SECURITY ENGINEER INTRO

Security engineers itu tulang punggung postur cyber security sebuah perusahaan. Di materi ini, kita bakal dapet pengenalan tentang peran security engineer dan belajar kegiatan sehari-hari seorang security engineer. Sangat direkomendasiin sebelum lanjut ke materi ini, lu udah nyelesaiin path Pre Security.

TUJUAN PEMBELAJARAN

• Kenapa kebutuhan security engineers muncul?
• Kualifikasi apa aja yang dibutuhin buat jadi security engineer?
• Apa aja yang dilakuin security engineer dalam sehari-hari kerjaan?

Kenapa Organisasi Butuh Keamanan?

Seiring era internet ngubah cara organisasi kerja di seluruh dunia, dia juga bawa tantangan. Walaupun ga diraguin lagi teknologi udah bikin hidup organisasi jauh lebih gampang dengan ngebuka jalan baru buat kolaborasi sama inovasi, kita sering denger organisasi kena hack, kehilangan data pelanggan, kena ransom, sama ngadepin berbagai jenis serangan cyber. Dalam ngerespons ancaman ini, organisasi bisa balik lagi ke cara bisnis lama tanpa bantuan teknologi modern, yang bikin mereka jadi kalah saing, atau mereka bisa maju terus mastiin keamanan sisi digital bisnis mereka. Makanya, sama kaya organisasi mana pun bakal ngelindungin aset fisik mereka dan nyediain departemen khusus buat itu, aset digital perusahaan juga harus diamanin. Perlu dicatet di sini kalo organisasi ngelakuin semua ini buat mastiin tujuan utama mereka tercapai tanpa hambatan.

The Role of a Security Engineer

Ngeliat kebutuhan keamanan yang disebutin di atas, organisasi nyewa security engineers. Buat nyewa security engineer, organisasi nganggep security engineer sebagai seseorang yang:

• Megang keamanan keseluruhan organisasi. Orang utama yang bertanggung jawab buat ngamanin aset digital organisasi.
• Mastiin risiko cyber security organisasi diminimalisir setiap saat.
• Nyusun strategi dan bikin sistem yang minimalisir risiko yang ditimbulin sama ancaman cyber security ke organisasi.
• Secara berkala ngelakuin tes buat mastiin ketahanan postur cyber security organisasi, ngenalin titik lemah, terus nyiapin mitigasinya.
• Ngembangin dan ngimplementasiin solusi jaringan yang aman.
• Ngebangun dan merekayasa sistem yang terpercaya, andal, dan aman.
• Berkolaborasi dan koordinasi sama tim lain buat ngebikin protokol keamanan di seluruh organisasi.

Qualifications Required for a Security Engineer

Kaya yang mungkin udah lu sadarin, peran security engineer yang disebutin di atas luas banget dan mungkin butuh satu departemen utuh bukannya cuma satu orang. Ini karena peran ini didefinisiin secara longgar dan beda-beda dari organisasi ke organisasi. Seorang engineer ngambil masalah gede, mecahinnya jadi bagian-bagian yang lebih kecil, terus nyelesaiinnya.

Makanya security engineer itu seseorang yang ngikutin proses ini buat masalah keamanan. Artinya walaupun lu mungkin punya deskripsi kerja, tiap hari mungkin beda banget karena lu ngadepin berbagai masalah. Secara keseluruhan, waktu nyewa security engineer, organisasi nyari persyaratan dasar berikut:

• 0-2 tahun pengalaman dengan administrasi IT, helpdesk, jaringan, atau operasi keamanan.
• Pemahaman dasar tentang jaringan komputer, sistem operasi, dan programming.
• Pemahaman dasar tentang konsep keamanan kaya Governance, Risk and Compliance (GRC).

Di task sebelumnya, kita udah mastiin kalo security engineer bertanggung jawab buat postur keamanan organisasi. Di task ini, kita bakal ngejelasin lebih lanjut ekspektasi umum organisasi dari security engineer buat ngebantu mereka nyampe tujuan dalam peran ini. Walaupun didefinisiin secara longgar, security engineer seringkali bertanggung jawab buat area-area berikut.

Asset Management/Asset Inventory

Salah satu langkah utama dalam mastiin keamanan organisasi adalah nge-maintain asset inventory organisasi. Dalam hal cyber security, ini berarti ngelola dan nge-maintain inventory aset digital organisasi. Security engineers cuma bisa megang keamanan organisasi kalo mereka tau aset apa aja yang dipunya organisasi. Mereka juga harus mastiin kalo asset inventory ini rutin di-maintain dan diupdate terus nyertain semua informasi yang dibutuhin tentang aset kaya nama aset, tipe, alamat IP, lokasi fisik, tempat di jaringan, aplikasi yang jalan di aset, izin akses (cuma di dalam organisasi atau public-facing), sama detail pemilik aset.

Security Policies

Organisasi butuh security policies yang kuat buat ngejaga postur keamanan yang baik. Security engineer ngebantu organisasi bikin security policies berdasarkan Security Principles yang udah ditetapin. Policies ini terus diimplementasiin di seluruh organisasi, dan security engineer mastiin implementasinya ngikutin aturan dan semangat policies tersebut. Kadang-kadang, muncul kebutuhan buat ngasih pengecualian ke security policies karena kebutuhan bisnis. Dalam skenario kaya gitu, security engineer ngonsultasiin Security Principles buat ngebolehin atau nolak pengecualian terus nyaranin langkah-langkah mitigasi buat minimalisir risiko.

Secure by Design

Security engineer mastiin kalo organisasi aman dari desainnya. Engineer ngerti kalo postur keamanan dapet Return on Investment (ROI) paling gede kalo ngikutin filosofi secure-by-design. Ini berarti security engineer ngambil langkah-langkah buat ngimplementasiin Secure Network Architecture (materi bakal dateng!), mastiin Windows, Linux, sama Active Directory organisasi di-harden, dan pengembangan software ngikutin Secure Software Development Lifecycle.

Security Assessment and Assurance

Walaupun ngerancang jaringan sama infrastruktur organisasi dengan aman mungkin jadi langkah awal yang bagus banget, security engineer ngerti kalo kerjaan mereka jauh dari selesai setelah itu. Mereka ngerti kalo keamanan itu kerja keras yang butuh usaha terus-menerus. Walaupun security engineer harus mastiin semuanya dilakuin dengan bener, kompromi cuma butuh satu celah buat berhasil. Buat ngurangin risiko dari lanskap ancaman yang terus berkembang, security engineer ngerencanain buat ngelakuin security assessments, audits, sama latihan red-teaming dan purple-teaming secara rutin buat terus ningkatin postur keamanan. Walaupun security engineers mungkin ga ngelakuin assessments sama audits sendiri, mereka utamanya terlibat dalam ngebantu ngejadwalin kegiatan ini, bikin Request for Quotations (RFQs) buat pihak eksternal buat ngelakuin kegiatan ini, terus ngebantu prioritasin dan ngimplementasiin temuan dari mereka.

Keamanan organisasi itu bukan kerjaan sekali jadi tapi usaha yang terus-menerus. Sama kaya gitu, kerjaan security engineer ga berakhir begitu policies udah didesain sama diimplementasiin. Tapi, ini perjalanan menuju peningkatan berkelanjutan. Langkah-langkah berikut ngebantu security engineer ngejalanin peran ini.

Ensuring Awareness

Security engineer mungkin ditugasin buat ngejaga tingkat security awareness tertentu di organisasi. Manusia itu fondasi organisasi mana pun, dan kaya yang sering dibilang, manusia itu mata rantai terlemah dalam keamanan organisasi. Security engineer secara berkala ngejalanin sesi awareness yang utamanya nargetin serangan social engineering buat mastiin manusia ga bikin kesalahan yang bisa ngebahayain keamanan organisasi. Sesi awareness juga diorganisir buat tim-tim spesifik buat mastiin mereka ngikutin security principles yang berhubungan sama bidang keahlian mereka, kaya secure software development atau secure network architecture.

Managing Risks

Manajemen eksekutif kebanyakan organisasi ngeliat keamanan dari sudut pandang minimalisir risiko. Keamanan itu penting buat bisnis karena ngabaiinnya bisa ngakibatin gangguan operasional, kebocoran data, tuntutan hukum, atau bentuk risiko lain. Makanya, security engineer sering ditugasin buat ngenalin risiko keamanan, nentuin kemungkinan sama dampaknya, terus nyari solusi buat minimalisir risiko itu. Perlu dicatet kalo ngilangin semua risiko mungkin ga mungkin waktu ngejalanin operasi bisnis. Kadang-kadang, keputusan harus dibikin buat nerima risiko terus lanjut. Dalam skenario kaya gitu, security engineer mungkin ngelakuin beberapa tindakan mitigasi buat nurunin risiko.

Nerima atau mitigasi risiko seringkali jadi keputusan bisnis, dan security engineer bertindak sebagai penasihat terpercaya manajemen yang ngebantu mereka ngambil keputusan ini dengan nyediain keahlian dalam bidangnya. Coba kita liat contoh organisasi yang pake software database buat supply chain mereka yang jalan di versi Linux yang rentan. Software ini penting banget buat operasi organisasi. Ngupdate software-nya, biar bisa jalan di versi OS terbaru yang ga rentan, tanpa ganggu operasi mungkin butuh usaha yang signifikan (lebih dari setahun). Ini bakal butuh keterlibatan vendor, yang belom ngetes software-nya di versi OS terbaru.

Deploy software tanpa ngetes di versi OS terbaru bakal berisiko nyebabin masalah dalam operasi organisasi. Dalam skenario kaya gitu, versi OS yang rentan nimbulin risiko keamanan. Security engineer mungkin nyaranin buat mitigasi risiko dengan nge-harden OS-nya lewat kontrol tambahan terus nambahin reverse proxy di depan sistem yang rentan buat ngehindarin ngekspos dia ke internet. Walaupun langkah-langkah ini ga bakal ngilangin risiko, mereka bakal secara signifikan nguranginnya tanpa mempengaruhi operasi organisasi.

Change Management

Organisasi terus berkembang seiring waktu, yang juga ngasilin perubahan dalam postur keamanan mereka. Buat mastiin postur keamanan yang kuat, security engineer ngelacak perubahan dalam aset digital organisasi yang bisa mempengaruhi postur keamanan terus ngambil langkah-langkah buat ningkatin postur keamanan seiring evolusi organisasi. Anggap aja organisasi pengen ngupgrade modul e-commerce website mereka buat pelanggan korporat mereka. Modul baru bakal butuh risk assessment, penetration testing, sama vulnerability assessment sebelum diintegrasiin sama website. Security engineer bakal mastiin semua persyaratan ini terpenuhi dan integrasinya ga bakal ngenalin security vulnerabilities. Selain itu, juga bakal dipastiin kalo modul baru ngikutin semua security policies sama guidelines yang udah ditentuin organisasi.

Vulnerability Management

Landscape ancaman terus berkembang. Versi software baru dirilis, dan vulnerabilities ditemuin di versi yang lebih lama. Kerjaan security engineer seringkali termasuk mantau vulnerabilities di seluruh organisasi terus ngerencanain buat nge-patch atau minimalisir risikonya. Vulnerabilities biasanya di-patch sesuai tingkat keparahannya, kaya yang bakal kita pelajarin di materi Vulnerability Management.

Compliance and Audits Bagian penting dari tugas security engineer termasuk mastiin compliance sama persyaratan regulasi dan organisasi. Tergantung industrinya, klien, sama lokasi organisasi, dia mungkin tunduk pada berbagai standar compliance kaya PCI-DSS, HIPAA, SOC2, ISO27001, NIST-800-53, dan banyak lagi. Security engineer kerja sama erat sama auditor internal maupun eksternal buat ndeteksi masalah non-compliance terus ngatasinnya secara efektif. Selain itu, mereka bertanggung jawab buat ngejaga sertifikasi keamanan organisasi sesuai kebutuhan.

Kaya yang udah dibahas sebelumnya, peran security engineer seringkali didefinisiin secara longgar dan luas. Di beberapa organisasi, security engineer mungkin perlu ngambil beberapa tanggung jawab tambahan buat ngebantu tim lain, yang bakal kita bahas di task ini.

Managing Security Tooling

Security engineer kadang-kadang mungkin dibutuhin buat konfigurasi atau fine-tune security tools kaya SIEMs, Firewalls, WAFs, EDRs, dan banyak lagi. Di beberapa organisasi, itu bahkan bisa jadi tanggung jawab utama security engineer. Dalam peran kaya gitu, security engineer mungkin juga ngambil keputusan atau ngasih masukan ke pengambil keputusan tentang tools yang mau dibeli berdasarkan kebutuhan organisasi sama penilaian engineer terhadap tools kompetitor.

Tabletop Exercises

Tabletop exercises sering dilakuin buat ngukur kesiapan operasional organisasi dari sudut pandang keamanan. Beberapa skenario diidentifikasi buat dilatih, dan anggota tim keamanan harus ngejelasin peran mereka masing-masing dalam skenario yang lagi dibahas. Contohnya, skenario mungkin termasuk kompromi perangkat endpoint lewat email phishing. Semua anggota tim terus bakal ngejelasin langkah-langkah mereka masing-masing sesuai playbooks organisasi. Security engineer kadang-kadang dibutuhin buat ngelakuin exercises ini.

Disaster Recovery and Crisis Management

Postur keamanan yang kuat ngeharusin organisasi buat ngerencanain kejadian yang ga diinginkan, bencana, atau krisis. Dalam skenario kaya gitu, prioritas utama manajemen eksekutif adalah ngejaga business continuity. Security engineer mungkin terlibat dalam disaster recovery, business continuity, sama perencanaan crisis management sebagai bagian dari berbagai compliance frameworks sama kebijakan internal organisasi. Peran security engineer di area ini mungkin beda-beda tergantung organisasinya.

Waktu ngejalanin tugas mereka, security engineers harus mempertimbangkan berbagai aspek dalam ngejalanin bisnis selain ngejaga keamanannya. Pertimbangan ini mungkin termasuk business operations, cost, ease of implementation, ease of use, dan banyak lagi. Walaupun sistem yang paling aman adalah sistem yang mati dan dicabut dari listrik, sistem kaya gitu ga nyampe tujuan bisnis apa pun. Makanya, security engineer harus mempertimbangkan business objectives dan keamanan waktu ngambil keputusan.

Itu tadi pengenalan singkat tentang kegiatan sehari-hari seorang security engineer. Sebagai kesimpulan, kita belajar kalo security engineer:

• Megang tanggung jawab keamanan cyber organisasi.
• Mastiin sistem sama infrastruktur organisasi dibangun dengan aman.
• Ngebantu ngejaga postur keamanan ini lewat peningkatan berkelanjutan dan perubahan dalam aset digital organisasi.
• Ngambil peran dan tanggung jawab tambahan buat ngebantu tim lain nyampe tujuan kolektif organisasi yang aman.