Incident Response: Memahami Siklus Penanganan Insiden Menurut NIST SP 800-61 Rev

Organisasi dapat memiliki Incident Response Plan (IRP), tetapi dokumen yang lengkap belum tentu berarti tim siap menjalankannya saat insiden terjadi. NIST menjawab kesenjangan ini melalui SP 800-61 Rev. 3, yang menempatkan incident response sebagai bagian dari cybersecurity risk management. Panduan tersebut terbit pada 3 April 2025 dan menggantikan Rev. 2.

Executive Summary

• Incident response adalah rangkaian proses terkoordinasi untuk mendeteksi, menganalisis, membatasi dampak, menangani, dan memulihkan insiden keamanan siber.

• Rev. 3 menggantikan Rev. 2 dan terbit sebagai NIST Cybersecurity Framework (CSF) 2.0 Community Profile.

• Govern, Identify, dan Protect membentuk fondasi kesiapan, sedangkan Detect, Respond, dan Recover menjalankan respons saat insiden berlangsung.

• Visibilitas log, kewenangan tindakan, dan prosedur yang teruji sangat memengaruhi kemampuan tim merespons insiden saat krisis.

• Kesiapan operasional mencakup IRP yang selaras dengan kritikalitas aset, telemetry untuk triage, serta latihan yang hasilnya kembali ke Improvement.

Incident Response dan Perannya dalam Keamanan Siber

Incident response adalah rangkaian proses terkoordinasi untuk mendeteksi, menganalisis, membatasi dampak, menangani, dan memulihkan insiden keamanan siber. Tujuannya menekan gangguan pada operasional bisnis serta mempercepat kembalinya sistem ke kondisi normal, dengan peran, kewenangan, dan prosedur yang sudah ditetapkan sebelum insiden berlangsung.

Tidak setiap kejadian adalah insiden. NIST mendefinisikan event sebagai kejadian yang dapat diamati pada sistem atau jaringan. Analisis lanjutan menentukan apakah sebuah adverse cybersecurity event dapat dikategorikan sebagai cybersecurity incident yang perlu ditangani. Pemilahan ini membantu menentukan alert mana yang perlu ditindaklanjuti lebih lanjut dan mana yang cukup dicatat.

Incident Response Plan (IRP) adalah dokumen yang menetapkan ruang lingkup, peran, tanggung jawab, kewenangan, dan prioritas penanganan insiden. NIST juga memasukkan tingkat keparahan serta ukuran kinerja dalam kebijakan respons. Dalam praktik audit SOC, dokumen ini kerap hadir lengkap, sementara akses ke log, data aset, dan prosedur teknisnya belum siap.

Memiliki IRP belum otomatis berarti organisasi siap merespons. Saat insiden berlangsung, tim tetap membutuhkan akses, data, prosedur, dan kewenangan yang sudah jelas. NIST SP 800-61 Rev. 3 menyusun kebutuhan tersebut ke dalam model siklus yang berbeda dari pendahulunya.

Siklus Incident Response dalam NIST SP 800-61 Rev. 3

Model Rev. 2 membagi penanganan insiden ke dalam empat fase dalam satu siklus. Pada Rev. 3, NIST mengintegrasikan incident response ke dalam NIST Cybersecurity Framework (CSF) 2.0. Rev. 3 terbit sebagai CSF 2.0 Community Profile yang menggunakan CSF Core sebagai dasar untuk menyoroti serta memprioritaskan outcome yang relevan dengan incident response. Pembahasannya mencakup enam fungsi CSF 2.0, yaitu Govern, Identify, Protect, Detect, Respond, dan Recover.

Menurut Table 1 NIST, Improvement adalah salah satu kategori di dalam fungsi Identify, bukan fungsi tersendiri. NIST juga menjelaskan bahwa lessons learned dapat masuk ke Improvement kapan saja, tidak hanya setelah insiden selesai.

Govern, Identify, dan Protect sebagai Fondasi Kesiapan

Govern menetapkan kebijakan, peran, kewenangan, dan ekspektasi keputusan. Identify memetakan aset, risiko, dan ketergantungan layanan penting sebelum insiden muncul. Protect menerapkan safeguards yang mengurangi kemungkinan dan dampak insiden. Ketiganya adalah fondasi manajemen risiko yang mendukung respons, bukan tahap respons saat insiden berlangsung.

Saat Insiden Terjadi: Detect, Respond, dan Recover

Detect menemukan dan menganalisis indikasi serangan atau kompromi. Respond memvalidasi, memprioritaskan, mengelola, dan mengomunikasikan insiden, termasuk containment dan eradication. Recover memulihkan aset dan operasi yang terdampak. Alurnya bersifat iteratif, karena temuan baru saat analisis dapat mengubah cakupan containment yang sedang berjalan.

Bagaimana Improvement Menghubungkan Lessons Learned ke Seluruh Fungsi?

Kategori Improvement dalam fungsi Identify mengumpulkan, memprioritaskan, dan menerapkan lessons learned dari seluruh fungsi tanpa perlu menunggu insiden selesai. Hasil analisis dapat langsung mengubah detection rule, prosedur, kontrol, prioritas aset, atau isi IRP. Setelah peran tiap fungsi jelas, pertanyaan berikutnya adalah bagaimana alur tersebut bekerja ketika ransomware muncul.

Bagaimana Siklus Ini Bekerja dalam Insiden Ransomware?

Merujuk pada Joint Cybersecurity Advisory #StopRansomware: Akira secara langsung, threat actor kerap masuk memakai akun valid dengan kredensial terkompromi (T1078). Pelaku Akira juga menonaktifkan atau memodifikasi security tools yang dipetakan ke T1685 dalam struktur ATT&CK saat ini, meskipun advisori CISA aslinya menggunakan T1562.001 (T1685). Pada fungsi Detect, tim menganalisis kedua sinyal ini untuk menilai apakah telah terjadi insiden serta memetakan akun dan host yang terdampak.

Pada fungsi Respond, tim memvalidasi daftar akun dan host terkompromi, lalu menonaktifkan akun terkompromi serta mengisolasi host berisiko untuk membatasi dampak dan mencegah enkripsi menjangkau sistem lain (T1486). Karena advisori Akira mencatat penggunaan RClone untuk memindahkan data ke layanan penyimpanan cloud, tim juga memblokir dan memeriksa koneksi keluar pada saat yang sama.

Pada fungsi Recover, tim mengganti kata sandi dan kredensial yang terkompromi, lalu memulihkan layanan dari backup yang sudah terverifikasi agar sistem dapat kembali beroperasi dengan aman tanpa mengembalikan akses threat actor.

Lessons learned dari berbagai aktivitas kemudian masuk ke Improvement. Contohnya, indikasi penghentian security agent dapat diubah menjadi detection rule baru dan pengetatan hak akses administratif. Setelah alur ideal ini jelas, pertanyaan berikutnya adalah apa yang biasanya menghambatnya saat krisis.

Baca juga: MITRE ATT&CK Framework: Arsitektur Deteksi dan Cara Mengukur Cakupan SOC yang Sebenarnya

Mengapa Incident Response Sering Terhambat Saat Krisis?

Skenario di atas mengasumsikan tim sudah memegang data, kewenangan, dan prosedur sejak awal insiden. Dalam praktik audit SOC, empat hambatan berikut kerap menghentikan alur tersebut pada berbagai titik, sehingga masing-masing perlu mendapat perhatian:

• Visibilitas Log Tidak Cukup untuk Menentukan Cakupan: Log endpoint, server, autentikasi, dan jaringan yang tidak lengkap menyulitkan penyusunan kronologi. Pada AA25-212A, CISA mencatat log workstation tidak masuk ke SIEM sehingga authentication event gagal dianalisis.

• Wewenang Tindakan Tidak Jelas: IRP perlu menetapkan siapa yang boleh mengisolasi server kritikal, menonaktifkan akun, dan mengambil keputusan di luar jam kerja. NIST memasukkan kewenangan disconnect atau shut down aset dalam kebijakan respons agar containment tidak tertunda.

• Eradication Tidak Tuntas: Playbook CISA mencantumkan pengaturan ulang kata sandi akun terkompromi serta penghapusan persistence pada host terdampak. Bila terlewat, organisasi menghadapi risiko kompromi ulang.

• Lessons Learned Berhenti di Laporan: Temuan pascainsiden tidak diterjemahkan menjadi pembaruan IRP, playbook, detection rule, kontrol, atau latihan berikutnya. Akibatnya, Improvement hanya tercatat di dokumen.

Keempat hambatan tersebut muncul pada titik yang berbeda dalam kemampuan incident response, mulai dari visibilitas dan pengambilan keputusan hingga eradication dan perbaikan setelah insiden. Karena itu, kesiapan tidak cukup dibangun dari IRP saja; organisasi perlu memastikan data, kewenangan, prosedur, dan mekanisme perbaikan dapat bekerja bersama.

Bagaimana Membuat Incident Response Siap Dijalankan?

Keempat hambatan tadi tidak harus ditangani sebagai empat program terpisah. Beberapa kendala dapat ditangani melalui fondasi yang sama, yaitu kejelasan kewenangan, kecukupan telemetry, prosedur yang teruji, dan mekanisme perbaikan. Tiga langkah berikut menjadi titik awal bagi CISO dan security leader untuk memastikan IRP tidak berhenti sebagai dokumen:

• Selaraskan IRP dengan Kritikalitas Aset dan Kewenangan Tindakan: Tentukan prioritas aset, tetapkan pengambil keputusan pada kondisi berbeda, dan pisahkan tindakan langsung dari tindakan yang memerlukan persetujuan. NIST mencatat banyak organisasi menyusun playbook berisi langkah yang dapat langsung dikerjakan untuk berbagai skenario.

• Pastikan Telemetri dan Deteksi Mendukung Triage: Telemetry dari endpoint, identity, server, jaringan, dan sumber relevan lainnya perlu tersedia. SIEM, EDR, NDR, atau teknologi lain dapat menyediakan telemetry dan membantu tim menghubungkan indikator yang relevan untuk triage dan investigasi. Ukuran keberhasilannya adalah kemampuan triage dan investigasi, bukan jumlah alat.

• Uji Prosedur dan Ukur Hasil Respons: Prosedur containment dan eradication dapat diuji secara berkala untuk memastikan langkah dan kewenangannya dapat dijalankan sesuai kebutuhan. Tabletop exercise menunjukkan apakah orang yang ditunjuk tahu kapan dan bagaimana harus bertindak. MTTD dan MTTR dapat menjadi metrik operasional internal, bukan metrik yang ditetapkan NIST, dan hasil latihan kembali ke Improvement.

Menjalankan ketiga langkah ini secara konsisten membutuhkan pemantauan, triage, dan eskalasi yang tersedia setiap hari, termasuk di luar jam kerja. Banyak organisasi memenuhi kebutuhan tersebut melalui dukungan SOC, baik untuk melengkapi tim internal maupun menangani kebutuhan monitoring dan eskalasi yang belum tercakup secara internal.

Baca juga: Metrik MTTD dan MTTR SOC: Cara Mengukur Efektivitas Respons dan SLA yang Sebenarnya

Bagaimana SOC Cisometric Mendukung Kesiapan dan Respons Insiden?

Bagi organisasi yang belum memiliki cakupan monitoring dan triage internal sepanjang waktu, SOC dapat menjadi bagian dari kemampuan incident response tersebut. Cisometric menyediakan layanan SOC 24/7 yang mendukung kesiapan dan respons insiden melalui empat area dukungan berikut:

• Kesiapan Monitoring dan Telemetri: Menilai sumber telemetry, cakupan monitoring, use case deteksi, dan kebutuhan integrasi.

• Monitoring, Triage, dan Eskalasi 24/7: Mengawasi alert, memvalidasi indikasi ancaman, memperkaya konteks, dan mengeskalasi sesuai severity.

• Dukungan Investigasi dan Respons: Mendukung investigasi, containment, dan mitigation sesuai ruang lingkup serta kewenangan yang disepakati.

• Evaluasi dan Perbaikan Berkala: Memakai hasil investigasi dan evaluasi performa untuk memperbaiki detection use case serta prosedur.

Cisometric telah tersertifikasi ISO 27001 dan didukung tim keamanan dengan berbagai sertifikasi profesional untuk menjalankan layanan monitoring dan investigasi. Untuk membahas kesiapan monitoring dan incident response organisasi, hubungi tim melalui halaman kontak Cisometric.

FAQ

Apa perbedaan NIST SP 800-61 Rev. 2 dan Rev. 3?

Rev. 2 memakai empat fase berurutan, sedangkan Rev. 3 terbit sebagai NIST CSF 2.0 Community Profile dengan enam fungsi agar respons terhubung langsung ke manajemen risiko siber.

Apa perbedaan antara Incident Response Plan dan playbook insiden?

IRP menetapkan ruang lingkup, peran, kewenangan, dan prioritas penanganan. Playbook berisi langkah yang dapat langsung dikerjakan tim untuk skenario tertentu, seperti ransomware atau penyalahgunaan akun.

Apa peran SOC dalam incident response perusahaan?

SOC memantau telemetry 24/7, melakukan triage alert, memperkaya konteks investigasi, mengeskalasi insiden sesuai severity, dan mendukung containment sesuai kewenangan yang disepakati.