Penggunaan vendor semakin sulit dipisahkan dari operasional organisasi. Pemerintahan, BUMN/BUMD, perbankan, hingga perusahaan swasta menggunakan penyedia cloud, SaaS, pengembang aplikasi, payment gateway, managed service provider, dan berbagai layanan teknologi lainnya.
Masalahnya, semakin banyak pihak ketiga yang terhubung dengan sistem dan data organisasi, semakin luas pula attack surface yang perlu dikelola. Kelemahan keamanan pada vendor dapat menjadi jalur menuju aplikasi, jaringan, maupun informasi sensitif milik organisasi.
Karena itu, third party cyber risk assessment perlu dilakukan untuk mengetahui risiko sebelum organisasi memulai atau memperluas kerja sama dengan vendor.
NIST melalui panduan Cybersecurity Supply Chain Risk Management juga menekankan pentingnya mengidentifikasi, menilai, dan memitigasi risiko keamanan yang berasal dari produk serta layanan dalam rantai pasok.
Apa Itu Third Party Cyber Risk Assessment?
Third party cyber risk assessment adalah proses untuk mengidentifikasi dan mengevaluasi risiko keamanan siber yang muncul akibat penggunaan vendor, supplier, service provider, atau pihak ketiga lainnya.
Assessment tidak hanya menjawab pertanyaan apakah vendor memiliki kebijakan keamanan atau sertifikasi tertentu. Organisasi perlu melihat bagaimana kontrol tersebut benar-benar diterapkan dan apakah risiko yang tersisa masih dapat diterima.
Hasil third-party assessment idealnya memberikan gambaran mengenai:
tingkat kritikalitas vendor;
risiko terhadap sistem dan data;
kelemahan atau control gap;
bukti penerapan kontrol;
prioritas perbaikan; serta
keputusan terhadap risiko yang masih tersisa.
NIST SP 1326 yang diterbitkan pada Juli 2026 menempatkan due diligence terhadap supplier sebagai proses penting untuk mengumpulkan dan mengevaluasi informasi sebelum mengambil keputusan terhadap supplier atau produk teknologi.
Mengapa Risiko Keamanan Vendor Perlu Diperiksa?
Vendor dapat memperoleh akses yang cukup luas terhadap lingkungan organisasi, misalnya akses ke database, API, cloud, source code, akun administrator, atau sistem produksi.
Apabila akun vendor berhasil dikompromikan, penyerang dapat mencoba menggunakan akses tersebut untuk memasuki sistem organisasi.
Risikonya juga dapat meluas menjadi supply chain risk. Sebuah vendor mungkin bergantung pada cloud provider, subcontractor, library perangkat lunak, atau penyedia layanan lainnya. Artinya, risiko tidak selalu berhenti pada vendor yang memiliki kontrak langsung dengan organisasi.
Apa Saja yang Perlu Diperiksa dalam Vendor Cybersecurity Assessment?
Tidak semua vendor memerlukan kedalaman pemeriksaan yang sama. Organisasi sebaiknya terlebih dahulu mempertimbangkan tingkat kritikalitas berdasarkan jenis data, akses sistem, ketergantungan bisnis, integrasi, dan dampak jika terjadi insiden.
Beberapa area penting dalam vendor cybersecurity assessment antara lain sebagai berikut.
1. Tata Kelola dan Kebijakan Keamanan
Periksa apakah vendor memiliki kebijakan keamanan, struktur tanggung jawab, manajemen risiko, program security awareness, serta proses evaluasi keamanan secara berkala.
Tujuannya adalah memastikan keamanan tidak hanya bergantung pada praktik individual.
2. Kontrol Akses
Evaluasi jenis akses yang diberikan kepada vendor, termasuk:
privileged access;
penerapan MFA;
remote access;
prinsip least privilege;
access review; dan
penutupan akun setelah kerja sama berakhir.
Pertanyaan pentingnya adalah: apa yang dapat dilakukan jika akun vendor tersebut berhasil diambil alih?
3. Perlindungan Data
Jika vendor memproses data organisasi, periksa klasifikasi data, enkripsi, backup, retensi, penghapusan data, mekanisme pertukaran data, serta lokasi penyimpanan informasi.
Untuk organisasi yang mengelola data sensitif atau data pribadi, area ini memiliki dampak langsung terhadap risiko kepatuhan dan reputasi.
4. Vulnerability dan Patch Management
Vendor perlu mampu menunjukkan bagaimana mereka:
melakukan identifikasi kerentanan;
memasang patch keamanan;
menentukan prioritas berdasarkan risiko;
menyelesaikan vulnerability kritis; dan
mengamankan aset yang dapat diakses dari internet.
Pada vendor dengan sistem kritikal, organisasi dapat mempertimbangkan vulnerability assessment atau pengujian teknis lebih lanjut.
5. Application Security
Untuk penyedia aplikasi, SaaS, API, atau software development, evaluasi penerapan secure SDLC, code review, dependency management, security testing, serta penanganan vulnerability.
Jika diperlukan, organisasi juga dapat melakukan penetration testing untuk memvalidasi apakah sebuah kerentanan benar-benar dapat dieksploitasi dan mengetahui potensi dampaknya.
6. Incident Response dan Cyber Resilience
Vendor sebaiknya memiliki mekanisme untuk mendeteksi, merespons, dan memulihkan diri dari insiden.
Periksa keberadaan:
Incident Response Plan;
prosedur notifikasi insiden;
Business Continuity Plan;
Disaster Recovery Plan;
backup; dan
pengujian pemulihan berkala.
Vendor yang memiliki kontrol keamanan baik tetapi tidak mampu memulihkan layanan tetap dapat menimbulkan risiko operasional.
7. Subcontractor dan Fourth-Party Risk
Vendor mungkin menggunakan penyedia layanan lainnya untuk cloud, hosting, development, atau proses bisnis tertentu.
Karena itu, vendor risk assessment juga perlu melihat apakah vendor memiliki mekanisme untuk mengelola risiko dari subcontractor mereka sendiri.
Evidence Apa yang Perlu Diminta?
Assessment sebaiknya tidak hanya menggunakan kuesioner dengan jawaban “Ya” atau “Tidak”.
Beberapa evidence yang dapat diperiksa antara lain:
kebijakan dan prosedur keamanan;
diagram arsitektur atau data flow;
vulnerability assessment report;
penetration test report;
prosedur incident response;
hasil pengujian BCP/DRP;
sertifikasi keamanan;
daftar subcontractor penting; dan
bukti penyelesaian temuan keamanan.
Pendekatan berbasis evidence memberikan assurance yang lebih baik dibanding hanya mengandalkan pernyataan vendor.
Apa yang Dilakukan Jika Ditemukan Gap?
Temuan keamanan tidak selalu berarti vendor harus langsung ditolak.
Organisasi dapat menentukan perlakuan risiko berupa:
remediate → mitigate → restrict → transfer → accept → reject.
Misalnya, ditemukan bahwa vendor belum menggunakan MFA untuk akun administrator. Organisasi dapat mensyaratkan penerapan MFA sebelum akses produksi diberikan, kemudian meminta evidence dan melakukan verifikasi ulang.
Third Party Assessment Tidak Berhenti Saat Kontrak Ditandatangani
Risiko vendor dapat berubah selama masa kerja sama. Karena itu, evaluasi perlu dilakukan sepanjang siklus vendor:
Pre-contract → Onboarding → Operation → Periodic Review → Renewal → Offboarding
Assessment ulang juga dapat dipicu oleh insiden keamanan, perubahan sistem, bertambahnya akses vendor, perubahan subcontractor, atau ditemukannya vulnerability baru.
Kapan Assessment Keamanan yang Lebih Mendalam Diperlukan?
Assessment yang lebih mendalam layak dipertimbangkan jika vendor:
mengakses data sensitif;
mengelola sistem kritikal;
memiliki privileged access;
terhubung langsung dengan jaringan internal;
mengoperasikan aplikasi atau API yang dapat diakses internet; atau
memiliki dampak besar terhadap kontinuitas bisnis.
Dalam kondisi tersebut, security questionnaire saja mungkin belum cukup. Organisasi dapat membutuhkan review evidence, audit keamanan informasi, vulnerability assessment, maupun penetration testing.
Perkuat Evaluasi Risiko Vendor dengan Cyber Security Services
Keamanan organisasi tidak hanya ditentukan oleh kontrol internal, tetapi juga oleh keamanan pihak ketiga yang terhubung dengan sistem, data, dan proses bisnis.
Melalui Cyber Security Services Integra, organisasi dapat melakukan evaluasi risiko, efektivitas kontrol, identifikasi gap, vulnerability assessment, penetration testing, hingga menentukan prioritas peningkatan keamanan sesuai kebutuhan dan tingkat risiko.
Jika organisasi Anda membutuhkan assessment terhadap keamanan sistem, risiko pihak ketiga, maupun efektivitas kontrol yang sudah diterapkan, konsultasikan kebutuhan Cyber Security Services bersama Tim Integra Teknologi Solusi untuk menentukan ruang lingkup assessment yang tepat.
