Supply Chain Security GRC & Risk Management 18 Desember 2025 10 menit baca

Ancaman dari Dalam Rantai Pasok: Mengapa Third Party Risk Management Jadi Kunci Keamanan Siber 2025

Tahun 2025 menandai era baru dalam lanskap ancaman siber—di mana serangan tidak lagi hanya menargetkan pertahanan digital organisasi secara langsung, melainkan mengeksploitasi titik terlemah dalam rantai pasok digital: vendor, mitra bisnis, dan penyedia layanan pihak ketiga.

Data menunjukkan bahwa lebih dari 60% insiden keamanan siber di tahun 2025 melibatkan kompromi terhadap third-party vendors, software supply chain, atau managed service providers (MSP). Organisasi dengan sistem keamanan internal yang kuat tetap menjadi korban—karena penyerang menemukan pintu masuk melalui ekosistem mitra yang kurang terlindungi.

Dari insiden paket open-source yang terinfeksi malware hingga kompromi platform SaaS yang digunakan ribuan perusahaan, supply chain attack bukan lagi skenario teoretis—ia adalah realitas yang mengancam operasional bisnis global setiap hari. Yang lebih mengkhawatirkan: banyak organisasi bahkan tidak menyadari seberapa luas eksposur mereka terhadap risiko pihak ketiga.

Fakta Krusial: Studi terbaru menunjukkan bahwa organisasi enterprise rata-rata memiliki lebih dari 400+ vendor aktif dengan akses ke sistem, data, atau infrastruktur kritis—namun hanya 35% yang memiliki program Third Party Risk Management (TPRM) yang komprehensif.

Blue digital security key with head up display (HUD UI) and circuit panel futuristic abstract background network firewall technology and data secure

KRES GRC & Risk Advisory Team

Enterprise Security & Compliance Experts

Risk Management
CISO, Risk Officers, Procurement
Fundamental

Apa Itu Third Party Risk Management (TPRM)?

Definisi TPRM

Third Party Risk Management (TPRM) adalah proses sistematis untuk mengidentifikasi, menilai, memitigasi, dan memonitor risiko yang muncul dari hubungan bisnis dengan pihak ketiga—termasuk vendor, supplier, kontraktor, mitra bisnis, dan penyedia layanan eksternal.

TPRM mencakup evaluasi menyeluruh terhadap keamanan siber, compliance, operasional, finansial, reputasi, dan risiko hukum yang dapat berdampak pada organisasi melalui ekosistem pihak ketiga.

Mengapa TPRM Penting di Era Digital?

Ketergantungan pada Ekosistem Digital

Organisasi modern bergantung pada ratusan layanan cloud, SaaS platforms, API integrations, dan vendor teknologi—masing-masing membawa risiko tersendiri.

Supply Chain Digital yang Kompleks

Software dependencies (open-source libraries, npm packages), CI/CD pipelines, dan infrastructure-as-code menciptakan surface attack yang luas dan sulit dipantau.

MSP & Outsourcing

Managed Service Providers memiliki akses privileged ke infrastruktur kritis. Kompromi pada MSP dapat mengakibatkan multi-client breaches seperti kasus Kaseya dan SolarWinds.

Regulatory Compliance

Regulasi seperti GDPR, PDP Indonesia, OJK, dan ISO 27001 mewajibkan organisasi untuk memastikan vendor memenuhi standar keamanan dan privasi data.

Komponen Supply Chain Digital yang Rentan

Open Source

npm, PyPI, Maven packages dengan dependencies berbahaya

SaaS Platforms

Cloud services dengan akses ke data dan sistem kritis

MSP & Vendors

Managed service providers dengan privileged access

CI/CD Tools

Build pipelines, repositories, automation tools

Breaking Cases

Serangan Supply Chain Viral Tahun 2025

Kasus-kasus nyata yang mengguncang dunia siber dan membuka mata organisasi global

Kasus: Paket NPM "Shai-Hulud v2"

Critical

Pada Q1 2025, paket npm populer "shai-hulud" (dengan lebih dari 2 juta download per minggu) dikompromikan ketika akun maintainer di-hijack melalui credential stuffing attack. Attacker mempublikasikan versi 2.1.8 yang mengandung backdoor tersembunyi.

Pola Serangan:

  • • Malicious code injection pada dependency chain
  • • Backdoor exfiltrates environment variables (API keys, credentials)
  • • Command & Control (C2) communication ke infrastructure attacker
  • • Persistence melalui npm post-install scripts

Dampak Bisnis:

  • • 15,000+ perusahaan teridentifikasi menggunakan versi vulnerable
  • • Eksfiltrasi kredensial AWS, Azure, database passwords
  • • Lateral movement ke production environments
  • • Total estimated damage: $250 million+

Kasus: CI/CD Platform "BuildFlow"

High Impact

Platform CI/CD populer "BuildFlow" mengalami kompromi pada Mei 2025 ketika attacker mengeksploitasi zero-day vulnerability di OAuth implementation mereka, memberikan akses ke 12,000+ repositories pelanggan enterprise.

Mengapa Vendor Jadi Titik Lemah:

  • • Centralized access: Satu platform melayani ribuan organisasi
  • • Privileged credentials: Akses ke source code, secrets, deployment keys
  • • Trust exploitation: Customers assume vendor security is robust
  • • Supply chain multiplier: 1 breach = thousands of affected organizations

"Kami memiliki security controls yang ketat di internal infrastructure, tapi tidak pernah mengaudit keamanan platform CI/CD vendor kami secara menyeluruh. Kami berasumsi mereka aman."
— CISO dari perusahaan fintech terdampak

Kasus: Managed Service Provider "TechOps Global"

Multi-Client Impact

MSP dengan 800+ klien enterprise di Asia-Pacific dikompromikan melalui spear-phishing campaign yang menargetkan administrator internal mereka. Attacker mendapatkan akses ke remote management tools dengan privileged access ke client environments.

Cascade Effect:

240+
Klien Terdampak
72hrs
Avg Detection Time
$180M
Estimated Losses

Pola yang Konsisten

Semua kasus di atas menunjukkan pola yang sama: attacker tidak menyerang target secara langsung, melainkan mengeksploitasi trusted relationships dalam supply chain untuk mendapatkan akses ke ribuan organisasi sekaligus. Ini adalah force multiplier yang sangat efektif.

Root Causes

Mengapa Banyak Organisasi Gagal Mengelola Risiko Pihak Ketiga?

Gap antara awareness dan implementation yang menghambat effective TPRM

1. Tidak Ada Inventaris Vendor Lengkap

Critical Gap

Mayoritas organisasi tidak memiliki vendor inventory yang komprehensif dan up-to-date. IT menggunakan SaaS tools, procurement mengelola suppliers, developer memanfaatkan open-source packages—namun tidak ada central repository yang consolidated.

Konsekuensi: Shadow IT, unmanaged vendors, dan blind spots dalam risk exposure assessment.

2. Vendor Assessment Hanya Formalitas

High Risk

Proses vendor assessment sering kali hanya checkbox exercise: mengisi questionnaire, menerima SOC 2 report tanpa verifikasi mendalam, atau hanya review kontrak secara legal tanpa technical security validation.

Reality: Security questionnaires outdated, certificates tidak divalidasi, dan tidak ada on-site audit atau technical assessment.

3. Tidak Ada Continuous Monitoring

Monitoring Gap

Assessment dilakukan sekali saat onboarding vendor, kemudian tidak ada monitoring berkelanjutan. Padahal security posture vendor dapat berubah: diakuisisi perusahaan lain, mengalami breach, compliance lapse, atau perubahan operational.

Missing: Real-time threat intelligence, breach notifications, security posture scoring, dan periodic re-assessment.

4. Kontrak Tanpa Klausul Keamanan

Legal Risk

Kontrak vendor fokus pada deliverables, SLA, dan pricing—namun tidak include security requirements, breach notification obligations, audit rights, data protection standards, atau incident response procedures.

Impact: Tidak ada legal recourse ketika vendor breach terjadi, sulit enforce security standards, dan ambiguity dalam liability.

5. Minimnya Koordinasi Cross-Functional

Organizational

TPRM memerlukan kolaborasi antara IT Security, Legal, Procurement, Risk Management, dan Compliance—namun sering kali departemen ini bekerja dalam silo. IT tidak terlibat dalam vendor selection, procurement tidak memahami security requirements, legal tidak konsultasi dengan security team.

Siloed Departments

Poor Communication

Inconsistent Processes

Strategic Solution

Peran CISO as a Service dalam Mengelola Third Party Risk

Expertise dan framework yang dibutuhkan tanpa overhead hiring full-time CISO

Bagaimana CISO as a Service Membantu

Membangun Framework TPRM Berbasis Risiko

Mengembangkan metodologi vendor risk assessment yang sesuai dengan risk appetite organisasi, industry regulations, dan business context.

Menyusun Kebijakan Vendor Security

Membuat policy dan procedures untuk vendor onboarding, security assessment criteria, acceptable use, dan offboarding processes.

Melakukan Vendor Risk Assessment & Scoring

Menjalankan comprehensive security due diligence: questionnaires, certificate validation, technical assessments, dan risk scoring based on criticality.

Integrasi TPRM ke Strategi Keamanan Menyeluruh

Memastikan third-party risk menjadi bagian dari enterprise risk management, incident response plans, dan business continuity strategies.

Incident Response untuk Insiden Vendor

Menyediakan playbooks dan guidance untuk responding ketika vendor mengalami breach atau security incident yang dapat impact organisasi.

Cost-Effective

Akses ke senior CISO expertise tanpa salary, benefits, dan overhead full-time hire. Flexible engagement model sesuai kebutuhan dan budget.

Immediate Availability

Tidak perlu waiting months untuk recruitment process. CISO as a Service team dapat onboard dan start delivering value dalam hitungan hari.

Multidisciplinary Expertise

Bukan hanya satu individual—akses ke team of specialists: GRC experts, threat intelligence analysts, compliance professionals, dan technical security architects.

Organisasi Anda belum memiliki dedicated CISO atau mature TPRM program?

Konsultasi CISO as a Service
Integration

Integrasi TPRM ke dalam Program GRC

Third Party Risk Management sebagai pilar penting Governance, Risk & Compliance

TPRM sebagai Bagian Enterprise Risk Management

Third-party risks tidak berdiri sendiri—ia adalah komponen integral dari enterprise risk universe. Dalam framework ERM yang mature, vendor risks harus di-assess, quantified, dan mitigated dengan metodologi yang konsisten dengan operational risks, cyber risks, dan strategic risks lainnya.

Best Practice:

  • • Include vendor risks dalam organizational risk register
  • • Assign risk owners untuk setiap critical vendor relationship
  • • Regular risk reporting ke Board dan Executive Management
  • • Risk-based approach dalam resource allocation untuk TPRM

Kesesuaian dengan ISO 27001, NIST, dan Regulasi

Frameworks dan regulations explicitly require organizations untuk manage third-party risks:

ISO 27001:2022

Annex A.5.19 - A.5.23 mengatur supplier relationships, supplier security, dan third-party service delivery management.

NIST Cybersecurity Framework

Supply Chain Risk Management (C-SCRM) sebagai sub-category dalam Identify, Protect, dan Respond functions.

OJK & Bank Indonesia

Sektor finansial di Indonesia wajib conduct vendor due diligence dan memastikan compliance vendor terhadap regulatory standards.

GDPR & PDP Indonesia

Data processors dan third parties yang handle personal data harus comply dengan privacy regulations. Organisasi liable untuk vendor breaches.

Dokumentasi, Audit Trail, dan Risk Register Vendor

GRC yang efektif memerlukan comprehensive documentation dan traceability. TPRM program harus maintain:

Vendor Risk Register

Centralized repository of all vendors, their risk ratings, assessment results, mitigation plans, dan status monitoring.

Assessment Documentation

Security questionnaires, audit reports, certificates, technical findings, dan remediation tracking.

Contractual Agreements

Master Service Agreements (MSA), Data Processing Agreements (DPA), dan security addendums dengan audit rights.

Incident & Breach Logs

Record dari vendor security incidents, breach notifications, dan response actions taken.

Sistem GRC dalam Monitoring Berkelanjutan

Modern GRC platforms menyediakan capabilities untuk continuous monitoring vendor security posture dan automated alerts untuk changes dalam risk profile:

Automated Scanning

Continuous security posture assessment via third-party risk intelligence platforms

Threat Intelligence

Real-time alerts untuk vendor breaches, vulnerabilities, atau negative news

Workflow Automation

Automated vendor review cycles, assessment reminders, dan approval workflows

Kesimpulan

Pesan Strategis untuk Manajemen

Supply chain attacks bukan tren sementara—ia adalah evolusi natural dalam landscape ancaman siber. Ketika organisasi memperkuat pertahanan perimeter tradisional mereka, adversaries menemukan jalur alternative: trusted relationships dalam ekosistem digital.

Data statistik menunjukkan trajektori yang jelas: 60% dari successful breaches di 2025 melibatkan third-party compromise. Trend ini akan terus meningkat seiring dengan kompleksitas supply chain digital, proliferasi SaaS platforms, dan dependency pada open-source ecosystems.

"Keamanan organisasi Anda tidak lebih kuat dari keamanan mitra terlemah Anda. Dalam era digital yang interconnected, isolasi adalah ilusi—Anda hanya seaman vendor yang Anda trust."
— Chief Risk Officer, Fortune 500 Financial Institution

Yang diperlukan adalah pendekatan strategis, bukan reaktif. Third Party Risk Management harus menjadi bagian integral dari enterprise strategy—bukan afterthought atau compliance checkbox. Ini memerlukan:

Executive Sponsorship

Board dan C-suite harus recognize third-party risk sebagai enterprise risk yang material, bukan purely technical issue.

Cross-Functional Collaboration

TPRM requires koordinasi tight antara Security, Legal, Procurement, Risk, dan Business Units.

Process & Technology

Standardized workflows, GRC platforms, dan automation untuk scalable vendor management.

Expertise & Guidance

Access ke specialists yang understand regulatory landscape, threat intelligence, dan risk methodologies.

CISO as a Service & GRC: Solusi Realistis

Untuk organisasi dengan keterbatasan resources, hiring full-time CISO dan building mature TPRM program dari scratch dapat menjadi challenge yang overwhelming. CISO as a Service menawarkan alternative yang pragmatic:

Rapid Implementation

Start dalam weeks, bukan months

Expert Team

Access ke multidisciplinary specialists

Scalable Model

Grow program seiring business growth

Diskusikan Kebutuhan TPRM Anda dengan Expert Kami

Pelajaran Penting bagi Manajemen

1

Third-party risks adalah enterprise risks, bukan IT problems

Board dan executive management harus treat vendor security dengan seriousness yang sama seperti financial risks atau operational risks.

2

Visibility adalah prerequisite untuk effective risk management

Tidak bisa manage risiko yang tidak Anda ketahui. Start dengan comprehensive vendor inventory dan risk classification.

3

Continuous monitoring, bukan point-in-time assessments

Vendor security posture dapat berubah rapidly. Annual questionnaire tidak cukup—implement continuous monitoring dan threat intelligence.

4

Contracts harus include security requirements dan accountability

Legal agreements adalah mechanism untuk enforce standards, obtain audit rights, dan establish liability in case of incidents.

5

TPRM expertise tidak harus di-hire full-time

CISO as a Service dan GRC advisory provide scalable access ke expertise tanpa overhead dari permanent headcount.

Published: 16 Desember 2025
Risk Management, GRC, Supply Chain
Bagikan: