Kelemahan tersebut (dikenal sebagai kerentanan) dapat ditemukan pada perangkat lunak, perangkat keras, konfigurasi, atau proses. Kerentanan dapat mengekspos sistem terhadap ancaman siber, termasuk akses tidak sah atau pelanggaran data.
Penilaian kerentanan merupakan dasar bagi manajemen kerentanan, yaitu subdomain manajemen risiko TI yang memungkinkan organisasi terus menemukan, memprioritaskan, dan menyelesaikan kerentanan keamanan di dalam infrastruktur TI-nya.
Untuk mengilustrasikan konsepnya, bayangkan penilaian kerentanan sebagai inspeksi rutin bangunan:
Bangunan tersebut memiliki banyak pintu, jendela, ventilasi, dan titik akses — masing-masing mewakili elemen lingkungan TI. Meskipun pembobolan dapat terjadi melalui salah satunya, inspeksi rutin membantu mengidentifikasi apakah mekanisme keamanan (seperti kunci, kamera, dan alarm) berfungsi dengan baik atau perlu diperhatikan.
Itulah esensi penilaian kerentanan: kesadaran real-time akan potensi kelemahan keamanan, yang didukung oleh tindakan.
Bergabunglah dengan para pemimpin keamanan yang mengandalkan Buletin Think untuk berita yang dikurasi tentang AI, keamanan siber, data, dan otomatisasi. Pelajari dengan cepat dari tutorial pakar dan penjelas—dikirimkan langsung ke kotak masuk Anda. Lihat Pernyataan Privasi IBM®.
Seiring semakin kompleksnya sistem TI, organisasi menghadapi perluasan infrastruktur jaringan yang terdiri atas endpoint, aplikasi web, jaringan nirkabel, dan sumber daya berbasis cloud. Attack surface yang melebar ini menghadirkan lebih banyak peluang bagi peretas dan penjahat siber untuk menemukan titik masuk.
Penilaian kerentanan rutin dapat membantu tim keamanan mengidentifikasi dan mengelola celah potensial tersebut sebelum dieksploitasi — yang dapat menyebabkan pelanggaran data, paparan informasi identifikasi pribadi (PII), dan hilangnya kepercayaan pelanggan.
Konsekuensinya melampaui nilai data yang dicuri. Pada tahun 2025, biaya rata-rata global pelanggaran data mencapai USD 4,44 juta.¹ Melalui penilaian sistem secara proaktif terhadap kerentanan perangkat lunak dan risiko keamanan lainnya, organisasi dapat:
Standar tersebut mencakup Payment Card Industry Data Security Standard (PCI DSS) dan National Institute of Standards and Technology Special Publication 800-53 (NIST SP 800-53). Standar tersebut secara eksplisit mewajibkan pemindaian kerentanan rutin dan dokumentasi kerentanan yang teridentifikasi. Penerapan proses penilaian kerentanan yang terstruktur membantu organisasi menunjukkan kepatuhan terhadap PCI DSS dan kerangka kerja lainnya, sekaligus mengurangi risiko penalti atau temuan audit.
Penilaian kerentanan merupakan komponen utama dari manajemen ancaman proaktif. Melalui identifikasi kerentanan keamanan sebelum dieksploitasi, organisasi dapat mengurangi tingkat keparahan serangan siber sekaligus meningkatkan manajemen risiko dan respons insiden. Hal ini sangat penting pada lingkungan yang mendukung kerja jarak jauh, layanan cloud, dan infrastruktur jaringan yang kompleks.
Penilaian kerentanan yang efektif mendukung remediasi yang tepat waktu melalui pengintegrasian kerentanan yang diprioritaskan secara langsung ke dalam alur kerja TI. Integrasi dengan sistem patch management dan penugasan tugas remediasi yang jelas memungkinkan tim keamanan menutup celah dengan cepat — sebelum aktor ancaman berkesempatan mengeksploitasinya.
Pelanggan, mitra, dan regulator mengharapkan organisasi melindungi data yang sensitif. Melalui penilaian dan peningkatan security posture organisasi secara berkelanjutan, perusahaan dapat menunjukkan komitmennya untuk melindungi informasi sensitif dan menjaga integritas operasional.
Penilaian kerentanan biasanya merupakan langkah pertama dalam strategi manajemen kerentanan yang lebih luas. Melalui identifikasi kesalahan konfigurasi, sistem yang ketinggalan zaman, dan titik akses yang tidak aman, penilaian kerentanan meletakkan dasar bagi security posture yang lebih kuat.
Jika fase penilaian awal berfokus pada penemuan dan analisis kelemahan keamanan, siklus hidup penuhnya meluas hingga prioritisasi, resolusi, verifikasi, dan pelaporan.
Siklus hidup manajemen kerentanan yang umum meliputi tahap berikut:
Prosesnya dimulai dengan mengidentifikasi aset TI — seperti workstation, endpoint, dan aplikasi — untuk menetapkan hal yang perlu diamankan. Setelah dipetakan, tim keamanan menggunakan alat otomatis atau pemindai kerentanan untuk mencari titik lemah seperti antarmuka yang terpapar atau sistem operasi yang sudah usang.
Kerentanan yang teridentifikasi dianalisis untuk menentukan dampak potensial, relevansi, dan eksploitabilitas. Praktisi keamanan dapat memanfaatkan basis data kerentanan, intelijen sumber terbuka (OSINT), dan threat intelligence feed, yang menyediakan data real-time mengenai pola serangan yang diketahui dan aktor ancaman yang aktif.
Tim keamanan siber bekerja bersama TI untuk mengatasi kerentanan menggunakan salah satu dari tiga pendekatan: remediasi, mitigasi, atau penerimaan. Remediasi dapat melibatkan patch management atau pembaruan konfigurasi. Jika remediasi langsung tidak memungkinkan, strategi mitigasi — seperti menerapkan firewall atau mengisolasi sistem yang terdampak — dapat mengurangi risiko. Pada kasus berisiko rendah, organisasi dapat mendokumentasikan dan menerima masalah tersebut sebagai bagian dari program manajemen risiko yang lebih luas.
Setelah mitigasi atau remediasi, tim respons melakukan pengujian kerentanan untuk mengonfirmasi perbaikan dan menilai security posture. Pemantauan berkelanjutan membantu mendeteksi kerentanan baru dan configuration drift, sehingga memungkinkan respons real-time saat lingkungan berkembang.
Tim keamanan mendokumentasikan temuan melalui pelaporan yang mencakup alat pemindaian yang digunakan, kerentanan yang teridentifikasi, hasil, dan risiko yang tersisa. Metrik utama dapat mencakup mean time to detect (MTTD) dan mean time to respond (MTTR), yang dapat dibagikan kepada stakeholder untuk menginformasikan keputusan manajemen risiko di masa mendatang.
Terdapat beberapa jenis penilaian kerentanan yang bervariasi berdasarkan fokus evaluasinya:
Berbasis jaringan: Menilai keamanan jaringan melalui pemindaian infrastruktur jaringan internal dan eksternal untuk mencari kelemahan keamanan. Kerentanan umum mencakup port terbuka, protokol yang tidak aman, dan endpoint yang terbuka.
Berbasis host: Berfokus pada sistem individual seperti workstation dan sistem operasi. Metode ini dapat mendeteksi kerentanan perangkat lunak, aplikasi yang tidak sah, dan kesalahan konfigurasi yang dapat melewati pertahanan perimeter.
Pemindaian aplikasi: Memeriksa aplikasi web untuk mencari kerentanan seperti mekanisme autentikasi yang rusak atau penanganan input yang tidak tepat, yang dapat dieksploitasi oleh ancaman seperti SQL Injection atau cross-site scripting (XSS). Pemindaian ini membantu melindungi aplikasi yang menangani informasi yang sensitif.
Penilaian jaringan nirkabel: Mengidentifikasi risiko yang terkait dengan jaringan nirkabel, termasuk rogue access point, pengaturan enkripsi yang lemah, atau segmentasi jaringan yang buruk.
Penilaian database: Memindai database untuk mencari kerentanan keamanan yang dapat mengekspos data yang sensitif. Masalah umum meliputi kredensial default, kontrol akses yang buruk, mesin database yang ketinggalan zaman, dan izin pengguna yang berlebihan.
Penilaian kerentanan yang efektif menggunakan kombinasi alat otomatis, threat intelligence, dan analisis manusia. Meskipun otomatisasi mempercepat penemuan, tim keamanan yang terampil berperan kunci dalam menafsirkan hasil, menyaring false positive, dan memastikan upaya remediasi yang akurat.
Inti dari sebagian besar penilaian adalah pemindai kerentanan — alat yang mengevaluasi sistem terhadap kerentanan yang diketahui. Alat pemindaian mengambil data dari basis data kerentanan yang diperbarui. Alat tersebut juga menggunakan teknik seperti analisis perilaku dan pemeriksaan konfigurasi untuk mendeteksi masalah di seluruh endpoint, aplikasi, sistem operasi, dan infrastruktur jaringan.
Organisasi sering kali mengandalkan perpaduan alat sumber terbuka dan alat kelas enterprise, baik secara internal maupun dari penyedia pihak ketiga, bergantung pada kompleksitas lingkungannya.
Beberapa alat dan platform yang banyak digunakan meliputi:
Digunakan untuk mengotomatiskan remediasi, alat patch management menerapkan pembaruan atau security patch di seluruh sistem terdistribusi. Bila diintegrasikan dengan alat penilaian kerentanan seperti platform penemuan aset, alat ini membantu memastikan bahwa sistem berisiko tinggi ditangani terlebih dahulu berdasarkan logika prioritisasi.
Dirancang bagi aplikasi web, alat ini menyimulasikan serangan seperti SQL injection atau XSS untuk menemukan kelemahan yang dapat dieksploitasi. Banyak di antaranya juga mendukung pengujian autentikasi, validasi sesi, dan pemeriksaan konfigurasi bagi antarmuka program aplikasi (API).
Platform ini menghadirkan konteks yang berharga melalui pengaitan kerentanan yang teridentifikasi dengan eksploitasi aktif yang digunakan aktor ancaman atau kampanye phishing. Hasilnya, tim memperoleh pemahaman yang lebih baik mengenai ancaman yang menimbulkan risiko terbesar.
Alat seperti platform external attack surface management (EASM) menjaga visibilitas berkelanjutan terhadap aset yang terekspos ke publik. Melalui penandaan titik akses, aplikasi, atau layanan berbasis cloud yang berada di luar siklus pemindaian terjadwal, platform tersebut menghadirkan tampilan real-time mengenai risiko keamanan yang berkembang.
Bersifat ringan dan dapat disesuaikan, alat sumber terbuka menawarkan fleksibilitas bagi pemindaian khusus, analisis kerentanan yang lebih mendalam, atau integrasi khusus. Meskipun hemat biaya, alat tersebut sering kali membutuhkan lebih banyak upaya manual untuk dipelihara dan dikonfigurasi.
Penilaian kerentanan dan penetration testing merupakan bagian integral dari pengujian keamanan, meskipun keduanya melayani tujuan yang berbeda. Kembali ke analogi sebelumnya, penilaian kerentanan serupa dengan inspeksi rutin bangunan, yaitu ketika organisasi mengidentifikasi dan membuat katalog celah keamanan yang ada. Pendekatan ini menawarkan pandangan yang luas dan berkelanjutan mengenai risiko keamanan perusahaan.
Penetration testing, di sisi lain, lebih tertarget. Pendekatan ini seperti menyewa ahli pembuka kunci (lock picker) untuk secara aktif mencoba masuk ke bangunan. Penetration testing menyimulasikan serangan nyata untuk mengeksploitasi kerentanan dan mengevaluasi efektivitas kontrol keamanan.
Dalam praktiknya, organisasi dapat menggunakan penilaian kerentanan sebagai bagian rutin dari program manajemen kerentanan yang lebih luas. Organisasi kemudian dapat menjadwalkan penetration testing pada interval penting — seperti sebelum peluncuran produk atau setelah perubahan sistem besar — untuk memvalidasi pertahanan dan mengungkap risiko yang lebih mendalam.
Organisasi sering kali menghadapi tantangan operasional dan teknis yang membatasi efektivitas penilaian kerentanan mereka, termasuk:
Pada lingkungan yang besar atau kompleks, pemindaian kerentanan sering kali mengidentifikasi ribuan kerentanan, yang banyak di antaranya mungkin berisiko rendah, duplikat, atau sudah dimitigasi melalui kontrol lain. Tanpa sistem prioritisasi yang jelas, tim keamanan dapat kewalahan — sehingga menunda remediasi atau mengabaikan ancaman yang penting.
Alat otomatis sering kali menandai masalah yang menimbulkan sedikit atau tidak ada risiko nyata. False positive ini berkontribusi pada alert fatigue, sehingga menguras waktu yang berharga dan menggerus kepercayaan terhadap penilaian. Karena tim menghabiskan lebih banyak upaya untuk memvalidasi temuan, lebih sedikit sumber daya yang tersisa bagi mitigasi yang aktual.
Penilaian kerentanan bergantung pada inventaris aset yang komprehensif. Sayangnya, shadow IT, endpoint yang tidak dikelola, dan aplikasi pihak ketiga dapat berada di luar pemindaian rutin, sehingga meninggalkan celah pada visibilitas. Titik buta ini dapat menjadi target yang ideal bagi aktor ancaman, terutama ketika titik akses tidak diketahui dalam waktu yang lama.
Bahkan kerentanan yang teridentifikasi dengan jelas pun dapat mengalami penundaan remediasi akibat tim keamanan dan operasi TI yang tidak terhubung. Ketika pembaruan bergantung pada tim yang beroperasi dalam silo, risiko dapat bertahan lebih lama daripada yang diperlukan.