Apa Itu Patch Management dan Cara Menjalankannya

Kapan terakhir kali kamu yakin semua server, plugin website, dan laptop kantor sudah terpasang update keamanan terbaru? Kalau jawabannya "kurang tahu", di situlah patch management dibutuhkan.

Patch management adalah proses rutin dan terencana untuk menemukan pembaruan keamanan (patch), menentukan mana yang paling mendesak, mengujinya, memasangnya, lalu memastikan pemasangannya berhasil. Bedanya dengan sekadar "klik update" adalah keteraturan: ada daftar, ada jadwal, ada penanggung jawab, dan ada bukti. NIST menyebutnya bagian dari pemeliharaan preventif, sama seperti servis berkala kendaraan.

Kenapa update saja tidak cukup?

Banyak serangan memanfaatkan celah yang patch-nya sudah lama tersedia. Masalahnya bukan patch tidak ada, melainkan tidak terpasang. Penyebabnya klasik: tidak tahu ada server lama yang masih menyala, takut update merusak aplikasi, atau tidak ada yang merasa bertanggung jawab.

Proses yang rapi menjawab ketiganya. Berikut langkah yang bisa dijalankan bisnis kecil sekalipun.

Langkah menjalankan patch management

1. Buat daftar aset

Kamu tidak bisa menambal yang tidak kamu ketahui. Catat semua yang perlu di-update:

• Server dan VPS, beserta sistem operasi dan versinya.
• Aplikasi web: CMS, plugin, tema, framework, dan dependensi.
• Perangkat jaringan: router, firewall, NAS, perekam CCTV.
• Laptop dan PC karyawan, termasuk browser dan aplikasi kantor.
• Layanan pihak ketiga yang kamu kelola sendiri, seperti panel hosting.

Spreadsheet sederhana sudah cukup. Kolom minimalnya: nama aset, pemilik, versi, dan cara update.

2. Pantau patch yang tersedia

Di server Linux, cek paket yang punya pembaruan:

# Ubuntu dan Debian
sudo apt update
apt list --upgradable

# AlmaLinux, Rocky Linux, RHEL
sudo dnf updateinfo list --security

Untuk aplikasi, ikuti pengumuman keamanan vendor (misalnya halaman rilis WordPress atau plugin yang kamu pakai). Untuk perangkat jaringan, cek halaman firmware produsen secara berkala.

3. Tentukan prioritas

Tidak semua patch sama mendesaknya. Prioritaskan berdasarkan tiga hal: apakah celahnya sudah dieksploitasi di dunia nyata, apakah sistemnya terbuka ke internet, dan seberapa penting data di dalamnya. Katalog Known Exploited Vulnerabilities (KEV) dari CISA membantu menjawab pertanyaan pertama. Cara memakainya ada di katalog KEV CISA untuk prioritas patch.

Contoh pembagian sederhana:

Target waktu di atas hanya contoh. Sesuaikan dengan kemampuan tim, lalu tulis sebagai kebijakan.

4. Uji sebelum pasang

Patch kadang mengubah perilaku aplikasi. Untuk sistem penting, pasang dulu di lingkungan uji (staging) atau di satu server yang tidak kritis. Untuk website, cara aman menguji update dibahas di update WordPress tanpa error.

Sebelum memasang di produksi, pastikan ada backup atau snapshot yang bisa dipulihkan. Backup yang belum pernah diuji pulih sama saja dengan tidak punya backup, jadi sesekali lakukan uji restore backup berkala.

5. Pasang sesuai jadwal

Tetapkan jendela pemeliharaan, misalnya malam hari di minggu kedua setiap bulan, di luar jam ramai pelanggan. Patch darurat boleh di luar jadwal.

Untuk server Ubuntu, pembaruan keamanan bisa dipasang otomatis dengan unattended-upgrades, sehingga patch rutin tidak bergantung pada ingatan admin. Langkahnya ada di cara mengaktifkan update keamanan otomatis di Ubuntu. Otomasi cocok untuk patch keamanan paket sistem, sementara pembaruan besar seperti naik versi database tetap sebaiknya manual.

6. Verifikasi dan restart bila perlu

Patch untuk kernel atau pustaka seperti OpenSSL sering baru berlaku setelah layanan atau server di-restart. Di Ubuntu, file /var/run/reboot-required muncul bila server perlu reboot. Alat needrestart membantu menunjukkan layanan mana yang masih memakai pustaka lama.

Setelah selesai, cek ulang versi paket atau aplikasi, dan pastikan layanan berjalan normal.

7. Catat dan tinjau

Catat tanggal, patch apa, di aset mana, oleh siapa, dan hasilnya. Catatan ini berguna saat audit, saat ada masalah setelah update, dan untuk melihat aset mana yang sering tertinggal. Tinjau prosesnya tiap beberapa bulan.

Bagaimana kalau patch belum bisa dipasang?

Kadang patch belum tersedia, atau aplikasi lama belum kompatibel. Dalam kondisi ini, kurangi peluang celah dieksploitasi sambil menunggu:

• Batasi akses ke layanan yang rentan, misalnya hanya dari IP kantor atau lewat VPN.
• Matikan fitur atau modul yang rentan bila tidak dipakai.
• Pasang aturan WAF atau firewall yang menahan pola serangan yang diketahui.
• Pantau log layanan itu lebih ketat sampai patch terpasang.

Catat mitigasi ini beserta tanggal tinjau ulang, supaya "sementara" tidak berubah menjadi permanen.

Siapa yang sebaiknya memegang tugas ini?

Di bisnis kecil, satu orang bisa memegang semuanya asal waktunya dialokasikan, bukan sisa waktu. Yang penting ada nama yang jelas untuk setiap kelompok aset: siapa yang mengurus server, siapa yang mengurus website, siapa yang memastikan laptop karyawan ter-update. Tanpa nama, tugas ini mudah jatuh ke celah "kirain sudah diurus orang lain".

Siapkan juga pengganti saat penanggung jawab utama cuti atau sakit, terutama untuk patch darurat. Celah yang dieksploitasi aktif tidak bisa menunggu dua minggu. Bila server dikelola penyedia layanan terkelola, tanyakan bagian mana yang mereka tangani (sistem operasi saja, atau juga aplikasi) supaya tidak ada wilayah abu-abu yang tidak diurus siapa pun.

Checklist singkat patch management:

• Daftar aset lengkap dengan pemilik dan versi.
• Sumber informasi patch dipantau rutin.
• Kriteria prioritas dan target waktu tertulis.
• Backup atau snapshot siap sebelum update.
• Jadwal pemeliharaan tetap, plus jalur darurat.
• Hasil update diverifikasi dan dicatat.