Vulnerability Assessment: Pengertian, Tahapan, CVSS, dan Bedanya dengan Penetration Testing

Vulnerability assessment (VA) atau penilaian kerentanan, adalah proses sistematis untuk menemukan, menilai, dan memprioritaskan celah keamanan pada sistem, jaringan, dan aplikasi sebelum celah tersebut dimanfaatkan penyerang/peretas. Hasilnya berupa daftar kerentanan yang sudah divalidasi, diberi tingkat keparahan, dan disertai rekomendasi perbaikan oleh konsultan.

VA bukan sekadar menjalankan alat pemindai, pemindaian hanya salah satu tahapnya. Nilai VA justru terletak pada validasi temuan, penentuan prioritas, dan perbaikan yang terukur. Artikel ini membahas perbedaan VA dengan pemindaian dan penetration testing, jenis dan tahapannya, cara menilai tingkat keparahan dengan CVSS 4.0, serta seberapa sering VA perlu dilakukan.

Beda Vulnerability Scanning, Vulnerability Assessment, dan Penetration Testing

Ketiga istilah ini sering tertukar, padahal tujuan dan hasilnya berbeda berikut penjelasannya pada tebel di bawah ini:

Aspek	Vulnerability scanning	Vulnerability assessment	Penetration testing
Pertanyaan yang dijawab	Celah apa yang terdeteksi alat pemindai?	Celah mana yang nyata, seberapa parah, dan mana yang diperbaiki lebih dulu?	Bisakah celah itu benar-benar dimanfaatkan, dan sejauh mana dampaknya?
Cara kerja	Otomatis dengan alat pemindai	Pemindaian, lalu validasi manual, analisis, dan penentuan prioritas	Simulasi serangan oleh penguji berpengalaman
Hasil	Daftar temuan mentah, termasuk kemungkinan false positive	Daftar kerentanan tervalidasi dengan tingkat keparahan dan rekomendasi	Bukti eksploitasi, jalur serangan, dan dampaknya
Cakupan	Luas	Luas	Lebih sempit, tetapi mendalam

VA dan penetration testing tidak saling menggantikan namun saling melengkapi. VA memberi gambaran luas yang perlu diperbarui secara berkala. Penetration testing membuktikan apakah celah paling kritis benar-benar dapat dimanfaatkan. Contohnya, standar PCI DSS memisahkan pemindaian kerentanan (Requirement 11.3) dari penetration testing (Requirement 11.4) sebagai dua kegiatan dengan jadwal berbeda.

Urutan yang umum: VA dilakukan rutin, lalu penetration testing dijalankan secara berkala atau setelah perubahan besar pada sistem. Jika Anda membutuhkan pengujian eksploitasi, lihat layanan Penetration Testing MBO.

Jenis Vulnerability Assessment

Vulnerability assessment dikelompokkan berdasarkan objek yang dinilai seperti:

• Jaringan: menilai perangkat dan layanan jaringan, baik dari sisi eksternal (seperti yang dilihat penyerang dari internet) maupun internal.
• Host dan endpoint: menilai kelayakan server, komputer, dan perangkat pengguna, termasuk sistem operasi, patch, dan konfigurasinya.
• Aplikasi web dan mobile: menilai celah pada aplikasi, misalnya yang tercakup dalam kategori OWASP Top 10.
• Database: menilai konfigurasi, hak akses, dan versi terupdate sistem basis data.
• Jaringan nirkabel: menilai titik akses dan konfigurasi enkripsi Wi-Fi.
• Cloud: menilai konfigurasi layanan cloud, termasuk hak akses dan penyimpanan yang terbuka ke publik.

Pemindaian tanpa kredensial memperlihatkan apa yang dilihat penyerang dari luar. Pemindaian dengan kredensial masuk ke sistem dan menemukan masalah konfigurasi serta patch yang tidak terlihat dari luar.

Tingkat Informasi: Black Box, Grey Box, dan White Box

Pengujian keamanan juga dibedakan berdasarkan seberapa banyak informasi yang diberikan kepada penguji:

• Black box: penguji tidak diberi informasi apa pun tentang sistem, sehingga posisinya sama dengan penyerang dari luar.
• Grey box: penguji diberi sebagian informasi, misalnya akun pengguna biasa atau gambaran arsitektur. Pendekatan ini mensimulasikan penyerang yang sudah memiliki akses terbatas, seperti pengguna atau mitra.
• White box: penguji diberi akses dan informasi yang luas, seperti diagram arsitektur, konfigurasi, atau kode sumber. Cakupannya paling mendalam.

Pilihan pendekatan bergantung pada tujuan pengujian dan risiko yang ingin dijawab. Istilah ini lebih sering dipakai dalam penetration testing, misalnya pada layanan penetration testing grey box MBO. Dalam VA, pemindaian dengan kredensial pada dasarnya memberi penguji sebagian informasi tentang sistem.

Tahapan Vulnerability Assessment

1. Tentukan cakupan dan identifikasi aset: Petakan sistem, aplikasi, jaringan, dan data yang akan dinilai, lalu tandai aset yang paling kritis bagi bisnis. Tanpa daftar aset yang lengkap, celah pada sistem yang terlupakan tidak akan pernah ditemukan.
2. Kumpulkan informasi: Pelajari arsitektur, konfigurasi, dan kebijakan keamanan yang berlaku, serta sepakati jadwal agar pemindaian tidak mengganggu operasional.
3. Lakukan pemindaian: Jalankan pemindaian otomatis, dengan dan tanpa kredensial, terhadap aset dalam cakupan.
4. Validasi dan analisis temuan: Saring false positive, lalu analisis akar penyebab dan potensi dampaknya. Tahap inilah yang membedakan VA dari sekadar pemindaian.
5. Tentukan prioritas dan susun laporan: Beri tingkat keparahan, misalnya dengan CVSS, lalu urutkan berdasarkan risiko nyata bagi organisasi. Laporan yang baik memuat ringkasan eksekutif untuk manajemen dan rincian teknis untuk tim TI.
6. Lakukan perbaikan: Pasang patch, perbaiki konfigurasi, atau tambahkan kontrol pengganti jika perbaikan belum memungkinkan.
7. Pindai ulang dan pantau: Pastikan celah benar-benar tertutup, lalu ulangi penilaian secara berkala karena kerentanan baru terus ditemukan.

Tahapan ini sejalan dengan proses layanan Vulnerability Assessment MBO, mulai dari pengumpulan informasi hingga penjadwalan pemindaian ulang.

Alat yang Umum Digunakan

Alat pemindai mempercepat tahap pemindaian dilaksanakan, tetapi hanya menjadi satu tahapan bagian dari penilaian kerentanan. Hasilnya tetap perlu divalidasi dan diprioritaskan oleh ahli yang memahami sistem dan risikonya. Berikut kategori alat atau tools/software yang umum dipakai, nama produk disebut sebagai contoh, bukan rekomendasi.

Kategori	Fungsi	Contoh
Pemindai jaringan dan host	Mendeteksi layanan yang terbuka, versi perangkat lunak yang rentan, patch yang belum dipasang, dan kesalahan konfigurasi	Nessus, OpenVAS, Qualys
Pemindai aplikasi web	Mendeteksi celah pada aplikasi web, misalnya injeksi dan konfigurasi yang lemah	ZAP, Burp Suite
Pemeriksa konfigurasi cloud	Mendeteksi konfigurasi layanan cloud yang tidak aman, seperti penyimpanan yang terbuka ke publik	Fitur bawaan penyedia cloud atau alat pihak ketiga
Verifikasi manual	Memastikan temuan benar dan menemukan celah logika yang tidak terdeteksi alat	Analisis oleh penguji

Pemindai bekerja dengan basis data kerentanan yang sudah diketahui dan dipublikasikan, sehingga tidak dapat menemukan kerentanan zero-day, yaitu celah yang belum diketahui publik dan belum memiliki perbaikan.

Siapa yang Sebaiknya Melakukan Vulnerability Assessment?

Ada tiga pilihan yang umum, dan banyak organisasi memakai kombinasinya:

• Tim internal: sesuai untuk pemindaian rutin karena paling memahami sistemnya sendiri. Keterbatasannya adalah titik buta (blind spot) terhadap sistem yang dibangun sendiri, serta keahlian dan alat yang terbatas.
• Penilai pihak ketiga: membawa sudut pandang independen, keahlian khusus, dan metodologi yang telah teruji. Hasilnya juga lebih meyakinkan bagi pelanggan, mitra, dan auditor.
• Kombinasi keduanya: tim internal menjalankan pemindaian rutin, sementara pihak ketiga menilai secara berkala atau setelah perubahan besar.

Soal independensi, pihak yang merancang atau mengelola sistem idealnya tidak menjadi satu-satunya penilai keamanannya, karena kelemahan pada rancangan sendiri paling sulit terlihat. Saat menunjuk pihak ketiga, sepakati cakupan, metodologi, jadwal, dan kerahasiaan hasil secara tertulis sebelum pengujian dimulai.

Menilai Tingkat Keparahan: CVSS dan Prioritas Berbasis Risiko

CVSS: Mengukur Keparahan Teknis

Common Vulnerability Scoring System (CVSS) adalah standar untuk menilai tingkat keparahan kerentanan pada skala 0,0 hingga 10,0. Standar ini dikelola FIRST.

Skor CVSS	Tingkat keparahan
0,0	None
0,1-3,9	Low
4,0-6,9	Medium
7,0-8,9	High
9,0-10,0	Critical

Dalam versi terbaru CVSS v4.0 yang dirilis pada 1 November 2023 dimana versi ini mempertahankan kelompok metrik Base dan Environmental, mengganti kelompok Temporal dengan kelompok Threat yang berfokus pada kematangan eksploitasi, dan menambahkan kelompok Supplemental. Dalam praktik, CVSS v3.1 masih banyak dipakai, sehingga laporan VA sebaiknya menyebut versi CVSS yang digunakan.

Mengapa CVSS Saja Tidak Cukup?

CVSS mengukur seberapa parah sebuah kerentanan, bukan seberapa mungkin kerentanan itu dieksploitasi. CVSS juga tidak dirancang sebagai satu-satunya alat untuk memprioritaskan patch. Dua sumber berikut sering dipakai sebagai pelengkap:

• EPSS (Exploit Prediction Scoring System) dari FIRST memperkirakan peluang sebuah kerentanan dieksploitasi dalam 30 hari ke depan.
• Katalog KEV (Known Exploited Vulnerabilities) dari CISA, yang diluncurkan pada November 2021, berisi kerentanan yang sudah terbukti dieksploitasi.

Cara Praktis Menentukan Prioritas

Urutan berikut adalah praktik umum, bukan ketentuan baku:

1. Kerentanan yang tercantum di katalog KEV ditangani lebih dulu, karena sudah terbukti dieksploitasi.
2. Berikutnya, kerentanan dengan skor CVSS tinggi dan peluang eksploitasi (EPSS) tinggi.
3. Sesuaikan prioritas dengan nilai aset. Kerentanan pada sistem yang terhubung ke internet atau yang memproses data pribadi layak didahulukan dibanding kerentanan serupa pada sistem internal yang terisolasi.

Kaitan dengan ISO/IEC 27001 dan Regulasi di Indonesia

ISO/IEC 27001:2022 Annex A 8.8

Dalam ISO/IEC 27001:2022, manajemen kerentanan diatur oleh kontrol Annex A 8.8, Management of technical vulnerabilities, yang menggantikan kontrol 12.6.1 di edisi 2013. Kontrol ini meminta organisasi memperoleh informasi tentang kerentanan teknis secara tepat waktu, menilai paparannya, dan mengambil langkah untuk menangani risikonya.

ISO 27001 tidak menetapkan alat atau frekuensi tertentu. Jadwal VA ditentukan berdasarkan penilaian risiko organisasi, lalu didokumentasikan dalam kebijakan manajemen kerentanan. Laporan VA, catatan perbaikan, dan hasil pemindaian ulang menjadi bukti yang lazim diperiksa auditor.

UU Pelindungan Data Pribadi

UU Nomor 27 Tahun 2022 mewajibkan pengendali data pribadi melindungi dan memastikan keamanan data yang diprosesnya, dan sebagian kewajiban keamanan itu juga berlaku bagi prosesor. Jika terjadi kegagalan pelindungan data, pengendali wajib memberi tahu subjek data dan lembaga paling lambat 3 × 24 jam (Pasal 46).

VA tidak disebut secara eksplisit dalam UU PDP. Namun, VA yang rutin dan terdokumentasi adalah cara praktis menunjukkan upaya pengamanan sekaligus menekan peluang insiden. Pembahasan lengkap kewajiban perusahaan ada di artikel PP 33 Tahun 2026: panduan pelaksanaan UU PDP.

PCI DSS untuk Pemrosesan Kartu Pembayaran

Bagi organisasi yang memproses data kartu pembayaran, PCI DSS v4.0.1 menetapkan angka yang lebih tegas: pemindaian kerentanan internal dan eksternal setidaknya sekali setiap tiga bulan, dengan pemindaian eksternal dilakukan oleh Approved Scanning Vendor (ASV).

Seberapa Sering Vulnerability Assessment Dilakukan?

Tidak ada satu angka baku yang berlaku untuk semua organisasi. Angka seperti "minimal enam bulan sekali" yang sering beredar tidak berasal dari standar mana pun. Acuan yang jelas hanya ada pada standar tertentu:

• Acuan ISO/IEC 27001:2022: Ditentukan dan dilakukan berdasarkan penilaian risiko organisasi.
• PCI DSS v4.0.1: Pemindaian internal dan eksternal setidaknya setiap tiga bulan, penetration testing setidaknya setiap 12 bulan dan setelah perubahan signifikan.

Di luar jadwal rutin, VA juga layak dilakukan pada tiga situasi:

• setelah perubahan besar, seperti peluncuran aplikasi baru, migrasi sistem, atau perubahan arsitektur jaringan;
• saat kerentanan kritis yang relevan diumumkan dan aset organisasi mungkin terdampak;
• sebelum audit sertifikasi atau audit pelanggan.

Sebagai praktik umum, aset yang terhubung ke internet dan memproses data sensitif dinilai lebih sering dibanding sistem internal yang terisolasi.

Mitra Berdaya Optima Menyediakan Layanan Vulnerability Assessment Profesional

Vulnerability assessment adalah cara organisasi menemukan celah keamanan sebelum penyerang menemukannya. VA berbeda dari sekadar pemindaian karena mencakup validasi, analisis, dan penentuan prioritas, dan berbeda dari penetration testing karena tidak mengeksploitasi celah. Prioritas yang baik tidak hanya bertumpu pada skor CVSS, tetapi juga mempertimbangkan peluang eksploitasi dan nilai aset. Frekuensinya ditentukan oleh risiko dan standar yang berlaku bagi organisasi Anda.

Mitra Berdaya Optima menyediakan layanan Vulnerability Assessment mulai dari penentuan cakupan, pemindaian, validasi temuan, hingga laporan dan rekomendasi perbaikan, serta Penetration Testing untuk menguji celah yang paling kritis. Hubungi tim MBO untuk konsultasi gratis mendiskusikan cakupan yang tepat bagi organisasi Anda.