Apa yang Terjadi Ketika Penyerang Lebih Cepat Daripada Sistem Kesehatan Dapat Memasang Patch?

Sektor kesehatan telah lama menghadapi hambatan nyata dalam memperbaiki masalah keamanan: Tim keamanan rumah sakit mungkin dapat mengidentifikasi kerentanan pada sistem klinis dalam satu sore, namun pemasangan perbaikan secara aman biasanya terhambat oleh realitas praktis dari ritme harian rumah sakit yang serba cepat. Produsen perangkat mungkin perlu memvalidasi pembaruan, rumah sakit mungkin harus mengujinya dan menjadwalkan waktu henti, dan beberapa perubahan bahkan dapat memerlukan tinjauan regulatori.

Penyerang tidak menghadapi kendala tersebut. Dengan alat AI yang mempercepat pengintaian dan penelitian kerentanan serta pengembangan eksploit, proses remediasi di bidang kesehatan yang sudah tertekan kini menghadapi tekanan yang lebih besar.

Yang membuat masalah ini semakin menyakitkan adalah penundaan patch sering diperpanjang oleh ketergantungan pada vendor. Misalnya, perbaikan pada sistem MRI mungkin perlu divalidasi oleh vendor, namun biasanya masih harus disetujui oleh kontrol perubahan rumah sakit. Semua itu harus dilakukan tanpa mengganggu perawatan pasien.

Health-ISAC’s Frontier AI in the Health Sector report menyebut penundaan patch sebagai salah satu eksposur utama sektor. Ini meninggalkan satu cara yang dapat diambil rumah sakit: Mereka mungkin tidak dapat mengendalikan setiap bagian dari jadwal patch, tetapi dapat membatasi apa yang dapat dilakukan penyerang saat pembaruan sedang diterapkan.

Jadwal Patch Memiliki Batas Minimum untuk Alasan Tertentu

Banyak langkah dalam jadwal patch rumah sakit mungkin mengganggu para profesional keamanan informasi, namun langkah tersebut ada untuk memastikan keselamatan pasien. Tidak ada pembaruan yang belum diuji pada ventilator atau pompa infus yang bertujuan menutup risiko siber yang layak mengorbankan perawatan pasien. Oleh karena itu, solusinya adalah mempercepat bagian proses yang dapat dipercepat tanpa melemahkan protokol yang ada.

Auditor dan dewan cenderung menganggap jendela remediasi yang lama sebagai masalah kematangan program atau anggaran, dan kadang mereka benar. Biasanya, jadwal patch yang panjang merupakan gejala pelaksanaan yang lemah, kekurangan sumber daya, atau bottleneck di luar kendali tim keamanan. Lebih banyak analis dapat meningkatkan deteksi kerentanan, triase, dan prioritas, namun mereka tidak dapat mempersingkat jadwal produsen atau mengubah jendela waktu henti.

Dengan eksploitasi kerentanan menjadi cara paling umum penyerang mendapatkan akses ke jaringan target, Verizon 2026 Data Breach Investigations Report (DBIR) menunjukkan betapa sedikit ruang yang dimiliki organisasi untuk menerapkan patch. Waktu median untuk sepenuhnya memperbaiki kerentanan yang diketahui dieksploitasi naik menjadi 43 hari pada 2026 dari 32 hari tahun sebelumnya, sementara proporsi kerentanan yang sepenuhnya ditutup turun menjadi 26% dari 38%.

Fakta bahwa angka-angka ini tidak khusus untuk sektor kesehatan menunjukkan betapa sulitnya remediasi bahkan sebelum memperhitungkan kendala klinis dan vendor yang harus dikelola rumah sakit.

Sudah Saatnya Melihat Lebih Jauh dari Skor Keparahan

Sedangkan jendela remediasi menjadi lebih lama, penyerang menjadi lebih cepat. DBIR menemukan bahwa eksploitasi kerentanan kini menjadi cara utama peretas masuk ke sistem, dengan 31% pelanggaran, melampaui kredensial yang dicuri untuk pertama kalinya dalam 19 tahun laporan tersebut diterbitkan.

Verizon menyatakan AI telah membantu mempercepat penemuan dan eksploitasi kerentanan, sehingga apa yang dulu memakan berbulan-bulan kini dapat memakan jam atau hari. Dan itu terjadi sebelum generasi model frontier saat ini dirilis, karena dataset DBIR berakhir pada Oktober 2025.

Tetapi semua orang kini mengharapkan kecepatan semacam itu. Laporan Health-ISAC menyoroti hal yang lebih konsekuensial: model AI terbaru dapat menggabungkan temuan berkeparahan rendah menjadi jalur serangan kritis, mengidentifikasi kombinasi kelemahan yang tampak kurang penting secara terpisah. Hal ini menimbulkan masalah lain bagi program remediasi yang memprioritaskan skor keparahan, karena temuan berkeparahan rendah yang biasanya diabaikan atau ditunda dapat tiba-tiba menjadi sangat penting jika memengaruhi akses atau sistem kritis.

Penumpukan backlog yang semakin besar hanya memperburuk situasi. Dalam tulisan di Nature, direktur Max Planck Institute Thorsten Holz menggambarkan Mozilla menggunakan model frontier untuk menemukan dan memperbaiki 271 kerentanan dalam satu rilis Firefox, jauh melampaui apa yang dapat diungkapkan oleh alat dan reviewer yang ada dalam sebulan tipikal pada tahun sebelumnya.

Tekanan triase tersebut juga meluas ke sisi pasokan: Linus Torvalds, pemelihara kernel Linux, pada bulan Mei menunjukkan bahwa laporan bug yang dihasilkan oleh AI membebani para pemelihara.

Ketika Anda Tidak Dapat Memperbaiki Lebih Cepat, Perkecil Apa yang Dapat Dijangkau

Syukurlah, backlog yang tidak dapat dihilangkan masih dapat dikelola. Jika sebuah patch harus menunggu, prioritasnya adalah menurunkan kemungkinan kerentanan dapat dijangkau. Hal ini mengalihkan fokus dari kecepatan remediasi ke keterjangkauan, yang dapat dikendalikan rumah sakit.

Segmentasi dapat berfungsi sebagai penyeimbang yang kuat. Sebuah perangkat pencitraan dengan akses luas dapat menjangkau pengontrol domain, berbagi berkas, dan internet terbuka. Namun jika dibatasi pada segmen terisolasi yang mengizinkan lalu lintas ke server PACS dan titik pembaruan produsen, sambil menolak akses ke sisanya secara default, setiap kerentanan yang memengaruhi perangkat tersebut dapat tetap terkontrol selama berapa pun waktu yang dibutuhkan patch.

Jika persyaratan perangkat dan vendor mengizinkannya, rumah sakit dapat menggunakan segmentasi, kontrol egress, dan aturan deny-by-default untuk mempersempit bahkan menutup jalur akses selama patch masih ditunggu.

Rumah sakit tidak memerlukan inventaris aset lengkap sebelum mulai memperkecil permukaan yang terekspos. Hitung dulu sistem yang terhubung ke internet, pertahankan angka tersebut tetap terbaru seiring inventaris yang lebih luas terus berkembang, dan prioritaskan pembatasan apa yang dapat dijangkau sistem-sistem tersebut di dalam jaringan.

Data survei Health-ISAC menunjukkan industri sudah mulai bergerak ke arah tersebut. Sekitar 80% anggota Health-ISAC mengatakan mereka berencana meningkatkan anggaran untuk alat keamanan berbasis AI atau penilaian eksploitabilitas. Salah satu jalur yang mungkin berguna adalah menganalisis jalur serangan yang berlaku di lingkungan Anda sendiri: temukan kombinasi kerentanan berkeparahan rendah yang mungkin layak diperhatikan sebelum skor prioritas menarik perhatian Anda.

Pembicaraan dengan vendor juga harus melampaui bahasa dalam perjanjian tingkat layanan. Kontrak berisi apa yang Anda dan vendor Anda janjikan bertahun-tahun lalu, namun model ancaman telah berubah secara dramatis. Jadi pertama-tama identifikasi berapa lama patch yang divalidasi untuk kerentanan dapat dikeluarkan setelah pengungkapan publik, kemudian cari tahu langkah mitigasi apa yang tersedia sementara menunggu pembaruan. Layak juga menanyakan apakah mereka menguji produk mereka terhadap teknik serangan berbantuan AI saat ini.

Kelola Eksposur yang Tidak Dapat Anda Hapus

Sebagian besar organisasi tidak dapat menyebutkan berapa lama diperlukan untuk menjalankan perbaikan yang divalidasi di produksi setelah sebuah eksploit dipublikasikan. Fokuslah untuk memperoleh angka tersebut sehingga Anda dapat berhenti memperdebatkan jendela patch dan mulai memusatkan perhatian pada mengetahui vendor dan sistem mana yang tetap terekspos paling lama. Hal ini akan memungkinkan Anda menentukan apa yang harus diprioritaskan dalam upaya remediasi.

Berbagi informasi dapat secara signifikan memperpendek siklus keputusan tersebut. Beberapa keputusan remediasi tercepat yang pernah saya lihat terjadi ketika sebuah rumah sakit mendengar dari rekan tentang platform vendor yang dieksploitasi sebelum kerentanan dipublikasikan.

Jendela validasi itu sendiri tidak akan meluas. Rumah sakit akan terus menjalankan sistem klinis dengan kerentanan terbuka, yang berarti strategi segmentasi untuk sistem tersebut harus diberi prioritas lebih tinggi daripada jadwal patch. Setiap rumah sakit harus dapat menentukan, untuk setiap platform kritisnya, apa yang akan terjadi di jaringan jika platform tersebut disusupi besok.