Mengapa Skor CVSS Tidak Mengungkap Risiko Sebenarnya dalam Keamanan Siber

Dalam banyak pusat operasi keamanan, skor CVSS secara diam-diam menjadi acuan utama dalam menentukan prioritas penanganan kerentanan. Dasbor keamanan biasanya diurutkan berdasarkan tingkat keparahan, dengan kerentanan berlabel "kritis" berada di urutan teratas. Laporan triwulanan bahkan kerap merayakan jumlah temuan dengan skor 9.0 ke atas yang telah berhasil ditangani.

Di atas kertas, metode ini terlihat rasional. Namun dalam praktiknya, pendekatan ini kerap keliru dan menyesatkan.

Apa Itu Skor CVSS dan Mengapa Ia Tidak Cukup?

Common Vulnerability Scoring System (CVSS) dibuat untuk menstandarisasi penilaian kerentanan keamanan. Skor ini mengukur keparahan teknis, termasuk kompleksitas eksploitasi, hak akses yang diperlukan, serta dampaknya terhadap kerahasiaan, integritas, dan ketersediaan sistem. Dengan demikian, CVSS menyediakan bahasa yang sama bagi komunitas keamanan dalam mengomunikasikan risiko.

Namun, keterbatasan terbesar CVSS adalah ketidakmampuannya dalam mengukur konteks bisnis dan lingkungan secara tepat. Misalnya, apakah aset tersebut dapat diakses melalui internet? Seberapa penting aset tersebut bagi kelangsungan bisnis? Apakah kerentanan tersebut sedang aktif dieksploitasi oleh penyerang? Pertanyaan-pertanyaan inilah yang menentukan risiko nyata, bukan semata angka skor keparahan abstrak.

Ilusi Prioritas: Ketika Skor CVSS Mengaburkan Risiko Nyata

Bayangkan sebuah kerentanan dengan skor 9,8 berada pada lingkungan non-produksi yang tidak dapat diakses dari luar. Dalam model prioritas yang hanya mengandalkan skor, kerentanan ini akan diperlakukan sebagai prioritas utama. Sebaliknya, kerentanan dengan skor 7,2 pada API autentikasi yang melayani jutaan pengguna secara publik mungkin justru diabaikan atau diprioritaskan lebih rendah. Secara teknis, yang pertama lebih parah; namun secara strategis yang kedua jauh lebih berbahaya.

Penyerang dunia maya memahami hal ini secara naluriah. Mereka memprioritaskan kerentanan yang mudah dijangkau, memiliki nilai bisnis tinggi, dan membuka jalur eksploitasi yang efektif—bukan hanya berdasarkan skor teknis. Ketika tim keamanan tidak selaras dengan pendekatan ini, maka jarak antara risiko yang dirasakan dan eksposur sebenarnya menjadi lebar.

Permasalahan semakin rumit ketika data kerentanan tersebar di berbagai alat dan platform, seperti laporan pentest, hasil pemindaian kerentanan, temuan konfigurasi cloud, dan risiko terkait identitas. Masing-masing menggunakan model penilaian berbeda tanpa pemahaman holistik terhadap dampak bisnis. CVSS mencoba menjembatani masalah ini, namun masih memiliki celah besar.

Di banyak organisasi, temuan keamanan sering kali diterjemahkan secara manual ke dalam sistem tiket, yang secara tidak sengaja menghilangkan konteks penting. Bukti visual seperti tangkapan layar hilang, jalur eksploitasi diringkas secara berlebihan, dan hanya label keparahan yang bertahan. Akibatnya, proses remediasi berubah menjadi perlombaan mengejar angka, bukan mengurangi eksposur yang bermakna.

Fenomena inilah yang dapat disebut sebagai "teater keparahan". Tim terlihat sibuk menangani temuan kritis, namun pimpinan sulit menjawab pertanyaan penting: Apakah kita benar-benar mengurangi risiko nyata pada aset paling penting?

Mengembalikan Skor Keparahan ke Posisi yang Tepat

Program keamanan modern mulai bergeser ke arah penilaian risiko kontekstual. Alih-alih menjadikan CVSS sebagai keputusan akhir, skor ini digunakan sebagai satu dari banyak sinyal yang diperhitungkan. Faktor seperti klasifikasi aset, eksposur internet, ketersediaan eksploitasi, intelijen ancaman, tingkat kritikalitas bisnis, dan kontrol kompensasi menjadi bagian dari keputusan prioritas.

Ini adalah wilayah di mana platform manajemen eksposur mengubah cara kerja organisasi. Dengan menggabungkan temuan dari berbagai sumber—pentest, pemindai kerentanan, alat cloud, dan sistem identitas—organisasi dapat memperkaya data teknis dengan konteks bisnis. Temuan dinormalisasi, duplikat disatukan, dan rumus risiko disesuaikan agar mencerminkan apa yang benar-benar penting.

Dari Teori ke Praktik: Contoh dan Manfaatnya

Platform seperti PlexTrac menunjukkan perubahan paradigma ini dengan mengubah data kerentanan menjadi objek kerja operasional, bukan hanya entri laporan statis. Temuan dapat diberi skor berdasarkan sensitivitas dan eksposur aset, secara otomatis diarahkan ke sistem remediasi, dipantau melalui proses validasi, dan diukur secara berkelanjutan.

Dengan pendekatan ini, tim tidak lagi bertanya, "Kerentanan mana yang 'kritis'?", melainkan "Eksposur mana yang secara nyata mengancam pendapatan, kepercayaan pelanggan, atau kelangsungan operasional kita?"

Perbedaan ini terlihat kecil, tapi dampaknya besar. CVSS menjawab, 'Seberapa parah kerentanan ini secara teori?' Sedangkan prioritas kontekstual menjawab, 'Seberapa berbahaya kerentanan ini bagi kita saat ini?'

Mengadopsi Kontekstualisasi Berkelanjutan dalam Keamanan

Seiring berkembangnya lingkungan hybrid dan semakin kaburnya batas permukaan serangan di cloud, SaaS, API, dan lapisan identitas, model keparahan statis semakin tidak efektif. Penyerang memanfaatkan rantai kelemahan yang melintas berbagai sistem, bergerak lateral melalui kesalahan konfigurasi identitas, dan mengeksploitasi layanan yang terekspos, bukan hanya berdasarkan skor CVSS tertinggi.

Kerangka kerja seperti Continuous Threat Exposure Management (CTEM) merefleksikan realitas ini. CTEM menekankan pada proses berkelanjutan berupa pemetaan, penemuan, prioritas, validasi, dan aksi, bukan hanya siklus pelaporan berkala. Dalam model ini, pengurangan risiko diukur dari penurunan eksposur yang dapat dieksploitasi secara nyata dari waktu ke waktu, bukan hanya jumlah temuan kritis yang ditutup.

Organisasi yang terus menyamakan keparahan dengan risiko akan terjebak dalam siklus remediasi reaktif. Sementara yang mampu memperkaya data kerentanan dengan konteks dan mengintegrasikannya ke dalam alur kerja kolaboratif akan lebih dekat pada janji utama keamanan: pengurangan eksposur dunia nyata yang terukur.

Tim keamanan yang menyelaraskan prioritas dengan konteks dan mengoperasionalkan remediasi secara tepat adalah yang mampu menghilangkan risiko secara efektif.

Analisis Redaksi

Menurut pandangan redaksi, ketergantungan berlebihan pada skor CVSS tanpa mempertimbangkan konteks bisnis dan lingkungan operasional menjadi kelemahan utama dalam strategi keamanan siber saat ini. Hal ini tidak hanya menghambat efektivitas remediasi, tetapi juga berpotensi memberikan rasa aman palsu kepada manajemen, karena angka keparahan tinggi belum tentu berarti risiko nyata yang tinggi bagi organisasi.

Lebih jauh, fragmentasi data kerentanan di berbagai platform tanpa integrasi konteks membuat proses mitigasi menjadi tidak efisien dan terkesan hanya sebagai rutinitas administratif. Organisasi harus mulai mengadopsi pendekatan manajemen eksposur yang holistik dan berkelanjutan, menggabungkan intelijen ancaman, konteks bisnis, dan teknologi otomasi agar mampu merespons ancaman secara proaktif dan terukur.

Masa depan manajemen risiko siber ada pada platform yang mampu mengkonsolidasikan data, menyajikan konteks yang relevan, dan memfasilitasi kolaborasi lintas fungsi. Pembaca harus mengawasi perkembangan teknologi Continuous Threat Exposure Management dan platform integrasi yang semakin matang sebagai solusi nyata untuk mengatasi tantangan ini.

Tentang Penulis

Dan DeCloss adalah Pendiri PlexTrac dengan pengalaman lebih dari 20 tahun di bidang keamanan siber. Karirnya dimulai di Departemen Pertahanan AS dan kemudian berlanjut ke sektor swasta di perusahaan seperti Telos, Veracode, Mayo Clinic, dan Anthem. Keahliannya meliputi keamanan aplikasi dan pengujian penetrasi.

Dan memiliki gelar magister Ilmu Komputer dari Naval Postgraduate School dengan fokus pada Keamanan Informasi serta sertifikasi OSCP dan CISSP. Ia memiliki passion membantu semua kalangan memahami keamanan siber secara praktis, dengan fokus pada pekerjaan yang tepat untuk mengurangi risiko secara efektif.