---
title: Ketika Menemukan Celah Jauh Lebih Mudah daripada Menutupnya
description: Kecepatan dalam menutup celah keamanan siber kini lebih krusial dari sebelumnya, terutama dengan kemajuan AI yang mempercepat penemuan kerentanan.
image: https://ked-consulting.com/hubfs/AI-Generated%20Media/Images/Discovery%20Stopwatch%20And%20Remediation%20Calendar-1.png
---

[KEDConsulting](https://ked-consulting.com/?hsLang=id)

[Home](https://ked-consulting.com/?hsLang=id)[Advisory](https://ked-consulting.com/advisory?hsLang=id)[Solutions](https://ked-consulting.com/solutions?hsLang=id)[About](https://ked-consulting.com/about?hsLang=id)[KEDInsights](https://ked-consulting.com/insights?hsLang=id)[Contact](https://ked-consulting.com/contact?hsLang=id)

[Book a consultation](https://ked-consulting.com/book-a-consultation?hsLang=id)

[HOME](https://ked-consulting.com/?hsLang=id) / [INSIGHTS](https://ked-consulting.com/id/insights) / [ARTIFICIAL INTELLIGENCE](https://ked-consulting.com/id/insights/tag/artificial-intelligence)

KEDInsights

# Ketika Menemukan Celah Jauh Lebih Mudah daripada Menutupnya

Oleh **KED Consulting** November 10, 2026 6 menit baca

Pertengahan Oktober lalu, CEO Bank of America menyampaikan sesuatu yang sekilas terdengar seperti catatan kaki operasional. Bank tersebut menambah sekitar 1.000 tenaga kontrak pada kuartal kedua untuk perbaikan celah perangkat lunak yang ditemukan oleh model AI frontier, termasuk Mythos milik Anthropic. Mereka bekerja di samping sekitar 3.000 staf yang sudah ada di area yang sama.

Yang menarik dari cerita ini bukan bahwa AI berhasil menemukan banyak celah. Itu sudah diperkirakan sejak beberapa bulan lalu. Yang menarik adalah cara salah satu bank terbesar di dunia merespons: **masalahnya diselesaikan dengan menambah orang, bukan menambah alat.**

Pertanyaan yang layak diajukan oleh setiap CIO di Indonesia sebenarnya sederhana. Jika besok sebuah model AI menyerahkan daftar seribu celah di sistem kita, berapa lama waktu yang kita butuhkan untuk menutupnya?

### Menemukan Masalah Tidak Pernah Menjadi Bagian Tersulit

Selama satu dekade terakhir, sebagian besar investasi keamanan siber di perbankan diarahkan pada kemampuan melihat. Vulnerability scanner, penetration test tahunan, SOC 24 jam, threat intelligence. Logikanya masuk akal. Kita tidak bisa melindungi apa yang tidak kita lihat.

Namun di banyak organisasi yang pernah kami amati, temuan jarang menjadi masalah utama. Laporan pentest yang sama sering muncul kembali tahun berikutnya dengan sebagian temuan lama masih berstatus "open". Bukan karena tim keamanannya lalai. Penyebabnya biasanya ada di tempat lain: aplikasi lama yang tidak bisa di-upgrade tanpa merusak integrasi, vendor yang baru merilis patch di versi berikutnya, lingkungan UAT yang harus antre, atau jendela perubahan yang hanya dibuka sebulan sekali.

Frontier AI mengubah satu sisi persamaan ini secara drastis. Biaya untuk menemukan celah turun tajam, baik bagi pihak yang bertahan maupun penyerang. Sisi lainnya, yaitu kemampuan organisasi untuk mengubah sistemnya sendiri dengan aman, praktis tidak bergerak. **Ketika satu sisi berjalan dengan kecepatan mesin dan sisi lain tetap berjalan dengan kecepatan rapat CAB, jarak di antara keduanya menjadi risiko tersendiri.**

### Jam yang Kini Berpihak pada Penyerang

Bukti pergeseran ini datang dari beberapa arah sekaligus dalam beberapa minggu terakhir.

Kasus "php2shell" mungkin ilustrasi paling jelas. Pada 21 Oktober 2026, PHP Foundation mengumumkan dua kerentanan kritis dan merilis patch darurat. Celah ini ditemukan secara independen pada bulan Agustus oleh tiga kelompok yang semuanya memakai AI. Koalisi pembela yang melibatkan PHP Foundation, OpenAI, Wiz, Cloudflare, dan sejumlah lembaga pemerintah AS membutuhkan sekitar sebelas minggu untuk menyiapkan perbaikan secara terkoordinasi. Sebaliknya, begitu detailnya bocor sehari sebelum pengumuman, upaya eksploitasi langsung bermunculan. Cloudflare mencatat jutaan percobaan pada malam itu juga, dan Palo Alto Networks mengidentifikasi 22,6 juta instance yang berpotensi rentan.

> ***Defender* dengan sumber daya terbaik di internet butuh berminggu-minggu. Penyerang cukup beberapa jam.**

Data Zero Day Clock yang dikutip Bank Policy Institute menunjukkan arah yang sama. Rata-rata waktu dari pengungkapan kerentanan hingga eksploitasi turun dari 53 hari pada 2024 menjadi 22 jam pada 2026. Angka ini perlu dibaca dengan hati-hati karena hanya mencakup eksploit dan proof of concept yang terlihat publik. Tetapi arahnya sulit dibantah.

Regulator internasional membaca situasi ini dengan nada yang menarik. Financial Stability Institute di BIS menyimpulkan bahwa frontier AI tidak mengubah fondasi ketahanan siber. Yang berubah adalah kecepatan dan intensitas pelaksanaannya. Mereka juga mencatat bahwa perangkat lunak yang belum ditambal masih menjadi pintu masuk utama dalam banyak insiden. Basel Committee, yang bersidang di Indonesia akhir September, menyatakan frontier AI berpotensi memperbesar kerentanan operasional dan akan meninjau apakah kategori risiko operasional yang ada masih memadai untuk risiko siber dan AI.

Di dalam negeri, OJK pada 15 Oktober memperingatkan perbankan tentang model AI yang mampu menjalankan seluruh tahap simulasi serangan dengan sedikit campur tangan manusia. BSSN menggelar latihan kesiapan TTIS pada 22 sampai 23 Oktober dan menegaskan bahwa perbaikan adalah tanggung jawab masing-masing penyelenggara sistem.

Pesannya konsisten. **Tidak ada aturan baru yang mengubah apa yang harus dilakukan. Yang berubah adalah seberapa cepat hal itu harus dilakukan.**

### Masalah Ruang Gawat Darurat

Bayangkan sebuah rumah sakit yang baru membeli alat diagnostik generasi terbaru. Alat ini mampu mendeteksi kondisi pasien sepuluh kali lebih cepat dan jauh lebih akurat. Antrean di meja triase langsung bergerak. Namun jumlah dokter bedah tetap sama, ruang operasi masih harus dipesan dua minggu sebelumnya, dan setiap tindakan tetap memerlukan persetujuan berlapis.

Hasilnya bukan rumah sakit yang lebih aman. Hasilnya adalah daftar tunggu yang lebih panjang, berisi pasien yang kini tahu persis apa yang salah pada dirinya.

Banyak bank sedang berada di posisi rumah sakit ini. Skenario hipotetis berikut mungkin terdengar akrab. Sebuah bank menerima advisory kritis pada hari Senin. Tim keamanan mengonfirmasi dampaknya pada hari Selasa. Namun aplikasi yang terdampak berjalan di atas middleware yang dikelola vendor, patch-nya memerlukan regression test di lingkungan yang sedang dipakai proyek lain, dan jadwal change berikutnya baru tersedia dua minggu lagi. Semua orang bekerja dengan benar. Sistemnya saja yang tidak dirancang untuk bergerak secepat itu.

### Kecepatan Remediasi Lahir dari Arsitektur

Implikasi terpenting bagi pimpinan teknologi adalah ini: **kecepatan perbaikan bukan semata kemampuan tim keamanan, melainkan sifat dari arsitektur dan model operasi bank secara keseluruhan.**

Faktor yang menentukan kecepatan itu justru jarang dibahas di forum keamanan siber. Tingkat technical debt dan jumlah platform yang sudah melewati masa dukungan vendor. Sejauh mana pengujian sudah diotomasi, sehingga perubahan kecil tidak memerlukan regression test manual berminggu-minggu. Isi kontrak dengan vendor, khususnya apakah ada komitmen waktu perbaikan untuk celah kritis. Lalu desain tata kelola perubahan itu sendiri, apakah emergency change benar-benar bisa dijalankan dalam hitungan jam tanpa mengorbankan kontrol.

Cara pandang ini sejalan dengan sikap OJK yang menempatkan manajemen kerentanan dan pengelolaan pihak ketiga dalam kerangka manajemen risiko TI yang sama di bawah POJK 11/2022. PADK 1/2026 juga membahas tata kelola, arsitektur, manajemen risiko, dan penggunaan penyedia jasa TI dalam satu kerangka. Di bank yang sistem inti dan kanal digitalnya sangat bergantung pada perangkat lunak vendor, jam perbaikan yang sesungguhnya sering berada di luar kendali bank.

### Lima Hal yang Layak Diperiksa

**1. Ukur waktu perbaikan, bukan jumlah temuan.** Ambil sepuluh kerentanan kritis terakhir, lalu telusuri berapa hari dari temuan sampai tertutup di produksi dan di tahap mana waktu paling banyak hilang. Angka ini sering lebih jujur daripada dashboard keamanan mana pun.

**2. Nyatakan selera risiko dalam satuan waktu.** Sepakati di tingkat direksi berapa lama celah kritis pada sistem yang terekspos internet boleh tetap terbuka. Begitu angka itu ada, setiap pengecualian menjadi keputusan bisnis yang tercatat, bukan kebiasaan yang dibiarkan.

**3. Petakan siapa yang memegang jam perbaikan.** Untuk aplikasi kritis, identifikasi siapa yang sebenarnya mengendalikan patch. Langkah awal yang praktis adalah meninjau klausul SLA keamanan pada kontrak vendor yang akan diperpanjang dalam dua belas bulan ke depan.

**4. Uji jalur darurat secara nyata.** Jalankan simulasi dari advisory sampai patch terpasang di produksi, bukan sekadar tabletop exercise. Banyak bank memiliki prosedur emergency change di atas kertas yang belum pernah diuji di bawah tekanan waktu.

**5. Jadikan kecepatan perubahan kriteria arsitektur.** Saat menilai modernisasi atau rasionalisasi aplikasi, masukkan kemampuan untuk diperbarui dengan cepat dan aman sebagai kriteria eksplisit, sejajar dengan biaya dan fungsi.

Urutannya penting. Pengukuran dan selera risiko sebaiknya didahulukan, karena keduanya memberi bahasa bersama bagi tim keamanan, tim aplikasi, dan direksi. Pembenahan kontrak dan arsitektur akan menyusul dengan dasar yang jauh lebih kuat.

### Pertanyaan yang Sebenarnya

Diskusi tentang AI dan keamanan siber sering berhenti pada pertanyaan siapa yang memiliki alat lebih canggih, penyerang atau pembela. Dalam praktiknya, kedua pihak kini sama-sama memiliki akses ke kemampuan penemuan yang sangat kuat. Pembedanya akan ditentukan di tempat yang kurang glamor: di jadwal change, di kontrak vendor, di pipeline pengujian, dan di keberanian untuk mempensiunkan sistem yang sudah tidak bisa diperbarui.

Bank of America menjawab tantangan ini dengan menambah ribuan orang. Tidak semua bank memiliki pilihan itu. Bagi sebagian besar bank, jawabannya harus datang dari desain.

> **Di era ketika celah bisa ditemukan dalam hitungan jam, ukuran ketahanan yang sebenarnya adalah seberapa cepat kita mampu mengubah diri sendiri dengan aman.**

Topik [Artificial Intelligence](https://ked-consulting.com/id/insights/tag/artificial-intelligence)[Cloud & Cybersecurity](https://ked-consulting.com/id/insights/tag/cloud-cybersecurity)

Bagikan [LINKEDIN](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fked-consulting.com%2Fid%2Finsights%2Ftitle) [X](https://x.com/intent/post?url=https%3A%2F%2Fked-consulting.com%2Fid%2Finsights%2Ftitle&text=%3Cspan+id%3D%22hs_cos_wrapper_name%22+class%3D%22hs_cos_wrapper+hs_cos_wrapper_meta_field+hs_cos_wrapper_type_text%22+style%3D%22%22+data-hs-cos-general-type%3D%22meta_field%22+data-hs-cos-type%3D%22text%22+%3EKetika+Menemukan+Celah+Jauh+Lebih+Mudah+daripada+Menutupnya%3C%2Fspan%3E) [FACEBOOK](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fked-consulting.com%2Fid%2Finsights%2Ftitle) [EMAIL](mailto:?subject=%3Cspan+id%3D%22hs_cos_wrapper_name%22+class%3D%22hs_cos_wrapper+hs_cos_wrapper_meta_field+hs_cos_wrapper_type_text%22+style%3D%22%22+data-hs-cos-general-type%3D%22meta_field%22+data-hs-cos-type%3D%22text%22+%3EKetika+Menemukan+Celah+Jauh+Lebih+Mudah+daripada+Menutupnya%3C%2Fspan%3E&body=https%3A%2F%2Fked-consulting.com%2Fid%2Finsights%2Ftitle)

Baca juga

## Artikel terkait.

### [Artificial Intelligence Mahalnya Rasa Aman Bernama "Human in the Loop" Nov 7, 2026BACA →](https://ked-consulting.com/id/insights/the-expensive-comfort-of-a-human-in-the-loop?hsLang=id)

### [Artificial Intelligence 5 Pertanyaan AI yang Wajib Dijawab CIO Sebelum 2027 Jun 7, 2026BACA →](https://ked-consulting.com/id/insights/5-pertanyaan-ai-yang-wajib-dijawab-cio-sebelum-2027?hsLang=id)

### [Artificial Intelligence Peluang dan Tantangan Adopsi AI di Industri Telekomunikasi Jun 6, 2026BACA →](https://ked-consulting.com/id/insights/opportunities-and-challenges-of-ai-adoption-in-the-telecom-industry?hsLang=id)

Langkah berikutnya

## Ubah wawasan menjadi tindakan.

Diskusikan tantangan teknologi Anda dengan para ahli kami — tanpa biaya, tanpa komitmen.

[Jadwalkan konsultasi gratis →](https://ked-consulting.com/meetings/ked-consulting/meeting-with-ked?hsLang=id) [Hubungi kami](https://ked-consulting.com/contact?hsLang=id)

[KEDConsulting](https://ked-consulting.com/?hsLang=id)

Your trusted partner in IT strategy, enterprise architecture and governance, turning complexity into clarity.

 Indonesia Stock Exchange Tower 1 Level 3  
Jl. Jend. Sudirman Kav 52-53, Jakarta Selatan  
Indonesia 12190  
[+62 (0) 21 2960 7267](tel:+622129607267)  
[connect@ked-consulting.com](mailto:connect@ked-consulting.com)

#### Advisory

[Enterprise Architecture](https://ked-consulting.com/enterprise-architecture-advisory?hsLang=id)[Cloud Advisory & FinOps](https://ked-consulting.com/cloud-advisory?hsLang=id)[Architecture Review](https://ked-consulting.com/architecture-review?hsLang=id)[IT Governance & Risk](https://ked-consulting.com/itgrc-advisory?hsLang=id)[AI Advisory](https://ked-consulting.com/ai-advisory-ked-consulting?hsLang=id)

#### Solutions

[EA Management](https://ked-consulting.com/ea-management-platform?hsLang=id)[IT GRC Platform](https://ked-consulting.com/itgrc-platform?hsLang=id)[Technical Debt](https://ked-consulting.com/technical-debt-management?hsLang=id)

#### Company

[About us](https://ked-consulting.com/about?hsLang=id)[KEDInsights](https://ked-consulting.com/insights?hsLang=id)[Contact](https://ked-consulting.com/contact?hsLang=id)[Privacy Policy](https://ked-consulting.com/privacy-policy?hsLang=id)[Terms & Conditions](https://ked-consulting.com/tnc?hsLang=id)

© 2026 KED CONSULTING

[LINKEDIN](https://www.linkedin.com/company/karya-ekosistem-digital/)[FACEBOOK](https://www.facebook.com/profile.php?id=61560968952272&mibextid=LQQJ4d)[X](https://x.com/kedconsulting)[INSTAGRAM](https://www.instagram.com/ked.consulting)

```json
{
  "@context" : "https://schema.org",
  "@type" : "BlogPosting",
  "author" : {
    "@type" : "Person",
    "name" : "KED Consulting",
    "url" : "https://ked-consulting.com/id/insights/author/ked-consulting"
  },
  "dateModified" : "2026-11-10T05:06:16.763Z",
  "datePublished" : "2026-11-10T04:51:39.000Z",
  "headline" : "Ketika Menemukan Celah Jauh Lebih Mudah daripada Menutupnya",
  "image" : [ "https://ked-consulting.com/hubfs/AI-Generated%20Media/Images/Discovery%20Stopwatch%20And%20Remediation%20Calendar-1.png" ],
  "mainEntityOfPage" : {
    "@id" : "https://ked-consulting.com/id/insights/title",
    "@type" : "WebPage"
  },
  "publisher" : {
    "@type" : "Organization",
    "logo" : {
      "@type" : "ImageObject",
      "url" : "https://ked-consulting.com/hubfs/KEDConsulting-round-1.png"
    },
    "name" : "KED Consulting"
  }
}
```