Pentingnya CIS Benchmark untuk Keamanan Website di Era AI

Berkat perkembangan AI, membuat website dan aplikasi hari ini menjadi jauh lebih mudah dibanding beberapa tahun lalu.

Seorang pemilik bisnis yang sebelumnya harus menyewa programmer kini dapat membuat landing page, toko online, sistem kursus online, bahkan aplikasi internal perusahaan hanya dengan memberikan instruksi kepada AI.

Fenomena ini dikenal dengan istilah vibecoding.

Kita cukup menjelaskan kebutuhan, AI membantu membuatkan kode, memperbaiki bug, bahkan membantu proses deployment. Produktivitas meningkat luar biasa.

CIS Benchmark ibarat Sabuk Pengaman yang Sering Dilupakan Saat Membuat Website dengan AI

Namun ada satu masalah yang mulai sering muncul. AI membantu kita membangun rumah lebih cepat, tetapi AI tidak otomatis memasang pagar, kunci pintu, alarm, dan CCTV.

Akibatnya banyak website terlihat bagus dari depan, tetapi sebenarnya memiliki banyak celah keamanan yang tidak disadari pemiliknya.

Di sinilah CIS Benchmark menjadi penting.

Meskipun namanya terdengar teknis, konsepnya sebenarnya sangat sederhana.

Bahkan seorang pemilik bisnis yang tidak memahami coding sekalipun bisa memahami manfaatnya.

Apa Itu CIS Benchmark dan Mengapa Penting?

CIS Benchmark adalah kumpulan panduan keamanan yang dibuat oleh Center for Internet Security (CIS).

Tujuannya adalah membantu pemilik server, developer, dan perusahaan mengurangi risiko kesalahan konfigurasi yang dapat menyebabkan website atau aplikasi menjadi mudah diretas.

Perlu dipahami bahwa sebagian besar insiden keamanan tidak terjadi karena hacker memiliki kemampuan luar biasa.

Justru banyak kasus terjadi karena pengaturan server yang salah, password yang lemah, port yang terbuka tanpa alasan, atau layanan yang tidak pernah diamankan sejak awal.

CIS Benchmark hadir sebagai daftar periksa keamanan. Sama seperti pilot yang memiliki checklist sebelum pesawat lepas landas, administrator server juga memiliki checklist untuk memastikan sistem berjalan dengan aman.

Website yang online belum tentu aman. Banyak website berhasil berjalan bertahun-tahun tanpa pemiliknya menyadari bahwa sebenarnya ada celah keamanan yang terbuka sejak hari pertama.

Mengapa CIS Benchmark Diciptakan?

Pada masa awal perkembangan internet, setiap administrator server memiliki cara masing-masing dalam mengatur sistem.

Ada yang mengaktifkan semua layanan, ada yang membuka semua port, ada yang menggunakan password sederhana, dan ada pula yang membiarkan akun administrator dapat diakses dari mana saja.

Akibatnya muncul banyak masalah keamanan yang sebenarnya dapat dicegah.

Dunia membutuhkan standar bersama yang dapat digunakan siapa saja.

Dari kebutuhan itulah CIS Benchmark lahir.

Hari ini CIS Benchmark digunakan secara luas oleh perusahaan teknologi, startup, lembaga pendidikan, rumah sakit, perusahaan keuangan, hingga instansi pemerintah di berbagai negara.

Karena itu CIS Benchmark bukan sekadar opini satu orang atau satu vendor. Ia merupakan hasil kolaborasi banyak praktisi keamanan yang terus diperbarui mengikuti perkembangan ancaman siber.

Analogi CIS Benchmark dalam Kehidupan Sehari-hari

Bayangkan Anda baru membangun rumah.

Rumah tersebut sudah memiliki ruang tamu, kamar tidur, dapur, dan garasi.

Secara fungsi rumah tersebut sudah bisa ditempati.

Tetapi apakah rumah tersebut aman?

Belum tentu.

• Mungkin pagar belum dipasang.
• Mungkin pintu belakang belum memiliki kunci.
• Mungkin jendela masih mudah dibuka dari luar.
• Mungkin lampu halaman belum menyala.

Secara fungsi rumah sudah selesai.

Namun dari sisi keamanan masih banyak pekerjaan yang harus dilakukan.

Website dan aplikasi juga seperti itu.

Banyak orang menganggap proyek selesai ketika website berhasil online.

Padahal dari sudut pandang keamanan, pekerjaan sebenarnya baru dimulai.

CIS Benchmark membantu memastikan bahwa pagar, kunci, alarm, dan sistem keamanan digital sudah dipasang sebelum masalah terjadi.

Hubungan CIS Benchmark dengan AI dan Vibecoding

Di era AI, membuat aplikasi menjadi jauh lebih mudah dibanding sebelumnya.

Seseorang yang belum pernah menjadi programmer kini dapat membuat aplikasi sederhana menggunakan bantuan AI.

Ini perkembangan yang sangat baik.

Namun ada efek samping yang jarang dibicarakan.

AI sangat pandai membuat fitur.

Tetapi AI tidak selalu memprioritaskan keamanan jika kita tidak memintanya secara khusus.

Akibatnya banyak aplikasi yang terlihat profesional tetapi memiliki pondasi keamanan yang lemah.

Misalnya AI berhasil membuat sistem login, tetapi password disimpan dengan cara yang tidak aman.

Atau AI berhasil membuat dashboard admin, tetapi aksesnya tidak dibatasi dengan benar.

Karena itu vibecoder modern perlu memahami bahwa membuat fitur hanyalah separuh pekerjaan.

Separuh lainnya adalah memastikan fitur tersebut berjalan dengan aman.

AI mempercepat proses membangun aplikasi. CIS Benchmark membantu memastikan aplikasi yang dibangun tidak berubah menjadi pintu masuk bagi pelaku kejahatan siber.

Mengenal CIS Benchmark Level 1 dan Level 2

Dalam praktik sehari-hari, CIS Benchmark umumnya dibagi menjadi dua tingkat utama.

Level 1

Level 1 adalah rekomendasi keamanan yang dirancang agar aman diterapkan pada sebagian besar server produksi tanpa mengganggu operasional bisnis.

Level ini cocok untuk website perusahaan, toko online, LMS, aplikasi internal perusahaan, landing page, website sekolah, dan sebagian besar website UMKM.

Level 2

Level 2 menerapkan pengamanan yang lebih ketat. Beberapa konfigurasi dibuat lebih restriktif sehingga risiko keamanan semakin kecil.

Namun konsekuensinya adalah kemungkinan munculnya kendala kompatibilitas atau kebutuhan operasional tambahan.

Level ini lebih sering digunakan pada lingkungan yang menangani data sensitif atau memiliki kebutuhan kepatuhan yang tinggi.

CIS Benchmark untuk Website UMKM dan Toko Online

Bagi mayoritas pemilik bisnis, Level 1 sudah memberikan perlindungan yang sangat baik jika diterapkan dengan benar.

Fokuslah menyelesaikan Level 1 terlebih dahulu sebelum berpikir untuk menerapkan kontrol yang lebih kompleks.

Penerapan CIS Benchmark Saat Setup VPS

Kesalahan yang sering terjadi adalah keamanan baru dipikirkan setelah website selesai dibuat.

Padahal keamanan yang baik dimulai sejak VPS pertama kali dibuat.

Beberapa contoh implementasi awal antara lain:

• Menggunakan SSH key.
• Menonaktifkan login root langsung.
• Mengaktifkan firewall.
• Menghapus layanan yang tidak diperlukan.
• Mengaktifkan update keamanan otomatis.
• Mengaktifkan pencatatan aktivitas sistem.
• Membatasi akses administratif.

Ini seperti memasang pagar dan kunci rumah sebelum memasukkan barang berharga ke dalam rumah tersebut.

Penerapan CIS Benchmark Saat AI Membuat Kode

Keamanan tidak berhenti di level server.

Saat AI membantu membuat kode program, kita juga perlu memastikan prinsip keamanan tetap diterapkan.

Beberapa hal yang perlu diperhatikan antara lain:

• Jangan menyimpan API key di dalam source code.
• Gunakan environment variable.
• Validasi seluruh input pengguna.
• Gunakan autentikasi yang aman.
• Batasi hak akses pengguna.
• Gunakan koneksi HTTPS.
• Periksa library yang digunakan AI.

AI dapat menghasilkan kode yang berfungsi. Namun tanggung jawab memastikan kode tersebut aman tetap berada di tangan manusia.

Penerapan Sebelum Software Diserahkan ke Klien

Sebelum sebuah aplikasi diserahkan kepada klien, lakukan pemeriksaan akhir.

Beberapa langkah yang layak dilakukan:

• Audit konfigurasi server.
• Pemeriksaan dependency.
• Pemeriksaan secret yang bocor.
• Pengujian backup.
• Pengujian restore backup.
• Pemeriksaan SSL.
• Pemeriksaan logging.
• Pemeriksaan hak akses pengguna.

Bayangkan Anda menjual mobil kepada pelanggan. Sebelum menyerahkan kunci, Anda tentu ingin memastikan rem, lampu, dan sistem keselamatannya bekerja dengan baik.

Software profesional juga seharusnya melalui proses yang sama.

Prompt AI untuk Audit dan Hardening

Prompt Audit CIS Benchmark

Audit server Debian 13 berdasarkan CIS Benchmark Level 1.
Buat laporan temuan, tingkat risiko, prioritas perbaikan,
dan rekomendasi tindakan yang perlu dilakukan.

Prompt Hardening VPS

Terapkan CIS Benchmark Level 1 pada VPS ini.
Aktifkan firewall, SSH hardening, automatic security updates,
audit logging, fail2ban, dan nonaktifkan layanan yang tidak digunakan.
Jangan mengganggu aplikasi produksi yang sedang berjalan.

Prompt Verifikasi Implementasi

Bandingkan konfigurasi server saat ini dengan CIS Benchmark Level 1.
Tampilkan item yang sudah sesuai, belum sesuai,
beserta rekomendasi tindak lanjut.

Prompt Laporan Klien

Buat laporan profesional yang menjelaskan kondisi keamanan server
sebelum dan sesudah implementasi CIS Benchmark.
Jelaskan risiko yang berhasil dikurangi dan rekomendasi pemeliharaan.

Kesalahan yang Sering Dilakukan Vibecoder Pemula

Ada beberapa kesalahan yang berulang kali terjadi pada proyek yang dibuat menggunakan AI.

• Menganggap keamanan bisa ditambahkan nanti.
• Tidak memiliki backup.
• Menggunakan password yang lemah.
• Membuka terlalu banyak port.
• Tidak pernah melakukan audit.
• Menyimpan API key di source code.
• Memberikan hak akses admin terlalu luas.

Menariknya, sebagian besar insiden keamanan berasal dari kesalahan sederhana seperti ini, bukan dari serangan yang sangat canggih.

Mengapa Security by Design Akan Menjadi Standar Baru

Di masa lalu, kemampuan membuat software adalah keunggulan utama.

Hari ini AI membuat proses tersebut jauh lebih mudah.

Karena itu keunggulan berikutnya bukan lagi sekadar kemampuan membuat fitur, melainkan kemampuan membuat sistem yang aman, stabil, dan dapat dipercaya.

Semakin banyak aplikasi dibuat menggunakan AI, semakin tinggi pula kebutuhan akan standar keamanan yang konsisten.

Inilah alasan mengapa konsep Security by Design diperkirakan akan menjadi standar baru dalam pengembangan software modern.

Keamanan tidak lagi dianggap sebagai pekerjaan tambahan.

Keamanan menjadi bagian dari proses pembangunan sejak hari pertama.

Tentu Tidak Akan Pernah 100% Aman

Banyak orang mengira masa depan teknologi adalah AI.

Saya setuju.

Namun ada satu hal yang tidak boleh dilupakan, yaitu keamanan.

AI membuat proses membangun website dan aplikasi menjadi lebih cepat.

Tetapi kemudahan tanpa keamanan hanya akan menghasilkan lebih banyak sistem yang rentan terhadap masalah di kemudian hari.

Jika AI adalah mesin yang mempercepat pembangunan rumah, maka CIS Benchmark adalah daftar pemeriksaan yang memastikan rumah tersebut aman untuk ditinggali.

Bagi pemilik bisnis, pengelola website, maupun vibecoder pemula, memahami CIS Benchmark adalah langkah awal untuk membangun produk digital yang tidak hanya berfungsi, tetapi juga dapat dipercaya.

Penyusun:
Anjrah Ari Susanto