Hampir tidak ada organisasi yang berpendapat penambalan itu tidak penting. Tetapi ketika daftar sistem diperiksa satu per satu, hampir selalu ditemukan beberapa yang tertinggal berbulan-bulan — dan biasanya bukan sistem yang tidak penting, melainkan justru yang paling sibuk.
Jaraknya bukan jarak pengetahuan. Yang menghalangi bukan ketidaktahuan bahwa tambalan itu perlu dipasang, melainkan hal-hal yang lebih membosankan: tidak ada jendela waktu untuk menghentikan layanan, tidak jelas mana yang harus didahulukan, dan ada beberapa sistem yang tidak seorang pun berani sentuh.
Apa yang sebenarnya dikerjakan penambalan
Tambalan menutup celah yang sudah diketahui pada perangkat lunak. Kata “sudah diketahui” di situ penting, dan sering luput dipahami: ketika sebuah tambalan terbit, celah yang ditutupnya menjadi informasi publik.
Artinya, rilis tambalan bekerja dua arah. Bagi yang memasangnya, celah tertutup. Bagi yang belum, celahnya kini terdokumentasi lengkap dan bisa dipelajari siapa saja — termasuk oleh pihak yang sedang mencari sasaran. Untuk kerentanan pada perangkat yang terpapar internet, jarak antara rilis tambalan dan munculnya upaya eksploitasi massal sering terhitung hari.
Skor keparahan bukan alat prioritas yang baik
Kebiasaan yang umum adalah mengurutkan pekerjaan berdasarkan skor CVSS, lalu mengerjakan yang di atas sembilan lebih dulu. Cara ini terlihat rapi, tapi menghasilkan urutan yang meleset dari risiko sebenarnya.
Alasannya, CVSS menilai seberapa parah dampaknya bila celah itu berhasil dieksploitasi — bukan seberapa besar kemungkinan hal itu terjadi pada Anda. Sebagian besar kerentanan berskor tinggi tidak pernah punya eksploitasi yang beredar. Sebaliknya, celah berskor sedang pada perangkat yang menghadap internet bisa jadi sedang dipindai secara massal minggu ini.
Tiga pertanyaan berikut memberi urutan yang jauh lebih dekat ke risiko nyata:
- Apakah sudah ada eksploitasi yang beredar? CISA menerbitkan katalog Known Exploited Vulnerabilities — daftar celah yang terbukti dipakai menyerang di dunia nyata. Apa pun yang masuk daftar itu naik ke urutan teratas, berapa pun skornya.
- Apakah sistemnya menghadap internet? Celah pada perangkat yang bisa dijangkau dari luar berbeda kelas urgensinya dengan celah yang sama pada server internal.
- Apa yang ada di baliknya? Server yang menyimpan data nasabah atau rekam medis mendahului server yang menyimpan berkas rapat.
| Kasus | Urutan menurut skor | Urutan menurut risiko nyata |
|---|---|---|
| Celah berskor sangat tinggi pada aplikasi internal, belum ada eksploitasi beredar | Prioritas 1 | Terjadwal |
| Celah berskor sedang pada VPN gateway, sudah masuk katalog KEV | Prioritas 2 | Segera |
| Celah berskor sangat tinggi pada sistem uji coba yang terisolasi | Prioritas 1 | Rendah |
Kenapa penambalan tertunda
Empat hal berikut menjelaskan hampir semua keterlambatan yang kami temui di lapangan:
| Hambatan | Yang biasanya berhasil |
|---|---|
| Tidak ada jendela waktu henti | Sepakati jendela pemeliharaan rutin di muka, tertulis, dan diketahui pengguna — bukan dinegosiasikan ulang tiap bulan |
| Takut tambalan merusak aplikasi | Uji di lingkungan yang menyerupai produksi, dan siapkan langkah mundur sebelum memasang |
| Ada sistem yang tidak bisa ditambal | Isolasi jaringan dan pengawasan tambahan, disertai catatan risiko yang disetujui manajemen |
| Tidak tahu persis apa saja yang dimiliki | Inventaris aset; ini prasyarat, bukan pelengkap |
Baris terakhir adalah akar dari banyak masalah lain. Sistem yang tidak ada dalam daftar tidak akan pernah masuk jadwal penambalan, dan biasanya baru muncul ke permukaan saat menjadi jalan masuk sebuah insiden. Server lama yang masih menyala di sudut ruangan karena “masih dipakai satu bagian” adalah contoh yang berulang di hampir setiap organisasi.
Menyusun jadwal yang bisa dijalankan
Jadwal yang terlalu ambisius berakhir diabaikan. Yang bertahan biasanya sederhana: satu tenggat berbeda untuk tiap tingkat urgensi, disepakati di muka.
| Tingkat | Contoh | Tenggat |
|---|---|---|
| Darurat | Celah yang sedang dieksploitasi pada perangkat menghadap internet | 24–72 jam |
| Tinggi | Celah kritis pada server produksi, belum ada eksploitasi beredar | 14 hari |
| Sedang | Celah pada sistem internal dengan paparan terbatas | 30 hari |
| Rendah | Sisanya | Ikut siklus pemeliharaan berkala |
Angka pada kolom ketiga bukan patokan mutlak; yang lebih penting adalah angkanya disepakati sebelum ada insiden, bukan diperdebatkan saat sedang terjadi. Tenggat tertulis juga memberi dasar yang jelas ketika penambalan berbenturan dengan jadwal operasional — percakapannya berubah dari “apakah perlu sekarang” menjadi “bagaimana caranya memenuhi tenggat yang sudah kita sepakati”.
Perangkat tepi butuh jadwal sendiri
Firewall, VPN gateway, dan perangkat lain yang berdiri di batas jaringan sering ikut jadwal penambalan server — dan itu keliru pada dua hal sekaligus.
Pertama, posisinya paling terpapar, sehingga celah di sana bernilai jauh lebih tinggi bagi penyerang. Kedua, memperbarui firmware perangkat tepi biasanya menuntut waktu henti yang berbeda sifatnya — bukan satu layanan yang berhenti, melainkan seluruh koneksi keluar. Karena itu penjadwalannya perlu dibicarakan terpisah, dengan jendela yang memang disiapkan untuk itu.
Hal lain yang perlu dipastikan lebih dulu: apakah perangkatnya masih menerima tambalan sama sekali. Perangkat yang sudah melewati akhir dukungan tidak akan pernah mendapat perbaikan, seberapa pun seriusnya celah yang ditemukan. Cara membaca tanggalnya dibahas di siklus hidup perangkat FortiGate dan siklus hidup produk Sophos.
Menguji tanpa punya lingkungan uji
Saran “uji dulu di lingkungan uji coba” sering tidak terpakai karena lingkungan itu memang tidak ada. Untuk organisasi berukuran menengah, tiga cara berikut lebih realistis:
- Pasang bertahap. Mulai dari sebagian kecil perangkat yang mewakili, amati beberapa hari, baru lanjutkan ke sisanya. Bila ada masalah, cakupannya kecil.
- Ambil snapshot sebelum memasang. Pada mesin virtual, ini memberi jalan mundur yang bisa ditempuh dalam hitungan menit.
- Pilih waktu ketika ada orang yang bisa menangani. Memasang tambalan Jumat sore adalah cara paling umum menghabiskan akhir pekan.
Kaitannya dengan audit
Pada pemeriksaan kepatuhan, pertanyaan soal penambalan hampir selalu muncul dalam bentuk yang sama: apakah ada prosedurnya, apakah dijalankan, dan apakah ada buktinya.
Pertanyaan ketiga yang paling sering gagal dijawab. Penambalan mungkin benar-benar dikerjakan, tetapi tanpa catatan — kapan dipasang, oleh siapa, pada sistem apa — pekerjaan itu tidak bisa dibuktikan. Catatan sederhana berbentuk lembar kerja sudah cukup untuk kebanyakan keperluan; yang penting terisi konsisten. Kaitannya dengan kerangka pengendalian yang lebih luas dibahas di sistem manajemen keamanan informasi.
Penutup
Penambalan jarang gagal karena tidak ada yang mengerti pentingnya. Ia gagal karena tidak ada daftar aset yang lengkap, tidak ada jendela waktu yang disepakati, dan tidak ada urutan yang jelas soal mana yang lebih dulu. Ketiganya persoalan pengaturan kerja, bukan persoalan teknis — dan justru karena itu bisa diselesaikan tanpa menambah anggaran perangkat.
Langkah pertama yang paling berguna juga yang paling sederhana: buat daftar sistem yang menghadap internet, lalu periksa kapan masing-masing terakhir diperbarui. Daftar itu biasanya pendek, dan hampir selalu memuat satu kejutan.
Pertanyaan yang sering diajukan
Tidak, dan memaksakannya biasanya membuat jadwal ambruk. Yang perlu didahulukan adalah celah yang sudah terbukti dieksploitasi di dunia nyata dan berada pada sistem yang menghadap internet. Sisanya bisa mengikuti siklus pemeliharaan berkala.
Tidak cukup. CVSS menilai keparahan dampak bila celah berhasil dieksploitasi, bukan kemungkinan hal itu terjadi. Celah berskor sedang pada perangkat yang terpapar internet dan sudah punya eksploitasi beredar lebih mendesak daripada celah berskor tinggi pada sistem internal yang tidak pernah disentuh siapa pun.
Perlakuannya bukan dilewati diam-diam, melainkan diputuskan secara sadar: pisahkan dari jaringan umum, tambahkan pengawasan, dan catat risikonya untuk disetujui pemilik sistem. Sekaligus siapkan rencana penggantian, karena kondisi itu tidak bisa berjalan selamanya.
Untuk sebagian besar organisasi, siklus bulanan terjadwal ditambah jalur darurat untuk celah yang sedang dieksploitasi sudah memadai. Yang lebih menentukan bukan frekuensinya, melainkan konsistensinya dan adanya jendela waktu henti yang disepakati sejak awal.