sebenarnya memiliki risiko rendah terhadap bisnis, sementara kerentanan dengan skor lebih rendah tetapi aktif dieksploitasi justru terabaikan.
Untuk menjawab tantangan tersebut, muncul pendekatan Risk-Based Vulnerability Management (RBVM) yang berfokus pada risiko nyata terhadap organisasi, bukan hanya tingkat keparahan teknis suatu kerentanan.
Apa itu Risk-Based Vulnerability Management (RBVM)?
RBVM adalah pendekatan pengelolaan kerentanan yang menggabungkan berbagai faktor risiko teknis, bisnis, operasional, dan ancaman aktual untuk menentukan prioritas remediasi yang paling efektif.
RBVM menjawab pertanyaan:
“Kerentanan mana yang harus diperbaiki terlebih dahulu agar risiko organisasi dapat dikurangi secara maksimal?”
Berbeda dengan pendekatan tradisional yang hanya berfokus pada CVSS, RBVM mempertimbangkan konteks organisasi secara menyeluruh.
Komponen Utama RBVM
- Severity (CVSS)
Fungsi
Mengukur tingkat keparahan teknis kerentanan.
Pertanyaan yang Dijawab
Seberapa berbahaya vulnerability ini secara teknis?
Contoh
| CVSS Score | Severity |
| 9.0 – 10.0 | Critical |
| 7.0 – 8.9 | High |
| 4.0 – 6.9 | Medium |
| 0.1 – 3.9 | Low |
Keterbatasan
CVSS tidak mempertimbangkan:
- Nilai aset
- Ancaman aktual
- Eksploitasi di dunia nyata
- Dampak bisnis
- Vulnerability Priority Rating (VPR)
Fungsi
Menentukan prioritas berdasarkan ancaman aktual.
Pertanyaan yang Dijawab
Apakah vulnerability ini sedang menjadi target serangan?
Faktor Penilaian
- Threat Intelligence
- Malware Activity
- Exploit Availability
- Dark Web Monitoring
- Machine Learning Prediction
Manfaat
Membantu organisasi fokus pada kerentanan yang benar-benar menjadi ancaman saat ini.
- Asset Criticality Rating (ACR)
Fungsi
Mengukur tingkat kritikalitas aset terhadap bisnis.
Pertanyaan yang Dijawab
Jika aset ini terganggu, seberapa besar dampaknya?
Contoh
| Asset | ACR |
| Core Banking System | Critical |
| Active Directory | Critical |
| ERP | High |
| Test Server | Low |
Faktor Penilaian
- Confidentiality
- Integrity
- Availability
- Business Dependency
- Revenue Impact
- Exploit Prediction Scoring System (EPSS)
Fungsi
Memprediksi kemungkinan eksploitasi dalam 30 hari ke depan.
Pertanyaan yang Dijawab
Seberapa besar kemungkinan vulnerability ini dieksploitasi?
Contoh
| Vulnerability | EPSS |
| CVE-A | 3% |
| CVE-B | 89% |
Semakin tinggi skor EPSS, semakin tinggi prioritas remediasi.
- Threat Intelligence
Fungsi
Memberikan konteks ancaman terkini.
Data yang Digunakan
- Active Exploitation
- IOC (Indicators of Compromise)
- Ransomware Campaign
- Threat Actor Activity
- Vendor Security Advisory
Pertanyaan yang Dijawab
Apakah vulnerability ini sedang digunakan oleh penyerang?
- Business Impact
Fungsi
Mengukur dampak terhadap operasi dan tujuan bisnis.
Aspek yang Dinilai
Financial Impact
- Kehilangan pendapatan
- Kerugian finansial
Operational Impact
- Gangguan layanan
- Downtime
Reputational Impact
- Kehilangan kepercayaan pelanggan
Strategic Impact
- Kegagalan pencapaian target bisnis
- Regulatory Impact
Fungsi
Mengukur konsekuensi kepatuhan.
Contoh Regulasi
Di Indonesia:
- UU No. 27 Tahun 2022 tentang PDP
- POJK Manajemen Risiko TI
- PBI Manajemen Risiko TI
Standar Internasional:
- ISO 27001
- NIST CSF
- PCI DSS
- SWIFT CSP
Pertanyaan yang Dijawab
Apakah vulnerability ini dapat menyebabkan pelanggaran regulasi?
- Exposure Level
Fungsi
Mengukur tingkat keterpaparan aset terhadap ancaman.
Contoh
| Exposure | Risiko |
| Internet Facing | Sangat Tinggi |
| DMZ | Tinggi |
| Internal Network | Sedang |
| Segmented Network | Rendah |
Faktor Penilaian
- Public Exposure
- Accessibility
- Network Segmentation
- Privilege Level
Formula RBVM
Contoh pendekatan:
Risk Score =
(CVSS × 15%) +
(VPR × 20%) +
(ACR × 15%) +
(EPSS × 15%) +
(Threat Intelligence × 15%) +
(Business Impact × 10%) +
(Regulatory Impact × 5%) +
(Exposure Level × 5%)
Bobot dapat disesuaikan berdasarkan kebutuhan organisasi.
Studi Kasus RBVM
Skenario
Sebuah bank menemukan dua vulnerability:
Vulnerability A
| Faktor | Nilai |
| CVSS | 9.8 |
| VPR | 4.2 |
| EPSS | 5% |
| Asset | Test Server |
| Exposure | Internal |
| Business Impact | Low |
| Regulatory Impact | Low |
Vulnerability B
| Faktor | Nilai |
| CVSS | 7.5 |
| VPR | 9.5 |
| EPSS | 92% |
| Asset | Internet Banking |
| Exposure | Internet Facing |
| Business Impact | Critical |
| Regulatory Impact | High |
Pendekatan Tradisional
Berdasarkan CVSS:
| Prioritas | Vulnerability |
| 1 | A (9.8) |
| 2 | B (7.5) |
Tim keamanan akan memperbaiki Vulnerability A terlebih dahulu.
Pendekatan RBVM
Menggunakan seluruh faktor risiko:
| Faktor | A | B |
| Severity | Tinggi | Tinggi |
| Exploitation | Rendah | Sangat Tinggi |
| Asset Criticality | Rendah | Sangat Tinggi |
| Business Impact | Rendah | Sangat Tinggi |
| Regulatory Impact | Rendah | Tinggi |
| Exposure | Rendah | Sangat Tinggi |
Hasil RBVM
Prioritas 1
Vulnerability B
Prioritas 2
Vulnerability A
Alasan
Vulnerability B:
- Berada pada Internet Banking
- Internet Facing
- Sedang aktif dieksploitasi
- Memiliki EPSS tinggi
- Berdampak pada layanan nasabah
- Berpotensi melanggar regulasi OJK dan UU PDP
Walaupun CVSS lebih rendah, risiko bisnis jauh lebih tinggi.
Manfaat Implementasi RBVM
Dari Perspektif Operasional
- Mengurangi backlog vulnerability
- Fokus pada risiko terbesar
- Efisiensi penggunaan sumber daya
Dari Perspektif Bisnis
- Mengurangi potensi kerugian finansial
- Meningkatkan ketahanan operasional
- Mendukung transformasi digital yang aman
Dari Perspektif Regulasi
- Memperkuat kepatuhan
- Mendukung audit readiness
- Mengurangi risiko sanksi regulator
Dari Perspektif Manajemen Risiko
- Risk-based decision making
- Prioritas yang objektif
- Transparansi kepada manajemen
Kesimpulan
Risk-Based Vulnerability Management (RBVM) merupakan evolusi dari vulnerability management tradisional yang menggabungkan Severity (CVSS), Vulnerability Priority Rating (VPR), Asset Criticality Rating (ACR), Exploit Prediction Scoring System (EPSS), Threat Intelligence, Business Impact, Regulatory Impact, dan Exposure Level untuk menghasilkan prioritas remediasi yang lebih akurat.
Dengan RBVM, organisasi tidak lagi bertanya “Kerentanan mana yang paling parah?”, melainkan:
“Kerentanan mana yang memberikan risiko terbesar terhadap bisnis dan harus ditangani terlebih dahulu?”
Pendekatan ini menjadikan vulnerability management sebagai bagian dari Enterprise Risk Management (ERM) dan membantu organisasi mengoptimalkan investasi keamanan, meningkatkan kepatuhan, serta memperkuat cyber resilience secara berkelanjutan.
1 Comment
Homomorphic Encryption: Teknologi yang Memungkinkan Data Diproses Tanpa Dibuka - buletinsiber.com
1 month ago[…] baca juga : Risk-Based Vulnerability Management (RBVM): Pendekatan Modern dalam Prioritisasi Kerentanan Siber […]