Pembaruan keamanan

Seberapa sering pembaruan keamanan situs web harus dilakukan?

Dasarnya, lakukan pembaruan keamanan secara konsisten dengan jadwal tetap (misalnya sebulan sekali), dan jika ada celah serius yang diumumkan, langsung terapkan tanpa menunggu jadwal. Pengecekan rutin dan respons darurat dipikirkan secara terpisah.

Celah yang mendesak diumumkan lewat pemberitahuan dari pembuatnya atau pengumuman keamanan KISA Internet Protection Nara. Jika ada penyedia pengelola, tentukan siapa yang memantau dan menilai pengumuman seperti ini.

Frekuensi pembaruan juga berbeda tergantung dengan apa situs web dibuat. Situs web dengan banyak plugin punya lebih banyak komponen yang harus diperbarui, jadi perlu dicek lebih sering.

Bisa juga menyalakan pembaruan otomatis. Jika dibagi seperti perbaikan keamanan kecil diterima otomatis, sedangkan perubahan versi besar diterapkan setelah dicek, risiko celah dan tampilan rusak sama-sama berkurang.

Apa saja yang perlu diperbarui di situs web?

Yang perlu diperbarui terbagi dalam beberapa lapisan, dari server sampai widget yang dipasang di tampilan. Jika tidak ditentukan siapa mengurus lapisan mana, masing-masing mengira ‘pihak lain yang akan mengurus’ sehingga muncul celah.

Situs web yang dibuat khusus mudah dianggap aman karena tidak memakai plugin. Namun, komponen terbuka (library) yang dipakai di dalamnya juga mendapat pembaruan jika ditemukan celah. Tanyakan apakah penyedia pengembangnya menerima peringatan keamanan untuk komponen seperti ini.

Pembaruan baru bisa dilakukan jika Anda tahu komponen apa yang dipakai. Jika Anda menerima ‘daftar program dan komponen yang dipakai di situs web kami’ dari penyedia pengelola, saat ada pengumuman keamanan Anda bisa langsung menilai apakah situs web Anda terdampak.

Dalam urutan apa pembaruan keamanan aman dilakukan?

Kunci pembaruan yang aman adalah ‘siapkan cara mengembalikan dulu, lalu cek sendiri setelah diterapkan’. Masalah yang lebih umum daripada pembaruan itu sendiri adalah tampilan rusak yang dibiarkan berhari-hari karena tidak ada yang mengecek setelah pembaruan.

Jika pembaruan yang lama tertunda dilakukan sekaligus, saat terjadi masalah sulit mencari mana penyebabnya. Jika banyak pembaruan yang menumpuk, terapkan beberapa sekaligus secara bertahap dan cek tampilannya setiap kali.

1. 01Buat cadangan lengkap terlebih dahulu.
2. 02Baca keterangan pembaruan dan pastikan apakah itu perbaikan keamanan atau perubahan versi besar.
3. 03Jika memungkinkan, terapkan dulu di ruang uji yang sama persis dengan situs web yang sedang berjalan.
4. 04Terapkan ke situs web sebenarnya pada jam sepi pelanggan.
5. 05Coba sendiri halaman depan · formulir pertanyaan · reservasi · pembayaran di ponsel dan komputer.
6. 06Catat apa yang diperbarui dan kapan.
7. 07Jika ada masalah, pulihkan dari cadangan, cari penyebabnya, lalu terapkan lagi.

Apa yang sebenarnya terjadi jika pembaruan keamanan ditunda?

Situs web yang menunda pembaruan menjadi sasaran program otomatis yang mencari celah yang sudah diketahui. Penyerang tidak mengincar usaha tertentu, melainkan memindai dengan mesin tempat-tempat yang masih punya celah, lalu masuk ke yang terjaring.

Jika dibobol, halaman iklan · judi bisa diam-diam muncul di tempat yang tidak terlihat pelanggan, atau kode yang mengalihkan pelanggan ke situs lain bisa ditanamkan. Jika kondisi ini ditemukan mesin pencari, hasil penelusuran atau browser bisa menampilkan peringatan bahaya.

Jika informasi pribadi pelanggan bocor lewat formulir pertanyaan atau data anggota, masalahnya makin besar. Bisa timbul kewajiban memberi tahu pelanggan dan melapor ke lembaga terkait, sehingga biayanya jauh lebih besar daripada waktu yang dihemat dengan menunda pembaruan.

Jejak peretasan sulit disadari lebih dulu oleh pemilik usaha. Jika di hasil penelusuran muncul tulisan tak dikenal atas nama situs web Anda, atau pelanggan berkata ‘saat dibuka malah pindah ke situs lain’, segera beri tahu penyedia pengelola. Jika Google Search Console sudah dihubungkan, Anda bisa menerima notifikasi saat Google menemukan masalah keamanan.

Selain pembaruan, kebiasaan keamanan apa yang perlu dijaga?

Sebaik apa pun pembaruannya, jika kata sandi admin lemah, sama saja dengan pintu yang terbuka. Sebaiknya pengelolaan akun diurus bersamaan dengan pembaruan.

Satu akun admin yang dipakai bersama oleh banyak karyawan juga risiko yang umum. Tidak bisa diketahui siapa mengubah apa, dan saat karyawan keluar pun kata sandinya sulit diganti. Jika memungkinkan, buat akun terpisah untuk tiap orang dan berikan hanya hak yang benar-benar diperlukan.

Google pun menganjurkan pengelola situs untuk menerapkan pembaruan terbaru sekaligus memakai kata sandi yang baik. Kebiasaan di bawah ini hampir tanpa biaya, tetapi efeknya besar.

• Membuat kata sandi admin yang panjang dan tidak memakainya bersama situs lain
• Menyalakan verifikasi 2 langkah untuk akun domain · hosting · admin
• Segera menghapus akun karyawan yang sudah keluar · penyedia lama
• Menghapus plugin dan tema yang tidak dipakai, bukan sekadar menonaktifkannya
• Tidak membiarkan login admin tetap aktif di komputer bersama di toko

Apa yang perlu ditanyakan saat menyerahkan pengelolaan keamanan ke penyedia?

Kalimat ‘Kami urus keamanannya’ saja tidak menjelaskan apa yang dikerjakan. Tanyakan secara spesifik jadwal, respons darurat, berbagi catatan, dan cara menghubungi saat terjadi insiden, lalu tuliskan di kontrak atau penawaran harga.

Jika sudah mencurigai peretasan, beri tahu penyedia lebih dulu, dan Anda juga bisa mendapat bantuan dari layanan konsultasi peretasan · spam · pelanggaran informasi pribadi KISA Internet Protection Nara di nomor 118. Dalam langganan Pemeliharaan ISSYMO, kami menerapkan pembaruan keamanan dan menyimpan cadangan setiap bulan.

• Seberapa sering pembaruan rutin dilakukan?
• Jika ada pengumuman keamanan darurat, dalam berapa hari diterapkan?
• Apakah riwayat pembaruan bisa diterima dalam bentuk catatan?
• Jika tampilan rusak setelah pembaruan, apakah ada biaya pemulihan terpisah?
• Saat mencurigai peretasan, harus menghubungi siapa dan bagaimana?