Langsung ke konten
Sektor Perbankan & Jasa Keuangan

Jasa Pelatihan Keamanan Rilis Software untuk Sektor Perbankan & Jasa Keuangan

Bank di Indonesia mendapat tekanan ganda: kecepatan rilis layanan digital dan tuntutan keamanan dari OJK. POJK 11/POJK.03/2022 + SEOJK 29/SEOJK.03/2022 menuntut secure SDLC, pengelolaan kerentanan, dan ketahanan siber yang dapat dibuktikan. Tim engineering bank perlu DevSecOps yang menghasilkan bukti kerja keamanan setiap rilis: SAST/SCA terintegrasi, SBOM per build, image signed, dan dokumentasi siap audit.

  • 4,9/5 · 287 ulasan
  • 300+ klien nasional
  • 2.000+ trainer
  • 1 sampai ratusan peserta
  • Standar · Premium · Privat 1-on-1
Minta ProposalChat WhatsApp
format
In-house / online / hybrid
durasi
5 hari intensif per batch
peserta
10–20 per batch
bahasa
Indonesia / English

2.000+ trainer dan expert

Jaringan pengajar grup kami, dipilih per kebutuhan tim Anda.

Lihat dokumentasi kelas

Trainer Anda terlihat dulu

Profil, rekam jejak, dan bidang trainer dikirim bersama proposal, sebelum Anda memutuskan.

4,9 dari 5

287 ulasan peserta.

300+ klien nasional dan 180.000+ sesi pelatihan privat terselesaikan. Sebagian di antaranya: MPR RI, Akademi Militer Magelang, DPRD Provinsi Jawa Timur.

Satu orang sampai ratusan

Coaching privat untuk satu peserta, kelas satu tim, sampai beberapa angkatan sekaligus.

Tiga tingkat anggaran

  • Standar: kelas inti, materi disesuaikan pekerjaan peserta
  • Premium: trainer senior, rancangan materi lebih dalam
  • Privat 1-on-1: satu peserta, satu trainer, jadwal mengikuti peserta
Sebutkan anggaran Anda
Khusus Sektor Perbankan & Jasa Keuangan

Mengapa Keamanan dalam Proses Rilis Software berbeda di Perbankan & Jasa Keuangan

Bank di Indonesia mendapat tekanan ganda: kecepatan rilis layanan digital dan tuntutan keamanan dari OJK. POJK 11/POJK.03/2022 + SEOJK 29/SEOJK.03/2022 menuntut secure SDLC, pengelolaan kerentanan, dan ketahanan siber yang dapat dibuktikan. Tim engineering bank perlu DevSecOps yang menghasilkan bukti kerja keamanan setiap rilis: SAST/SCA terintegrasi, SBOM per build, image signed, dan dokumentasi siap audit.

KPI sektor
  • Cakupan repositori dengan SAST + SCA + secret scan aktif
    Mendekati seluruh repositori produksi
  • Waktu temuan kritis SCA → patch produksi
    Membaik signifikan setelah disiplin matang
  • Temuan pemeriksaan OJK terkait secure SDLC
    Tidak ada temuan material di periode berikutnya
Regulasi & standar relevan
  • POJK 11/POJK.03/2022 Manajemen Risiko Penggunaan TI oleh Bank Umum
  • SEOJK 29/SEOJK.03/2022 Ketahanan & Keamanan Siber Bank Umum
  • NIST SP 800-218 SSDF — kerangka pengembangan aman
  • OWASP ASVS 4.0 — requirement keamanan aplikasi
  • ISO/IEC 27001:2022 — A.8.25-A.8.28 secure development
  • UU PDP No. 27/2022 — data nasabah
Peran sasaran di Perbankan & Jasa Keuangan
  • CISO / Head of Information Security Bank
  • Head of AppSec
  • Head of DevOps / Platform
  • VP Engineering Digital Banking
  • Head of IT Risk
  • Head of Compliance
Hasil yang umum diminta di Perbankan & Jasa Keuangan
  • Pipeline bank menghasilkan bukti aktivitas keamanan setiap rilis
  • SBOM per build tersimpan; image signed; supply-chain dapat ditelusuri
  • Temuan SAST/SCA prioritas tinggi ditangani sebelum produksi (break-build policy)
  • Playbook respons insiden supply-chain (Log4Shell-like) siap digunakan
  • Bukti pengembangan aman dapat dilampirkan ke kertas kerja pemeriksaan OJK
Pertanyaan khas Perbankan & Jasa Keuangan
Bagaimana modul ini mendukung pemenuhan POJK 11/POJK.03/2022 untuk secure development?
Modul mengajarkan pemetaan aktivitas SDLC bank ke NIST SP 800-218 SSDF dan ISO/IEC 27001:2022 A.8.25-A.8.28, menghasilkan bukti kerja yang dapat dilampirkan ke kertas kerja SKAI saat pemeriksaan OJK.
Bagaimana modul menangani insiden supply-chain seperti Log4Shell?
Modul khusus mengulas pembelajaran Log4Shell (CVE-2021-44228) dan SolarWinds: SBOM yang ada saat insiden mempercepat identifikasi dampak. Bank yang punya SBOM dapat menjawab 'aplikasi mana yang terpengaruh?' dalam hitungan jam. Modul melatih membangun kemampuan ini.
Apakah materi mengulas penanganan kerentanan kritis di luar jam kerja?
Ya. Modul incident response mengulas NIST SP 800-61 Rev 3 (2024), on-call & escalation, tabletop exercise, dan komunikasi ke direksi/regulator saat insiden kritis muncul di luar jam kerja.

Jawaban Singkat

Pelatihan DevSecOps Foundations adalah program in-house yang membekali tim engineering, AppSec, dan operations menyatukan keamanan ke CI/CD, shift-left, SAST/DAST/SCA, SBOM, image signing, supply-chain, dipandu NIST SP 800-218 SSDF, OWASP DevSecOps Maturity Model (DSOMM), dan SLSA framework agar rilis cepat dan posture tetap terjaga.

Konsultasi Gratis

Dipandu kerangka DevSecOps yang diakui industri

Materi mengikuti NIST SP 800-218 Secure Software Development Framework (2022), OWASP DevSecOps Maturity Model (DSOMM), SLSA framework levels 1–4, OWASP ASVS 4.0, dan ISO/IEC 27001:2022 A.8.25–A.8.28 (secure development), kerangka yang dirujuk auditor & regulator global.

Pembelajaran Log4Shell, SolarWinds, XZ: supply-chain itu nyata

Log4Shell (CVE-2021-44228) di Desember 2021 memukul ribuan organisasi karena library Java sangat luas dipakai. SolarWinds (2020) mengkompromikan build pipeline vendor terpercaya. XZ Utils backdoor (CVE-2024-3094) menunjukkan social engineering jangka panjang ke maintainer. Tanpa SBOM, image signing, dan disiplin supply-chain, organisasi merespons insiden ini dalam hitungan minggu.

Pola adopsi sehat: paved-road + jaringan champion

Adopsi DevSecOps yang berhasil di banyak tim biasanya berbasis paved-road yang dikurasi AppSec/Platform (SAST/SCA default, image signing default) + jaringan AppSec champion di setiap tim engineering. AppSec terpusat bergeser dari bottleneck reviewer menjadi enabler & escalation.

Klien & Dokumentasi

Sebagian institusi yang sudah kami latih

Foto dari sesi yang sudah berjalan, dengan nama institusinya tertulis apa adanya.

Lihat dokumentasi kelas (123 foto)

Keamanan dalam Proses Rilis Software

DevSecOps adalah praktik menyatukan keamanan ke dalam siklus DevOps sejak fase paling awal (shift-left), mulai dari ancaman pemodelan, SAST/DAST/SCA, secret scanning, container & IaC scanning, SBOM, image signing, sampai runtime security, dipetakan ke NIST SP 800-218 Secure Software Development Framework (SSDF), OWASP DevSecOps Maturity Model (DSOMM), dan SLSA framework level 1–4, sehingga tim rilis cepat tanpa mengorbankan postur keamanan yang dapat diaudit.

1Disusun lewat training needs analysis (TNA): peran (developer, AppSec, DevOps, SRE, security), stack, dan posisi maturity DSOMM
2Dipetakan eksplisit ke NIST SP 800-218 SSDF (Prepare/Protect/Produce/Respond) dan SLSA framework levels 1–4
3Pendekatan shift-left konkret: ancaman pemodelan + SAST + SCA di pipeline dev, DAST di staging, runtime di produksi
4Pengelolaan rantai pasok perangkat lunak: SBOM (CycloneDX / SPDX), image signing (cosign / Sigstore), provenance attestation
5Pembelajaran insiden besar: SolarWinds (2020), Log4Shell (CVE-2021-44228), XZ Utils backdoor (CVE-2024-3094)
6Selaras kewajiban audit: ISO/IEC 27001:2022 (A.8.25-A.8.28 secure development), POJK 11/POJK.03/2022 (bank), UU PDP No. 27/2022
7Rujukan yang kami pakai: NIST SP 800-218 SSDF, OWASP DevSecOps Maturity Model (DSOMM), dan kerangka SLSA untuk mengamankan rantai pasok perangkat lunak.

Hasil Terukur

Hasil yang Diharapkan

Indikator dipetakan ke level Kirkpatrick dan OWASP DSOMM maturity, target kualitatif, ditetapkan saat TNA terhadap baseline tim.

Disiplin keamanan dipahami satu tim
Mayoritas peserta lulus asesmen shift-left, ancaman pemodelan dasar, dan alur SAST/DAST/SCA/SBOM. Dinilai lewat asesmen alur pemeriksaan keamanan di akhir kelas (Kirkpatrick L2).
Pipeline rilis terbukti aman
CI/CD tim mengintegrasikan SAST + SCA + secret scanning, dengan policy break-build untuk severity tinggi. Terlihat pada pipeline milik tim yang dijalankan ulang bersama (Kirkpatrick L3).
Daftar komponen dan buktinya tersedia
Build menghasilkan SBOM (CycloneDX/SPDX) tersimpan, image signed via cosign, dan provenance attestation tersedia.
Posisi kematangan tim terukur
Tim memetakan posisi awal pada dimensi DSOMM (Build & Deployment, Culture & Org, Implementation, Information Gathering, Test & Verification) dan menyusun roadmap menutup gap.
Praktik pengembangan selaras acuan resmi
Aktivitas pengembangan tim dipetakan ke 4 grup SSDF (Prepare Organization, Protect Software, Produce Well-Secured Software, Respond to Vulnerabilities).
Siap menghadapi audit dan insiden
Bukti aktivitas keamanan terdokumentasi untuk audit ISO 27001, dan playbook respons insiden supply-chain tersedia.

Format Program

Pilihan Format Program

Dipilih sesuai posisi maturity DSOMM tim, final ditetapkan setelah TNA. Satu tim engineering sudah sanggup menata pipeline pertamanya dalam lima hari itu. Organisasi dengan banyak tim biasanya menyambungnya lewat program dua hingga tiga bulan supaya polanya menyebar dan kebiasaan barunya terjaga.

1

DevSecOps Foundations Bootcamp (4–5 hari)

Bootcamp intensif: shift-left, ancaman pemodelan, SAST/DAST/SCA/secret scanning, container & IaC scanning, SBOM, image signing, runtime security. Hands-on di pipeline latihan.

Cocok untuk: Tim baru memulai DevSecOps secara serius (posisi DSOMM awal)
2

Supply-Chain Security Deep Dive

Workshop mendalam: SLSA framework levels 1–4, SBOM (CycloneDX/SPDX), in-toto attestation, cosign signing + verification policy, dan pembelajaran insiden SolarWinds/Log4Shell/XZ.

Cocok untuk: Tim yang menghadapi tuntutan supply-chain (regulator, klien enterprise, executive order setara)
3

Pipeline Hardening & Policy as Code Workshop

Sesi konsultatif menerapkan SAST/SCA/DAST di pipeline nyata + policy as code (Open Policy Agent / Conftest) untuk break-build dan kontrol promote.

Cocok untuk: Tim yang sudah punya CI/CD tapi keamanan belum integrasi konsisten
4

AppSec Champion & Maturity Berkala

Program berkala: jaringan AppSec champion, sesi tabletop, review temuan, dan asesmen ulang DSOMM untuk pendewasaan berkelanjutan.

Cocok untuk: Organisasi multi-tim engineering yang ingin mempertahankan momentum

Konsultasi Gratis

Diskusikan rencana DevSecOps tim engineering Anda

Kami petakan stack, peran, posisi maturity OWASP DSOMM, dan kewajiban audit Anda, lalu susun proposal & estimasi anggaran berbasis kebutuhan nyata.

Minta Proposal

Kurikulum

Kerangka Kurikulum

Disusun dengan ADDIE; modul final dikurasi sesuai stack & posisi maturity dari TNA. Topik di bawah adalah cakupan penuh.

  • Definisi DevSecOps: integrasi keamanan ke siklus DevOps sejak desain (shift-left)
  • Biaya defect berlipat saat ditemukan terlambat, alasan ekonomi shift-left
  • NIST SP 800-218 SSDF: 4 grup PO/PS/PW/RV; selaras dengan rilis SSDF tahun 2022
  • OWASP DevSecOps Maturity Model (DSOMM): 5 dimensi & 4 maturity level
  • Tooling matang: SAST (Semgrep, SonarQube), SCA (Snyk, Dependabot), DAST (OWASP ZAP), secret scan (Gitleaks, TruffleHog)

  • Threat modelling: STRIDE, PASTA, LINDDUN; kapan masing-masing relevan
  • Architecture review: data flow diagram, trust boundary, abuse case
  • Secure design pattern: defense in depth, least privilege, secure defaults
  • OWASP Application Security Verification Standard (ASVS) 4.0 sebagai requirement keamanan
  • Privacy by design selaras UU PDP No. 27/2022 dan DPIA

  • SAST: prinsip taint analysis & data flow; tooling (Semgrep, SonarQube, Checkmarx)
  • Integrasi SAST ke pre-commit, PR check, dan break-build policy
  • DAST: pengujian aplikasi berjalan; OWASP ZAP, Burp Suite di pipeline & manual
  • IAST & RASP: kapan masuk akal sebagai pelengkap
  • OWASP Top 10 2021 sebagai checklist temuan + bahasa diskusi developer

  • SCA: deteksi kerentanan dependency open-source (Snyk, Dependabot, Renovate)
  • SBOM: format CycloneDX & SPDX; menghasilkan saat build (syft, trivy)
  • Image signing & verification: cosign + Sigstore, policy admission (Kyverno/Gatekeeper)
  • SLSA framework: levels 1–4 untuk integritas build pipeline
  • Pembelajaran insiden: SolarWinds (2020), Log4Shell CVE-2021-44228 (Desember 2021), XZ Utils backdoor CVE-2024-3094 (2024)

  • Container security: image scanning (Trivy, Grype), base image minimal (distroless), root vs non-root
  • IaC scanning: Checkov, tfsec, KICS untuk Terraform / CloudFormation / ARM / Bicep
  • Kubernetes manifest scanning + admission policy (Gatekeeper / Kyverno)
  • Secret management: External Secrets + Vault / AWS Secrets Manager / Azure Key Vault / GCP Secret Manager
  • Cloud security posture management (CSPM): AWS Security Hub / Defender for Cloud / SCC

  • Runtime detection: Falco, eBPF dasar; deteksi anomali kontainer
  • Logging & audit: cloud audit log, Kubernetes audit log, terpusat ke SIEM
  • Incident response: NIST SP 800-61 Rev 3 (2024) IR framework; tabletop exercise
  • Bug bounty & responsible disclosure: program internal vs platform (HackerOne, Bugcrowd)
  • Pembelajaran insiden internal: post-mortem blameless yang dapat dipakai untuk pendewasaan

  • Pemetaan ke ISO/IEC 27001:2022: A.8.25 secure development life cycle, A.8.26 application security requirements, A.8.27 secure system architecture, A.8.28 secure coding
  • Pemetaan ke POJK 11/POJK.03/2022 dan SEOJK 29/SEOJK.03/2022 untuk bank
  • UU PDP No. 27/2022 untuk aplikasi yang memproses data pribadi
  • Asesmen OWASP DSOMM dan roadmap menutup gap per dimensi
  • Policy as code: Open Policy Agent (OPA), Conftest, Kyverno untuk break-build & promote

Perbandingan

Memilih Format Program

Matriks keputusan ringkas, rekomendasi final ditetapkan setelah training needs analysis.

AspekDevSecOps Foundations BootcampSupply-Chain Security Deep DivePipeline Hardening & Policy as CodeAppSec Champion & Maturity Berkala
Tujuan utamaFondasi shift-left timKesiapan SLSA + SBOM + signingPipeline integrasi konsistenPendewasaan berkelanjutan
Peserta idealTim baru memulai DevSecOpsTim menghadapi tuntutan supply-chainTim sudah CI/CD, kurang integrasiMulti-tim engineering & champion
Durasi tipikal4–5 hari intensif2–3 hari workshop1–2 minggu konsultatifBulanan / kuartalan
Output utamaPenguasaan dasar + labSBOM + signed image + playbookPipeline + policy as codeChampion + DSOMM naik
Kerangka intiNIST SSDF + OWASP DSOMM dasarSLSA + SBOM CycloneDX/SPDXOPA Gatekeeper + ISO 27001 A.8.xDSOMM siklus + Kirkpatrick

Untuk Siapa

Untuk Siapa Program Ini?

Disusun per peran karena tantangan DevSecOps berbeda untuk developer vs AppSec vs operations.

Software Developer / Engineer

Tim yang menulis kode dan paling efektif memperbaiki kerentanan saat masih murah.

Tantangan umum

  • SAST/SCA temuan menumpuk; tidak tahu prioritas; tidak ada bahasa bersama severity
  • Secret tidak sengaja ter-commit; secret scan baru aktif setelah kejadian
  • Threat modelling belum jadi bagian desain; kerentanan baru ditemukan saat audit / pen-test

Application Security (AppSec)

Tim yang mendukung developer agar postur keamanan terjaga.

Tantangan umum

  • Sulit men-scale review aman ke puluhan tim; berfungsi sebagai bottleneck
  • Belum ada jaringan AppSec champion di tim developer
  • Belum punya maturity baseline (DSOMM) yang dapat dilaporkan ke pimpinan

DevOps / Build Engineer / SRE

Tim yang merancang pipeline CI/CD dan menjalankan runtime.

Tantangan umum

  • Pipeline CI/CD belum integrasi SAST/SCA/DAST secara standar
  • SBOM belum dihasilkan; image tidak signed; supply-chain attestation tidak ada
  • Runtime security baru reaktif; tidak ada deteksi anomali kontainer

Security Engineer / Security Architect

Tim yang menetapkan policy keamanan dan menjaga posture organisasi.

Tantangan umum

  • Pemetaan kontrol keamanan ke kerangka (NIST SSDF, ISO 27001:2022) belum formal
  • Pembelajaran insiden besar (Log4Shell, SolarWinds, XZ) belum diterjemahkan ke playbook
  • Belum ada policy as code yang dieksekusi otomatis di pipeline

CTO / VP Engineering / Head of Eng

Pemilik keputusan investasi DevSecOps dan akuntabilitas posture.

Tantangan umum

  • Posisi maturity tidak diketahui; investasi keamanan tidak fokus
  • Tidak ada KPI keamanan yang dapat dilaporkan ke direksi / regulator
  • Audit ISO 27001 / POJK memunculkan temuan berulang

Konteks Industri

Penerapan per Industri

Satu use case spesifik per industri, menyebut alur kerja, regulasi, dan pola DevSecOps yang relevan.

Perbankan & Jasa Keuangan

Pipeline DevSecOps untuk layanan digital bank (internet banking, mobile, API channel) dengan SAST/SCA/DAST terintegrasi, SBOM untuk setiap build, image signed, dan bukti aktivitas keamanan yang dapat dipakai pemeriksaan OJK (POJK 11/POJK.03/2022, SEOJK 29/SEOJK.03/2022).

Teknologi & Startup

Platform DevSecOps untuk perusahaan teknologi tumbuh cepat, agar semua tim engineering deploy aman tanpa membuat AppSec menjadi bottleneck, dengan jaringan AppSec champion dan policy as code.

Lihat di konteks Teknologi & Startup →
BUMN

Standar DevSecOps holding lintas anak usaha BUMN dengan baseline keamanan seragam, SBOM standar, dan bukti pengembangan aman yang dapat dipakai SPI/BPK serta selaras AKHLAK 'Amanah & Kompeten'.

Lihat di konteks BUMN →
Pemerintahan & Sektor Publik

Pengembangan aman aplikasi layanan publik digital (SPBE) dengan SBOM, signing, dan kontrol akses pipeline yang dapat dipertanggungjawabkan ke BSSN, Inspektorat, dan publik selaras UU PDP.

Lihat di konteks Pemerintahan & Sektor Publik →
Kesehatan & Farmasi

Pengembangan aman aplikasi rumah sakit (SIMRS, modul integrasi BPJS, modul rekam medis elektronik) dengan kontrol pipeline yang melindungi data pasien (UU PDP data spesifik) dan siap akreditasi KARS.

Lihat di konteks Kesehatan & Farmasi →
Energi & Sumber Daya

DevSecOps untuk aplikasi korporat & sistem support operasi sektor energi (migas, kelistrikan) dengan kontrol batas OT/IT, agar perubahan aplikasi tidak menjadi vektor masuk ke sistem operasional kritis.

Lihat di konteks Energi & Sumber Daya →

Metode Pengiriman

Cara Pelaksanaan

Format menyesuaikan sebaran tim engineering; semua format hands-on di pipeline latihan.

In-house intensif & workshop

Fasilitator datang ke kantor untuk bootcamp 4–5 hari; lab di repositori latihan + integrasi ke pipeline internal Anda (NDA berlaku).

Live online + lab terkelola

Kelas interaktif via Zoom/Teams; lab dijalankan di GitHub/GitLab sandbox + container registry latihan yang disediakan Neksus.

Hybrid

Tatap muka untuk modul konsultatif (pipeline hardening, policy as code), online untuk modul konsep & lab, cocok untuk tim multi-lokasi.

Jadwal disusun mengikuti kalender release & on-call tim
Materi & lab dilokalkan ke stack yang dipakai (GitHub Actions / GitLab CI / Jenkins / Azure DevOps)
Repositori latihan disediakan; opsi integrasi ke repo internal non-produksi tersedia
Sertifikat keikutsertaan + peta posisi terhadap OWASP DSOMM
Laporan evaluasi & rekomendasi prioritas untuk pimpinan keamanan / engineering

Alur Pelaksanaan

Alur Kerja Sama (Engagement Path)

Mengikuti ADDIE + NIST SSDF Prepare/Protect/Produce/Respond, durasi kualitatif, disesuaikan posisi DSOMM.

1

Training Needs Analysis & Posisi DSOMM

Pemetaan stack (GitHub/GitLab/Jenkins/Azure DevOps), peran, posisi OWASP DSOMM, ML… tooling SAST/SCA yang sudah dipakai, baseline pengukuran, dan kewajiban audit.

Tahap awal
2

Desain Program per Peran (ADDIE)

Penyusunan tujuan pembelajaran terukur, silabus per peran (developer/AppSec/DevOps/security), skenario lab pipeline, dan peta kerangka ke NIST SSDF + ISO 27001.

Sebelum delivery
3

DevSecOps Foundations Bootcamp

Sesi inti 4–5 hari: shift-left, ancaman pemodelan, SAST/DAST/SCA/secret scan, container & IaC scanning, SBOM, image signing, runtime security. Hands-on di pipeline latihan.

Minggu inti
4

Pipeline Hardening & Policy as Code

Sesi konsultatif menerapkan SAST/SCA/DAST di pipeline tim + policy as code (OPA/Conftest/Kyverno) untuk break-build dan kontrol promote.

Bergulir per tim
5

Supply-Chain & SBOM Roll-out

Workshop SLSA levels 2-3 + SBOM (CycloneDX/SPDX) per build + image signing dengan cosign + admission policy verifying signature.

Bergulir per repositori
6

Champion, Tabletop & Evaluasi Berkala

Jaringan AppSec champion aktif, tabletop respons insiden supply-chain, asesmen ulang DSOMM, evaluasi Kirkpatrick L1–L4 (Phillips L5 bila diminta).

Berkala & berkelanjutan

Studi Kasus

Pola Hasil Tipikal

Gambaran pola dampak berdasarkan struktur program serupa, ilustratif, tanpa nama klien atau angka yang dijanjikan. NIST SSDF, OWASP DSOMM, SLSA, dan insiden SolarWinds/Log4Shell/XZ diatribusikan sebagai sumber eksternal (NIST, OWASP Foundation, Linux Foundation OpenSSF, MITRE CVE).

Institusi keuangan dengan banyak repositori channel digital

Intervensi

Bootcamp + pipeline hardening + SBOM + image signing + champion network

Hasil

Bukti pengembangan aman per rilis tersedia; supply-chain dapat ditelusuri saat insiden CVE besar

Perusahaan teknologi dengan puluhan tim engineering

Intervensi

Maturity assessment OWASP DSOMM + paved-road pipeline + jaringan champion

Hasil

Posisi DSOMM naik konsisten, AppSec terpusat bergeser ke peran enabler, rilis tidak melambat

Instansi pemerintah penyelenggara SPBE

Intervensi

Bootcamp + workshop SBOM & secure SDLC + dokumentasi BSSN/SPBE

Hasil

Bukti pengembangan aman tersedia untuk Indeks SPBE; aplikasi layanan publik diperkuat secara terukur

Informasi Pengadaan

Informasi untuk Procurement & Vendor Management

Kelengkapan yang dibutuhkan tim pengadaan, keuangan, hukum, dan keamanan informasi.

Penawaran

Proposal terstruktur: tujuan pembelajaran terukur, silabus per peran, peta kerangka (NIST SP 800-218 SSDF / OWASP DSOMM / SLSA / ISO 27001:2022 A.8.25-A.8.28 / POJK / UU PDP), profil fasilitator, jadwal, dan rincian biaya berbasis TNA.

Model harga

Berbasis TNA, flat per program, per sesi, per peserta, tiered, atau custom. Estimasi diberikan setelah TNA disepakati.

Pembayaran & pajak

Termin fleksibel (DP + pelunasan / termin per batch); faktur pajak (PPN) dan dukungan dokumen PO tersedia.

Proses BUMN/pemerintah

Terbiasa dengan tahapan pengadaan BUMN/instansi: dokumen vendor, e-procurement / SPSE, HPS/penawaran, dan klausul kepatuhan.

Pengukuran

Laporan evaluasi Kirkpatrick Level 1–3 (kehadiran, asesmen pengetahuan, perilaku pipeline) + peta posisi OWASP DSOMM; Phillips ROI Level 5 atas permintaan keuangan/risiko.

Kerahasiaan & keamanan data

Penandatanganan NDA, klausul kerahasiaan kode & konfigurasi pipeline yang dipakai sebagai studi kasus, dan praktik selaras UU PDP serta kebijakan keamanan internal Anda.

Kepemilikan materi

Pipeline reference, policy as code template, dan dokumen yang dibangun untuk perusahaan menjadi milik perusahaan; hak pakai materi pelatihan disepakati di kontrak.

FAQ

Pertanyaan Umum

DevOps berfokus pada kecepatan pengiriman software (kode → produksi). DevSecOps menambahkan keamanan secara sengaja ke seluruh siklus DevOps (shift-left): threat modelling sejak desain, SAST/SCA di pipeline, DAST di staging, runtime security di produksi, dan tata kelola yang dapat diaudit. Tujuannya: kecepatan tetap tinggi, postur keamanan tidak menjadi korban.

NIST SP 800-218 Secure Software Development Framework (SSDF) adalah kerangka praktik pengembangan aman yang dirilis NIST sejak 2022. 4 grupnya (Prepare the Organization / Protect the Software / Produce Well-Secured Software / Respond to Vulnerabilities) telah menjadi rujukan global, termasuk persyaratan US Executive Order 14028. Korporat Indonesia memakainya karena auditor (ISO 27001, SOC 2, OJK) makin menanyakan kepatuhan ke SSDF sebagai standar emas SDLC aman.

DSOMM adalah model maturity OWASP yang menilai posisi organisasi pada 5 dimensi (Build & Deployment, Culture & Org, Implementation, Information Gathering, Test & Verification) dengan 4 level maturity. Kami pakai sebagai bahasa bersama posisi awal, target, dan roadmap menutup gap antar siklus tahunan.

SLSA (Supply-chain Levels for Software Artifacts) adalah kerangka OpenSSF untuk integritas build pipeline, dengan 4 level: 1 (dokumentasi build), 2 (versioned source, hosted build, provenance), 3 (hardened build platform, non-falsifiable provenance), 4 (hermetic, two-party review). Mayoritas korporat menargetkan level 2-3 dalam 1-2 tahun. Level 4 untuk konteks dengan tuntutan tinggi (defense, kripto, infra kritis).

SBOM (Software Bill of Materials) adalah daftar lengkap komponen & dependency dalam software, dengan format umum CycloneDX (OWASP) dan SPDX (Linux Foundation). Saat insiden besar (Log4Shell, XZ Utils), organisasi yang memiliki SBOM dapat menjawab 'aplikasi mana yang terpengaruh?' dalam jam. Tanpa SBOM, jawabannya bisa berhari-hari atau minggu. Untuk korporat dengan banyak aplikasi, SBOM standar per rilis adalah investasi yang lunas saat insiden pertama.

Kombinasi SAST + SCA + DAST + secret scanning + container/IaC scanning mencakup mayoritas vektor di kebanyakan korporat. Lapisan tambahan (IAST/RASP, fuzzing) masuk akal untuk produk berisiko tinggi atau matang. Yang sering luput: secret scanning yang menyisir seluruh history commit sampai yang paling awal, runtime detection (Falco) untuk anomali kontainer, dan SBOM yang dipakai aktif saat respons insiden.

Tanpa DevSecOps, AppSec berfungsi sebagai gatekeeper yang menjadi bottleneck. Dengan DevSecOps, AppSec bergeser jadi enabler: mengkurasi paved-road pipeline, melatih jaringan champion di tim developer, dan menjalankan policy as code yang otomatis. Hasilnya: tim engineering dapat tetap cepat, AppSec dapat fokus ke pekerjaan yang benar-benar butuh keahlian (threat modelling, review arsitektur).

Log4Shell (CVE-2021-44228, Desember 2021), kerentanan supply-chain di library Java yang dipakai di mana-mana; SBOM penting untuk respons cepat. SolarWinds (2020), kompromi build pipeline software vendor terpercaya; signing & provenance penting. XZ Utils backdoor (CVE-2024-3094, 2024), social engineering jangka panjang ke maintainer; menunjukkan supply-chain risk meluas ke dimensi manusia. Modul menerjemahkan pelajaran ke kontrol konkret.

Bootcamp 4–5 hari untuk fondasi + workshop 2–3 hari untuk satu aliran kerja nyata. Untuk transformasi yang lebih dalam, program bertahap 2–3 bulan: bootcamp → hardening pipeline → SBOM + signing → champion network → maturity assessment. Ukuran batch ideal 10–20 peserta agar lab efektif.

Kami memakai Kirkpatrick: Level 1 (reaksi), Level 2 (pengetahuan via asesmen), Level 3 (perilaku, pipeline & policy yang dijalankan), Level 4 (hasil, cakupan tooling, posisi DSOMM, MTTR temuan kritis, SBOM coverage, kesiapan audit). Phillips ROI Level 5 atas permintaan keuangan dengan estimasi penghindaran insiden supply-chain dan biaya audit. Baseline ditetapkan saat TNA.

Kedalaman praktiknya menentukan paling dulu, sebab berlatih di pipeline milik tim Anda menuntut penyiapan lingkungan, akses repositori, dan izin alat pemindai sebelum kelas dibuka. Lapisan peserta menyusul, karena engineer, tim keamanan aplikasi, dan tim operasi mengambil sudut pandang berbeda pada alur yang sama. Menyusul kemudian banyaknya engineer yang ikut, jumlah gelombang, banyaknya pertemuan, lalu apakah cukup di kelas atau diteruskan jadi pendampingan penataan pipeline, serta kelas yang berjalan di kantor Anda atau daring dan kota penyelenggaraan. Angkanya keluar sesudah training needs analysis tanpa pungutan kami kerjakan lebih dulu.

Satu gelombang kami isi 10 hingga 20 engineer, karena itu dua puluhan orang masih muat, dan lima hari penuh mencakup praktik sejak kode ditulis sampai artefak dikirim. Yang kerap memperpanjang persiapan adalah lingkungan latihannya: repositori, pipeline contoh, dan izin alat pemindai perlu siap sebelum hari pertama. Bila tim Anda lebih dari satu squad, menyebarkan polanya ke semua squad umumnya menempuh program bertahap beberapa bulan sesudah kelas.

Bisa ditukar. Kelas engineering cepat terasa hambar kalau pembawanya asing dengan perkakas yang dipakai tim Anda sehari-hari. Kabari koordinator program, maka instruktur keamanan aplikasi lain yang sudah tervalidasi kami kirim ke kelas. Modul lab, konfigurasi pipeline latihan, dan kemajuan tiap tim ada di sistem operasi kami, karena itu kelas berlanjut tanpa menyiapkan ulang lingkungannya.

Langkah Berikutnya

Diskusikan rencana DevSecOps tim engineering Anda

Kami petakan stack, peran, posisi maturity OWASP DSOMM, dan kewajiban audit Anda, lalu susun proposal & estimasi anggaran berbasis kebutuhan nyata.

  • Proposal, silabus per peran, dan peta kerangka (NIST SSDF / OWASP DSOMM / SLSA / ISO 27001 / POJK)
  • Lab di pipeline latihan; opsi integrasi ke pipeline internal non-produksi
  • Dokumen siap procurement (company profile, NPWP, NDA, faktur PPN)
Minta ProposalKonsultasi Gratis

Jelajahi Lebih Lanjut

Topik Terkait

Pelatihan Cloud ComputingPelatihan Docker Dan KubernetesPelatihan Mlops Production Ai EngineeringKeamanan Siber Kesadaran KaryawanAgile Scrum Tim Produk

Pelatihan Keamanan dalam Proses Rilis Software untuk tim Perbankan & Jasa Keuangan Anda

Kami petakan stack, peran, posisi maturity OWASP DSOMM, dan kewajiban audit Anda, lalu susun proposal & estimasi anggaran berbasis kebutuhan nyata.

  • Proposal, silabus per peran, dan peta kerangka (NIST SSDF / OWASP DSOMM / SLSA / ISO 27001 / POJK)
  • Lab di pipeline latihan; opsi integrasi ke pipeline internal non-produksi
  • Dokumen siap procurement (company profile, NPWP, NDA, faktur PPN)

Enam isian saja untuk memulai. Tim korporat kami yang membaca dan membalasnya.

Detail tambahan (opsional)

Isi kalau sudah ada gambarannya. Semua isian di bagian ini boleh dilewati, dan tim kami akan menanyakannya saat sesi analisa kebutuhan.