Keamanan Siber · Pustekno

Ini Apa

Untuk siapa layanan ini.

Keamanan bukan keadaan yang dicapai sekali, tetapi kebiasaan yang dijaga terus.

Layanan ini membantu lembaga dan usaha mengetahui seberapa kuat sistemnya, memperbaiki kelemahan yang ditemukan, dan bersiap bila terjadi insiden. Cakupannya meliputi uji penetrasi dan penilaian kerentanan, audit kepatuhan, pemantauan dan pengamanan, serta pelatihan kesadaran untuk staf.

Penggunanya antara lain instansi pemerintah yang menyimpan data warga, sekolah dan pesantren yang mengelola data murid, santri, dan keuangan, usaha yang menerima pembayaran daring, serta pengembang yang ingin aplikasinya diperiksa sebelum dibuka untuk publik.

Sejak berlakunya Undang-Undang Pelindungan Data Pribadi (UU PDP), setiap pengendali data pribadi wajib menjaga keamanan data yang diprosesnya dan memberi tahu bila terjadi kegagalan pelindungan. Pemeriksaan keamanan yang teratur menjadi bagian dari pemenuhan kewajiban itu.

Perlu disampaikan terus terang: tidak ada sistem yang benar-benar kebal. Tujuan layanan ini adalah mengurangi peluang serangan berhasil, mempercepat deteksi, dan memperkecil dampak bila sesuatu terjadi.

Masalah yang Sering Muncul

Celah yang sering ditemukan.

Sebagian besar insiden tidak berawal dari teknik yang rumit, melainkan dari kelalaian sehari-hari yang luput diperiksa.

Perangkat lunak usang

Sistem, plugin, atau pustaka yang tidak diperbarui dan memiliki kerentanan yang sudah diketahui umum.

Kata sandi lemah

Kata sandi dipakai bersama, tidak pernah diganti, dan tanpa verifikasi dua langkah pada akun penting.

Hak akses berlebih

Banyak akun berperan admin, termasuk akun staf yang sudah tidak bekerja.

Pengecoh lewat pesan

Staf menerima tautan atau lampiran palsu yang meniru atasan, bank, atau penyedia layanan.

Cadangan tidak teruji

Cadangan ada, tetapi disimpan di tempat yang sama atau belum pernah dicoba dipulihkan.

Celah aplikasi

Masukan pengguna tidak divalidasi, API terbuka tanpa otorisasi yang tepat, atau data sensitif tersimpan tanpa enkripsi.

Cakupan Pekerjaan

Kenali, lindungi, deteksi, tanggapi.

Empat kelompok layanan yang mengikuti kerangka umum pengelolaan risiko keamanan. Bisa dipesan satu per satu, misalnya hanya uji penetrasi sebelum aplikasi diluncurkan.

K1

Uji Penetrasi

Simulasi serangan yang sah dan terkendali untuk menemukan celah sebelum dimanfaatkan pihak lain.

Uji aplikasi web dan mobile mengacu pada OWASP
Uji keamanan API dan otorisasi
Uji infrastruktur jaringan dan server
Pengujian ulang setelah perbaikan

K2

Audit dan Kepatuhan

Memeriksa kebijakan, konfigurasi, dan proses terhadap standar dan regulasi yang berlaku.

Penilaian kerentanan berkala
Audit kesiapan UU PDP dan tata kelola data pribadi
Tinjauan konfigurasi server, cloud, dan basis data
Tinjauan kebijakan akses dan kata sandi

K3

Pemantauan dan Pengamanan

Lapisan pertahanan dan pengawasan agar serangan terdeteksi lebih cepat.

Pemasangan dan penyetelan firewall serta WAF
Mitigasi serangan DDoS
Pemantauan log dan peringatan dini
Pendampingan respons insiden dan pemulihan

K4

Pelatihan Kesadaran

Membekali staf mengenali serangan yang menyasar manusia, bukan mesin.

Simulasi surel dan pesan pengecoh (phishing)
Lokakarya budaya keamanan
Panduan keamanan kerja sehari-hari
Prosedur melapor bila curiga

Jalur Rakit Keamanan

Dari izin tertulis sampai uji ulang.

Pengujian keamanan hanya dilakukan atas izin tertulis pemilik sistem, dengan ruang lingkup dan waktu yang disepakati. Tidak ada yang diuji di luar batas itu.

pustekno · jalur-rakitilustrasi alur

Yang Diterima

Laporan yang bisa ditindaklanjuti.

Laporan disusun untuk dua pembaca: pimpinan yang perlu memutuskan prioritas, dan tim teknis yang perlu memperbaiki. Tingkat risiko setiap temuan ditetapkan dengan menimbang seberapa mudah celah dimanfaatkan dan seberapa besar dampaknya terhadap data dan layanan, sehingga perbaikan bisa diurutkan dari yang paling mendesak.

Ringkasan pimpinan

Gambaran risiko dalam bahasa nonteknis beserta prioritas tindakan.

Rincian temuan

Setiap celah dengan tingkat risiko, bukti, dan cara mereproduksinya.

Langkah perbaikan

Rekomendasi yang konkret dan dapat dikerjakan oleh pengembang atau admin.

Hasil uji ulang

Status tiap temuan setelah perbaikan: tertutup, berkurang, atau masih terbuka.

Kebiasaan Dasar

Lima hal yang bisa dimulai hari ini.

Sebelum pengujian apa pun, kebiasaan berikut sudah mengurangi banyak risiko umum.

Perbarui

Pasang pembaruan sistem, aplikasi, dan plugin secara teratur.

Dua langkah

Aktifkan verifikasi dua langkah pada surel dan akun admin.

Rapikan akses

Cabut akun yang tidak dipakai dan batasi peran admin.

Cadangkan terpisah

Simpan cadangan di lokasi lain dan coba pulihkan secara berkala.

Curigai tautan

Periksa pengirim sebelum membuka lampiran atau memasukkan kata sandi.

Yang Perlu Disiapkan

Sebelum pengujian dimulai.

Persiapan yang rapi membuat pengujian lebih aman bagi layanan yang sedang berjalan dan hasilnya lebih bisa dipercaya. Daftar ini juga berguna untuk audit kepatuhan.

Izin pemilik sistem

Persetujuan tertulis dari pihak yang berwenang atas sistem yang akan diuji, termasuk bila sistem di-hosting pihak ketiga.

Daftar aset

Alamat situs, aplikasi, API, dan server yang masuk ruang lingkup, beserta yang dikecualikan.

Akun uji

Akun dengan berbagai peran untuk menguji otorisasi, terpisah dari akun pengguna sungguhan.

Jadwal aman

Waktu uji yang tidak bertepatan dengan masa sibuk seperti pendaftaran atau tutup buku.

Kontak teknis

Orang yang bisa dihubungi segera bila pengujian memengaruhi layanan.

Cadangan terbaru

Cadangan data yang sudah dipastikan bisa dipulihkan sebelum pengujian berjalan.

Tanya Jawab

Yang sering ditanyakan.

01Apa itu uji penetrasi?

Uji penetrasi adalah upaya sah dan terkendali untuk mencoba memanfaatkan celah keamanan sebuah sistem, atas izin pemiliknya. Tujuannya menemukan kelemahan sebelum pihak yang berniat buruk menemukannya. Hasilnya berupa laporan temuan dan rekomendasi perbaikan.

02Apakah setelah diuji sistem dijamin aman dari peretasan?

Tidak. Uji keamanan menunjukkan kondisi pada saat pengujian, dalam ruang lingkup yang disepakati. Kerentanan baru bisa muncul kapan saja dari pembaruan, perubahan konfigurasi, atau teknik serangan baru. Karena itu pengujian sebaiknya diulang secara berkala dan dilengkapi pemantauan.

03Apa beda penilaian kerentanan dan uji penetrasi?

Penilaian kerentanan memindai sistem untuk mendaftar kelemahan yang diketahui, cakupannya luas dan bisa dilakukan sering. Uji penetrasi lebih dalam: penguji mencoba benar-benar memanfaatkan celah, termasuk merangkai beberapa celah kecil, untuk melihat dampak nyatanya.

04Seberapa sering audit keamanan perlu dilakukan?

Umumnya secara berkala, misalnya setahun sekali, dan setiap kali ada perubahan besar seperti peluncuran fitur baru, perpindahan server, atau integrasi dengan sistem lain.

05Apakah pengujian bisa mengganggu layanan?

Ada risikonya, terutama pada pengujian beban atau sistem yang rapuh. Risiko ditekan dengan ruang lingkup yang jelas, jadwal di luar jam sibuk, cadangan terbaru, dan kontak darurat yang siaga.

06Bagaimana kerahasiaan hasil audit dijaga?

Setiap kerja sama didahului perjanjian kerahasiaan. Laporan hanya dikirim ke kontak yang ditunjuk, dan data yang diperoleh selama pengujian dihapus setelah pekerjaan selesai sesuai kesepakatan.

07Apakah bisa membantu saat sudah terjadi insiden?

Bisa. Pendampingan respons insiden membantu membatasi dampak, menelusuri penyebab, memulihkan layanan dari cadangan, dan menyusun langkah pencegahan. Bila menyangkut data pribadi, juga dibantu menyiapkan pemberitahuan sesuai UU PDP.

08Apakah audit UU PDP sama dengan uji penetrasi?

Berbeda. Audit UU PDP memeriksa tata kelola: dasar pemrosesan data, persetujuan, hak subjek data, penyimpanan, dan prosedur pemberitahuan. Uji penetrasi memeriksa sisi teknis. Keduanya saling melengkapi.

09Apakah pemantauan berjalan sepanjang waktu?

Jangkauan pemantauan, termasuk jam siaga, saluran peringatan, dan waktu tanggap, ditetapkan dalam kesepakatan layanan sesuai kebutuhan dan anggaran. Peringatan otomatis tetap berjalan di luar jam kerja, sedangkan penanganannya mengikuti tingkat layanan yang dipilih.

10Apakah situs WordPress juga bisa diperiksa?

Bisa. Situs berbasis WordPress sering bermasalah pada plugin usang dan akun admin yang lemah. Pemeriksaan bisa dilanjutkan dengan pencadangan terpisah memakai MeowCloud.

Halaman Terkait

Sering dipakai bersama.

Infrastruktur ServerPengelolaan server dan awan. MeowCloudCadangan otomatis untuk situs. Aplikasi Web dan MobileAplikasi yang aman sejak dirancang. Konsultasi TITata kelola dan peta jalan teknologi. Kebijakan PrivasiCara situs ini memperlakukan data. Semua LayananKembali ke indeks layanan.