DevSecOps Foundations
Bekali tim engineering, AppSec, dan operations Anda menyatukan keamanan ke dalam CI/CD, shift-left, SAST/DAST/SCA, SBOM, supply-chain, dipandu NIST SP 800-218 SSDF (Secure Software Development Framework), OWASP DevSecOps Maturity Model (DSOMM), dan SLSA framework agar rilis cepat dan tetap dapat dipertahankan.
- format
- In-house / online / hybrid
- durasi
- 4–5 hari intensif atau program bertahap 2–3 bulan
- peserta
- 10–20 per batch
- bahasa
- Indonesia / English
Jawaban Singkat
Pelatihan DevSecOps Foundations adalah program in-house yang membekali tim engineering, AppSec, dan operations menyatukan keamanan ke CI/CD, shift-left, SAST/DAST/SCA, SBOM, image signing, supply-chain, dipandu NIST SP 800-218 SSDF, OWASP DevSecOps Maturity Model (DSOMM), dan SLSA framework agar rilis cepat dan posture tetap terjaga.
Dipandu kerangka DevSecOps yang diakui industri
Materi mengikuti NIST SP 800-218 Secure Software Development Framework (2022), OWASP DevSecOps Maturity Model (DSOMM), SLSA framework levels 1–4, OWASP ASVS 4.0, dan ISO/IEC 27001:2022 A.8.25–A.8.28 (secure development), kerangka yang dirujuk auditor & regulator global.
Pembelajaran Log4Shell, SolarWinds, XZ: supply-chain itu nyata
Log4Shell (CVE-2021-44228) di Desember 2021 memukul ribuan organisasi karena library Java sangat luas dipakai. SolarWinds (2020) mengkompromikan build pipeline vendor terpercaya. XZ Utils backdoor (CVE-2024-3094) menunjukkan social engineering jangka panjang ke maintainer. Tanpa SBOM, image signing, dan disiplin supply-chain, organisasi merespons insiden ini dalam minggu, bukan jam.
Pola adopsi sehat: paved-road + jaringan champion
Adopsi DevSecOps yang berhasil di banyak tim biasanya berbasis paved-road yang dikurasi AppSec/Platform (SAST/SCA default, image signing default) + jaringan AppSec champion di setiap tim engineering. AppSec terpusat bergeser dari bottleneck reviewer menjadi enabler & escalation.
DevSecOps Foundations
DevSecOps adalah praktik menyatukan keamanan ke dalam siklus DevOps sejak fase paling awal (shift-left), mulai dari ancaman pemodelan, SAST/DAST/SCA, secret scanning, container & IaC scanning, SBOM, image signing, sampai runtime security, dipetakan ke NIST SP 800-218 Secure Software Development Framework (SSDF), OWASP DevSecOps Maturity Model (DSOMM), dan SLSA framework level 1–4, sehingga tim rilis cepat tanpa mengorbankan postur keamanan yang dapat diaudit.
Hasil Terukur
Hasil yang Diharapkan
Indikator dipetakan ke level Kirkpatrick dan OWASP DSOMM maturity, target kualitatif, ditetapkan saat TNA terhadap baseline tim.
- Penguasaan disiplin DevSecOps (Kirkpatrick L2, Learning)
- Mayoritas peserta lulus asesmen shift-left, ancaman pemodelan dasar, dan alur SAST/DAST/SCA/SBOM
- Pipeline aman terverifikasi (L3, Behavior)
- CI/CD tim mengintegrasikan SAST + SCA + secret scanning, dengan policy break-build untuk severity tinggi
- SBOM & supply-chain attestation
- Build menghasilkan SBOM (CycloneDX/SPDX) tersimpan, image signed via cosign, dan provenance attestation tersedia
- Posisi OWASP DSOMM
- Tim memetakan posisi awal pada dimensi DSOMM (Build & Deployment, Culture & Org, Implementation, Information Gathering, Test & Verification) dan menyusun roadmap menutup gap
- Kepatuhan NIST SSDF
- Aktivitas pengembangan tim dipetakan ke 4 grup SSDF (Prepare Organization, Protect Software, Produce Well-Secured Software, Respond to Vulnerabilities)
- Kesiapan audit & insiden
- Bukti aktivitas keamanan terdokumentasi untuk audit ISO 27001, dan playbook respons insiden supply-chain tersedia
Format Program
Pilihan Format Program
Dipilih sesuai posisi maturity DSOMM tim, final ditetapkan setelah TNA.
DevSecOps Foundations Bootcamp (4–5 hari)
Bootcamp intensif: shift-left, ancaman pemodelan, SAST/DAST/SCA/secret scanning, container & IaC scanning, SBOM, image signing, runtime security. Hands-on di pipeline latihan.
Supply-Chain Security Deep Dive
Workshop mendalam: SLSA framework levels 1–4, SBOM (CycloneDX/SPDX), in-toto attestation, cosign signing + verification policy, dan pembelajaran insiden SolarWinds/Log4Shell/XZ.
Pipeline Hardening & Policy as Code Workshop
Sesi konsultatif menerapkan SAST/SCA/DAST di pipeline nyata + policy as code (Open Policy Agent / Conftest) untuk break-build dan kontrol promote.
AppSec Champion & Maturity Berkala
Program berkala: jaringan AppSec champion, sesi tabletop, review temuan, dan asesmen ulang DSOMM untuk pendewasaan berkelanjutan.
Konsultasi Gratis
Diskusikan rencana DevSecOps tim engineering Anda
Mulai dari training needs analysis gratis: kami petakan stack, peran, posisi maturity OWASP DSOMM, dan kewajiban audit Anda, lalu susun proposal & estimasi anggaran berbasis kebutuhan nyata.
Kurikulum
Kerangka Kurikulum
Disusun dengan ADDIE; modul final dikurasi sesuai stack & posisi maturity dari TNA. Topik di bawah adalah cakupan penuh.
Perbandingan
Memilih Format Program
Matriks keputusan ringkas, rekomendasi final ditetapkan setelah training needs analysis.
| Aspek | DevSecOps Foundations Bootcamp | Supply-Chain Security Deep Dive | Pipeline Hardening & Policy as Code | AppSec Champion & Maturity Berkala |
|---|---|---|---|---|
| Tujuan utama | Fondasi shift-left tim | Kesiapan SLSA + SBOM + signing | Pipeline integrasi konsisten | Pendewasaan berkelanjutan |
| Peserta ideal | Tim baru memulai DevSecOps | Tim menghadapi tuntutan supply-chain | Tim sudah CI/CD, kurang integrasi | Multi-tim engineering & champion |
| Durasi tipikal | 4–5 hari intensif | 2–3 hari workshop | 1–2 minggu konsultatif | Bulanan / kuartalan |
| Output utama | Penguasaan dasar + lab | SBOM + signed image + playbook | Pipeline + policy as code | Champion + DSOMM naik |
| Kerangka inti | NIST SSDF + OWASP DSOMM dasar | SLSA + SBOM CycloneDX/SPDX | OPA Gatekeeper + ISO 27001 A.8.x | DSOMM siklus + Kirkpatrick |
Untuk Siapa
Untuk Siapa Program Ini?
Disusun per peran karena tantangan DevSecOps berbeda untuk developer vs AppSec vs operations.
Software Developer / Engineer
Tim yang menulis kode dan paling efektif memperbaiki kerentanan saat masih murah.
Tantangan umum
- SAST/SCA temuan menumpuk; tidak tahu prioritas; tidak ada bahasa bersama severity
- Secret tidak sengaja ter-commit; secret scan baru aktif setelah kejadian
- Threat modelling belum jadi bagian desain; kerentanan baru ditemukan saat audit / pen-test
Application Security (AppSec)
Tim yang mendukung developer agar postur keamanan terjaga.
Tantangan umum
- Sulit men-scale review aman ke puluhan tim; berfungsi sebagai bottleneck
- Belum ada jaringan AppSec champion di tim developer
- Belum punya maturity baseline (DSOMM) yang dapat dilaporkan ke pimpinan
DevOps / Build Engineer / SRE
Tim yang merancang pipeline CI/CD dan menjalankan runtime.
Tantangan umum
- Pipeline CI/CD belum integrasi SAST/SCA/DAST secara standar
- SBOM belum dihasilkan; image tidak signed; supply-chain attestation tidak ada
- Runtime security baru reaktif; tidak ada deteksi anomali kontainer
Security Engineer / Security Architect
Tim yang menetapkan policy keamanan dan menjaga posture organisasi.
Tantangan umum
- Pemetaan kontrol keamanan ke kerangka (NIST SSDF, ISO 27001:2022) belum formal
- Pembelajaran insiden besar (Log4Shell, SolarWinds, XZ) belum diterjemahkan ke playbook
- Belum ada policy as code yang dieksekusi otomatis di pipeline
CTO / VP Engineering / Head of Eng
Pemilik keputusan investasi DevSecOps dan akuntabilitas posture.
Tantangan umum
- Posisi maturity tidak diketahui; investasi keamanan tidak fokus
- Tidak ada KPI keamanan yang dapat dilaporkan ke direksi / regulator
- Audit ISO 27001 / POJK memunculkan temuan berulang
Konteks Industri
Penerapan per Industri
Satu use case spesifik per industri, menyebut alur kerja, regulasi, dan pola DevSecOps yang relevan.
Pipeline DevSecOps untuk layanan digital bank (internet banking, mobile, API channel) dengan SAST/SCA/DAST terintegrasi, SBOM untuk setiap build, image signed, dan bukti aktivitas keamanan yang dapat dipakai pemeriksaan OJK (POJK 11/POJK.03/2022, SEOJK 29/SEOJK.03/2022).
Lihat di konteks Perbankan & Jasa Keuangan →Platform DevSecOps untuk perusahaan teknologi tumbuh cepat, agar semua tim engineering deploy aman tanpa membuat AppSec menjadi bottleneck, dengan jaringan AppSec champion dan policy as code.
Lihat di konteks Teknologi & Startup →Standar DevSecOps holding lintas anak usaha BUMN dengan baseline keamanan seragam, SBOM standar, dan bukti pengembangan aman yang dapat dipakai SPI/BPK serta selaras AKHLAK 'Amanah & Kompeten'.
Lihat di konteks BUMN →Pengembangan aman aplikasi layanan publik digital (SPBE) dengan SBOM, signing, dan kontrol akses pipeline yang dapat dipertanggungjawabkan ke BSSN, Inspektorat, dan publik selaras UU PDP.
Lihat di konteks Pemerintahan & Sektor Publik →Pengembangan aman aplikasi rumah sakit (SIMRS, modul integrasi BPJS, modul rekam medis elektronik) dengan kontrol pipeline yang melindungi data pasien (UU PDP data spesifik) dan siap akreditasi KARS.
Lihat di konteks Kesehatan & Farmasi →DevSecOps untuk aplikasi korporat & sistem support operasi sektor energi (migas, kelistrikan) dengan kontrol batas OT/IT, agar perubahan aplikasi tidak menjadi vektor masuk ke sistem operasional kritis.
Lihat di konteks Energi & Sumber Daya →Metode Pengiriman
Cara Pelaksanaan
Format menyesuaikan sebaran tim engineering; semua format hands-on di pipeline latihan, bukan teori saja.
In-house intensif & workshop
Fasilitator datang ke kantor untuk bootcamp 4–5 hari; lab di repositori latihan + integrasi ke pipeline internal Anda (NDA berlaku).
Live online + lab terkelola
Kelas interaktif via Zoom/Teams; lab dijalankan di GitHub/GitLab sandbox + container registry latihan yang disediakan Neksus.
Hybrid
Tatap muka untuk modul konsultatif (pipeline hardening, policy as code), online untuk modul konsep & lab, cocok untuk tim multi-lokasi.
Alur Pelaksanaan
Alur Kerja Sama (Engagement Path)
Mengikuti ADDIE + NIST SSDF Prepare/Protect/Produce/Respond, durasi kualitatif, disesuaikan posisi DSOMM.
Training Needs Analysis & Posisi DSOMM
Pemetaan stack (GitHub/GitLab/Jenkins/Azure DevOps), peran, posisi OWASP DSOMM, ML… tooling SAST/SCA yang sudah dipakai, baseline pengukuran, dan kewajiban audit.
Tahap awalDesain Program per Peran (ADDIE)
Penyusunan tujuan pembelajaran terukur, silabus per peran (developer/AppSec/DevOps/security), skenario lab pipeline, dan peta kerangka ke NIST SSDF + ISO 27001.
Sebelum deliveryDevSecOps Foundations Bootcamp
Sesi inti 4–5 hari: shift-left, ancaman pemodelan, SAST/DAST/SCA/secret scan, container & IaC scanning, SBOM, image signing, runtime security. Hands-on di pipeline latihan.
Minggu intiPipeline Hardening & Policy as Code
Sesi konsultatif menerapkan SAST/SCA/DAST di pipeline tim + policy as code (OPA/Conftest/Kyverno) untuk break-build dan kontrol promote.
Bergulir per timSupply-Chain & SBOM Roll-out
Workshop SLSA levels 2-3 + SBOM (CycloneDX/SPDX) per build + image signing dengan cosign + admission policy verifying signature.
Bergulir per repositoriChampion, Tabletop & Evaluasi Berkala
Jaringan AppSec champion aktif, tabletop respons insiden supply-chain, asesmen ulang DSOMM, evaluasi Kirkpatrick L1–L4 (Phillips L5 bila diminta).
Berkala & berkelanjutanStudi Kasus
Pola Hasil Tipikal
Gambaran pola dampak berdasarkan struktur program serupa, ilustratif, tanpa nama klien atau angka yang dijanjikan. NIST SSDF, OWASP DSOMM, SLSA, dan insiden SolarWinds/Log4Shell/XZ diatribusikan sebagai sumber eksternal (NIST, OWASP Foundation, Linux Foundation OpenSSF, MITRE CVE).
Institusi keuangan dengan banyak repositori channel digital
Intervensi
Bootcamp + pipeline hardening + SBOM + image signing + champion network
Hasil
Bukti pengembangan aman per rilis tersedia; supply-chain dapat ditelusuri saat insiden CVE besar
Perusahaan teknologi dengan puluhan tim engineering
Intervensi
Maturity assessment OWASP DSOMM + paved-road pipeline + jaringan champion
Hasil
Posisi DSOMM naik konsisten, AppSec terpusat bergeser ke peran enabler, rilis tidak melambat
Instansi pemerintah penyelenggara SPBE
Intervensi
Bootcamp + workshop SBOM & secure SDLC + dokumentasi BSSN/SPBE
Hasil
Bukti pengembangan aman tersedia untuk Indeks SPBE; aplikasi layanan publik diperkuat secara terukur
Informasi Pengadaan
Informasi untuk Procurement & Vendor Management
Kelengkapan yang dibutuhkan tim pengadaan, keuangan, hukum, dan keamanan informasi.
PT berbadan hukum di bawah ekosistem Selestia (Eduprima group); NPWP & dokumen legal lengkap; siap PKS/kontrak dan proses vendor onboarding.
Proposal terstruktur: tujuan pembelajaran terukur, silabus per peran, peta kerangka (NIST SP 800-218 SSDF / OWASP DSOMM / SLSA / ISO 27001:2022 A.8.25-A.8.28 / POJK / UU PDP), profil fasilitator, jadwal, dan rincian biaya berbasis TNA.
Berbasis TNA, flat per program, per sesi, per peserta, tiered, atau custom. Estimasi diberikan setelah TNA disepakati.
Termin fleksibel (DP + pelunasan / termin per batch); faktur pajak (PPN) dan dukungan dokumen PO tersedia.
Terbiasa dengan tahapan pengadaan BUMN/instansi: dokumen vendor, e-procurement / SPSE, HPS/penawaran, dan klausul kepatuhan.
Laporan evaluasi Kirkpatrick Level 1–3 (kehadiran, asesmen pengetahuan, perilaku pipeline) + peta posisi OWASP DSOMM; Phillips ROI Level 5 atas permintaan keuangan/risiko.
Penandatanganan NDA, klausul kerahasiaan kode & konfigurasi pipeline yang dipakai sebagai studi kasus, dan praktik selaras UU PDP serta kebijakan keamanan internal Anda.
Pipeline reference, policy as code template, dan dokumen yang dibangun untuk perusahaan menjadi milik perusahaan; hak pakai materi pelatihan disepakati di kontrak.
FAQ
Pertanyaan Umum
Langkah Berikutnya
Diskusikan rencana DevSecOps tim engineering Anda
Mulai dari training needs analysis gratis: kami petakan stack, peran, posisi maturity OWASP DSOMM, dan kewajiban audit Anda, lalu susun proposal & estimasi anggaran berbasis kebutuhan nyata.
- Training needs analysis tanpa biaya, langkah pertama yang natural
- Proposal, silabus per peran, dan peta kerangka (NIST SSDF / OWASP DSOMM / SLSA / ISO 27001 / POJK) dalam beberapa hari kerja
- Lab di pipeline latihan; opsi integrasi ke pipeline internal non-produksi
- Dokumen siap procurement (company profile, NPWP, NDA, faktur PPN)
Diskusikan rencana DevSecOps tim engineering Anda
Mulai dari training needs analysis gratis: kami petakan stack, peran, posisi maturity OWASP DSOMM, dan kewajiban audit Anda, lalu susun proposal & estimasi anggaran berbasis kebutuhan nyata.
- Training needs analysis tanpa biaya, langkah pertama yang natural
- Proposal, silabus per peran, dan peta kerangka (NIST SSDF / OWASP DSOMM / SLSA / ISO 27001 / POJK) dalam beberapa hari kerja
- Lab di pipeline latihan; opsi integrasi ke pipeline internal non-produksi
- Dokumen siap procurement (company profile, NPWP, NDA, faktur PPN)