Audit keamanan selesai bukan berarti pekerjaan keamanan juga selesai. Justru setelah auditor menemukan kelemahan, organisasi perlu memastikan setiap temuan ditindaklanjuti sampai risiko benar-benar terkendali.
Proses inilah yang dikenal sebagai security remediation. Remediation tidak sekadar melakukan patch atau mengubah konfigurasi, tetapi mencakup penentuan prioritas, analisis akar masalah, perbaikan, penyediaan evidence, retest, hingga penutupan temuan.
Bagi perbankan, BUMN/BUMD, pemerintahan, dan organisasi yang mengelola sistem kritikal, proses tersebut penting agar temuan audit tidak terus berulang atau menjadi risiko keamanan yang dibiarkan terbuka.
Apa Itu Security Remediation?
Security remediation adalah proses sistematis untuk memperbaiki atau mengendalikan kelemahan keamanan yang ditemukan melalui audit, security assessment, vulnerability assessment, penetration testing, maupun aktivitas monitoring.
Temuan tersebut dapat berupa vulnerability teknis ataupun kelemahan pada:
kontrol akses;
konfigurasi keamanan;
logging dan monitoring;
backup;
pengelolaan privileged account;
kebijakan dan SOP;
incident response;
tata kelola keamanan informasi.
Dalam Risk Management Framework, NIST memasukkan remediation sebagai tindak lanjut hasil assessment. Perbaikan kontrol juga perlu dinilai kembali untuk memastikan kontrol telah diterapkan dan bekerja sebagaimana mestinya.
Dengan demikian, status “sudah diperbaiki” belum tentu sama dengan “temuan sudah closed”.
Mengapa Temuan Audit Keamanan Sulit Ditutup?
Dalam praktiknya, security findings dapat tetap terbuka selama berbulan-bulan. Beberapa penyebab yang sering terjadi antara lain:
Tidak ada remediation owner yang jelas. Temuan hanya diberikan kepada “tim IT” tanpa PIC yang bertanggung jawab.
Semua temuan dianggap memiliki prioritas sama. Padahal risiko harus mempertimbangkan dampak bisnis dan criticality sistem.
Perbaikan hanya menangani gejala. Root cause dari kelemahan tidak diperbaiki.
Target penyelesaian tidak realistis. Dependency terhadap vendor, procurement, downtime, atau change management tidak diperhitungkan.
Evidence tidak dipersiapkan. Perbaikan dilakukan tetapi sulit dibuktikan kepada auditor.
Tidak dilakukan retest. Temuan langsung dianggap selesai tanpa menguji efektivitas perbaikan.
Akibatnya, temuan yang sama dapat muncul kembali pada audit berikutnya.
7 Langkah Security Remediation yang Efektif
1. Validasi Temuan Audit
Pastikan terlebih dahulu kondisi yang dilaporkan auditor memang terjadi.
Periksa sistem yang terdampak, evidence audit, kontrol yang gagal, serta kemungkinan false positive.
2. Tentukan Prioritas Berdasarkan Risiko
Jangan hanya melihat severity seperti Critical, High, Medium, dan Low.
Pertimbangkan juga:
criticality aset;
dampak bisnis;
sensitivitas data;
kemungkinan eksploitasi;
exposure ke internet;
kewajiban regulasi;
compensating control yang tersedia.
Temuan High pada sistem nonkritis belum tentu lebih mendesak daripada temuan Medium pada sistem yang memproses transaksi penting.
3. Temukan Root Cause
Remediation yang baik harus menjawab pertanyaan: mengapa kelemahan tersebut terjadi?
Misalnya, auditor menemukan privileged account tanpa MFA. Solusinya bukan hanya mengaktifkan MFA pada satu akun.
Root cause perlu diperiksa: apakah standar IAM belum tersedia, aplikasi masih legacy, provisioning account tidak terkontrol, atau konfigurasi keamanan tidak konsisten?
4. Susun Security Remediation Plan
Setiap temuan sebaiknya memiliki rencana tindak lanjut yang mencakup:
ID dan deskripsi finding;
tingkat risiko;
root cause;
corrective action;
remediation owner;
target penyelesaian;
dependency;
evidence yang diperlukan;
status remediation.
Pendekatan ini membuat manajemen lebih mudah memantau temuan yang sudah selesai maupun yang masih overdue.
5. Implementasikan Corrective Action
Perbaikan dapat berupa:
patching;
security hardening;
implementasi MFA;
perubahan access control;
network segmentation;
peningkatan logging;
perbaikan backup;
pembaruan SOP;
peningkatan monitoring.
Perubahan pada sistem produksi tetap harus melalui proses change management dan pengujian yang sesuai.
6. Siapkan Evidence dan Lakukan Retest
Evidence merupakan bagian penting dalam penutupan temuan audit.
Bukti dapat berupa konfigurasi sistem, screenshot, log, access review, change request, SOP terbaru, ataupun hasil vulnerability scan.
Setelah perbaikan selesai, lakukan retest untuk memastikan kelemahan benar-benar telah ditangani. NIST juga menekankan reassessment atas kontrol yang telah diremediasi untuk menilai efektivitas perbaikannya.
Untuk kerentanan teknis, pengujian dapat dilakukan melalui penetration testing atau vulnerability assessment. Baca juga pembahasan tentang perbedaan penetration testing dan vulnerability assessment.
7. Tutup Temuan dan Pantau Risiko
Temuan idealnya baru dinyatakan closed apabila:
corrective action sudah diterapkan;
evidence tersedia;
hasil retest memenuhi kriteria;
residual risk sudah dievaluasi;
approval diperoleh jika diperlukan;
dokumentasi telah diperbarui.
Jika kelemahan belum dapat diperbaiki sepenuhnya, organisasi dapat menerapkan temporary mitigation, compensating control, atau risk acceptance yang terdokumentasi dan disetujui pihak berwenang.
Security Remediation dalam Konteks KKS
Bagi sektor keuangan, proses remediation juga berkaitan erat dengan pengelolaan keamanan sistem informasi dan ketahanan siber.
PBI Nomor 2 Tahun 2024 mengatur KKS bagi Penyelenggara Sistem Pembayaran, pelaku Pasar Uang dan Pasar Valuta Asing, serta pihak lain yang diatur dan diawasi Bank Indonesia. Cakupannya antara lain tata kelola, identifikasi risiko, proteksi, deteksi, respons, pemulihan, dan pengawasan.
Sementara itu, untuk Bank Umum, OJK menerbitkan SEOJK Nomor 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum.
Karena itu, organisasi perlu menyesuaikan assessment maupun remediation dengan jenis entitas, aktivitas, sistem, dan regulator yang relevan.
Jangan Berhenti pada Audit, Pastikan Temuan Benar-Benar Ditutup
Tujuan security remediation bukan sekadar mengurangi jumlah finding dalam spreadsheet. Organisasi perlu memastikan akar masalah telah ditangani, risiko berkurang, perbaikan dapat dibuktikan, dan kontrol tetap efektif setelah audit selesai.
Jika organisasi Anda masih memiliki temuan keamanan yang belum terselesaikan, membutuhkan retest, atau ingin mengevaluasi kesiapan keamanan secara lebih menyeluruh, Cyber Security Services PT Integra Teknologi Solusi dapat membantu melalui security assessment, Audit KKS, audit keamanan informasi, vulnerability assessment, penetration testing, hingga evaluasi tindak lanjut hasil audit.
PT Integra Teknologi Solusi juga memiliki layanan audit dan keamanan TI untuk membantu organisasi meningkatkan tata kelola dan keamanan teknologi informasi.
Konsultasikan kebutuhan Cyber Security Services dan audit keamanan organisasi Anda bersama tim PT Integra Teknologi Solusi.
