NUSA TENGGARA TIMUR — Bayangkan sebuah rumah sakit menerima peringatan kerentanan keamanan untuk peralatan pencitraan medisnya. Di lingkungan TI tradisional, laptop atau server yang terdampak bisa langsung diidentifikasi dan diperbaiki dalam hitungan jam. Namun untuk sistem cyber-physical (CPS) — perangkat yang menjalankan operasi fisik seperti kontrol di pabrik, HVAC gedung, atau alat kesehatan — memastikan apakah peringatan itu berlaku bisa memakan waktu berhari-hari dan sering berakhir dengan tebakan.
Riset yang menganalisis 17 juta aset cyber-physical menemukan bahwa 88% perangkat gagal mengirimkan kode produk yang presisi, dan 76% mengirim kode yang tidak cocok dengan catatan vendor. Angka ini menjelaskan mengapa banyak organisasi kewalahan mengelola keamanan infrastruktur kritis mereka.
Masalahnya berakar pada cara perangkat ini dirancang. Programmable Logic Controllers (PLC), pemindai medis, dan sensor industri dibangun untuk ketahanan fisik selama puluhan tahun, bukan untuk pelabelan digital yang rapi. Identifikasi jaringan jarang masuk dalam spesifikasi desain awal. Akibatnya, perangkat yang sama bisa melaporkan dirinya secara berbeda tergantung protokol atau sistem yang bertanya.
Kondisi serupa terjadi pada sistem operasi yang menjalankan perangkat keras tersebut. Penelitian menemukan 41% perangkat tidak memiliki informasi versi OS, dan 24% bahkan tidak mencantumkan nama OS sama sekali. Tanpa detail ini, mencocokkan perangkat dengan kerentanan yang diketahui (CVE) berhenti menjadi proses otomatis dan berubah menjadi pencarian manual yang melelahkan.
Yang lebih rumit, advisory CVE — mekanisme standar industri untuk melacak kerentanan — disusun dari data vendor yang sama-sama tidak lengkap. Artinya, peringatan resmi pun bisa sepincang jaringan yang seharusnya dilindungi.
Ketidakmampuan mengidentifikasi aset ini menciptakan titik buta yang meresahkan manajemen. Survei terhadap 1.100 pemimpin keamanan global menunjukkan 44% menyebut memahami eksposur risiko organisasi sebagai salah satu kekhawatiran operasional terbesar — mengalahkan tekanan kepatuhan atau keterbatasan anggaran. Sebanyak 45% lainnya mengaku kesulitan mengurangi risiko siber pada aset dan proses terpenting mereka.
Masalahnya, koneksi antara kesulitan ini dan inventaris aset yang tidak dapat diandalkan sering terlewat. Manajemen melihat gejalanya — perasaan bahwa risiko tak terkendali — tanpa pernah melihat akar penyebabnya. Tim keamanan yang menjelaskan masalah dalam istilah kode produk yang hilang dan konvensi penamaan yang tidak konsisten tidak akan mendapat banyak perhatian. Para pemimpin bisnis hanya mendengar bahwa risiko tidak bisa dikuantifikasi dengan percaya diri.
Memperbaiki situasi ini dimulai dari perubahan definisi visibilitas. Mengetahui perangkat ada di jaringan hanya setengah dari pekerjaan. Memahami apa yang perangkat lakukan, proses apa yang bergantung padanya, dan apa yang terjadi jika dikompromikan — itulah yang membuat register risiko benar-benar berguna.
Mencapai pergeseran ini membutuhkan alat khusus yang mampu menangani sifat eklektik dan proprietary dari aset CPS, plus pendekatan otomatis untuk mengimbangi skalanya. Hasilnya bisa signifikan. Dalam satu contoh penerapan teknik pemetaan berbasis AI pada katalog perangkat sebuah OEM, tingkat identifikasi kode produk melonjak dari 4% menjadi 83%. Sebagai tindak lanjut, 56% perangkat menerima rekomendasi firmware baru atau yang diperbarui, dan akurasi identifikasi kerentanan meningkat 25%.
Angka-angka ini mengubah pertanyaan yang bisa dijawab tim keamanan. Alih-alih bertanya apa yang terhubung ke jaringan, tim kini bisa bertanya sistem mana yang akan menyebabkan gangguan terbesar jika dikompromikan — dan bertindak berdasarkan jawaban dengan keyakinan, bukan inferensi.
Solusi tidak datang dari menambah alat ke tumpukan yang sudah ada. Ini tentang memperlakukan kualitas data aset sebagai masalah risiko tingkat dewan direksi, bukan sekadar pekerjaan rumah TI. Dengan pendekatan ini, peringatan CVE baru tidak lagi memicu kekacauan untuk mencari perangkat mana yang terdampak, melainkan respons terprioritaskan yang sudah dikonfirmasi — seperti yang diharapkan dari program manajemen kerentanan yang baik.
Peringatan yang mendarat di peralatan pencitraan rumah sakit atau sistem kontrol pabrik seharusnya tidak lebih sulit ditangani daripada peringatan di laptop kantor. Untuk sampai di sana, langkah pertamanya adalah membuat yang tak terlihat menjadi terlihat.