Pada November 2013, sistem FireEye milik Target melakukan persis apa yang seharusnya ia lakukan. Sistem itu menandai instalasi malware. Sistem itu juga menandai server staging tempat data kartu curian sedang disalurkan keluar. Dua kali. Tidak ada seorang pun yang menindaklanjuti kedua peringatan tersebut, dan fitur yang seharusnya menghapus malware secara otomatis ternyata sudah dimatikan. Empat puluh juta kartu pembayaran kemudian, laporan pascakejadian sama-sama menyimpulkan hal yang sama: teknologinya berfungsi. Timnya yang tidak melihatnya tepat waktu.
Itulah kebenaran yang tidak nyaman di balik sebagian besar kegagalan SIEM. Ini jarang menjadi masalah deteksi. Ini adalah masalah antrean.
Cara artikel ini disusun: angka-angka di bawah ini berasal dari laporan vendor dan akademik yang bernama dan tersedia untuk publik, yang telah diperiksa silang dengan liputan sekunder sejauh memungkinkan. Ketika sebuah klaim hanya bersandar pada satu survei yang dipesan oleh vendor, hal itu ditandai secara eksplisit alih-alih disajikan sebagai fakta yang sudah pasti. Ini adalah riset meja dan sintesis, bukan tulisan langsung dari insiden pertama tangan jika Anda ingin penelusuran langsung terhadap celah cakupan SIEM Anda sendiri, lihat tautan [panduan terkait] di bagian akhir.
Angka-angka di balik kebisingan
Tim keamanan bukan mengabaikan alert karena mereka malas atau kurang terlatih. Mereka mengabaikan alert karena jumlahnya terlalu banyak, dan sebagian besar tidak penting.
| Metrik | Angka | Sumber |
|---|---|---|
| Tingkat false positive | 46% dari seluruh alert | Microsoft/Omdia, State of the SOC (2026, N=300) |
| Alert yang tidak pernah diselidiki | 42% | Microsoft/Omdia (2026) |
| Alert yang tidak ditindaklanjuti | 63% | Vectra AI, State of Threat Detection and Response (2026, N=1.450) |
| Rata-rata konsol yang dikelola per analis | 10,9 | Microsoft/Omdia (2026) |
| Pemimpin keamanan yang melaporkan insiden serius dalam setahun terakhir | 91% | Microsoft/Omdia (2026) |
Patut ditandai sebelum Anda mengutip angka-angka ini di mana pun: keduanya adalah survei yang dipesan oleh vendor. Responden nyata, angka nyata, tetapi bukan studi akademik yang terkontrol, dan sampel Microsoft/Omdia lebih condong ke AS/Inggris/ANZ ketimbang Asia Tenggara secara spesifik. Perlakukan sebagai indikasi arah, bukan sebagai kebenaran mutlak.
Lebih banyak telemetri bukan solusinya. Justru bisa jadi masalahnya.
Inilah bagian yang mengejutkan orang. Kesenjangannya bukan kesenjangan visibilitas. Sebagian besar SIEM perusahaan sudah memiliki data mentah lebih banyak daripada yang mereka tahu cara memanfaatkannya.
Laporan tahunan kelima CardinalOps, State of SIEM Detection Risk, menganalisis 2,5 juta sumber log, lebih dari 13.000 aturan deteksi, dan ratusan lingkungan SIEM produksi langsung (Splunk, Sentinel, QRadar, LogScale, Google SecOps). Lingkungan yang mereka teliti rata-rata menyerap 259 jenis log berbeda dari sekitar 24.000 sumber per organisasi — cukup, secara teori, untuk mendeteksi lebih dari 90% teknik MITRE ATT&CK yang dikenal.
Cakupan sebenarnya? 21%.
79% teknik penyerang lainnya bukannya lolos karena log-nya tidak ada. Mereka lolos karena tidak ada seorang pun yang menulis, menyetel, atau memelihara aturan deteksi untuknya. Itu adalah masalah kedisiplinan staf dan rekayasa yang menyamar sebagai masalah teknologi.
Versi Asia Tenggara dari masalah ini lebih buruk
Kelelahan alert secara global sudah buruk. Kombinasi angka-angka spesifik Indonesia menunjukkan mengapa kawasan ini tidak bisa sekadar meniru playbook Amerika Serikat dan menganggap masalah selesai.
| Indikator | Angka |
|---|---|
| Serangan siber dan anomali lalu lintas, 2025 | 5,5 miliar (+714% dibanding rata-rata 2020–2024) |
| Serangan siber, 1 Januari–15 April 2026 | 1,52 miliar |
| Skor National Cyber Security Index, 2023 → 2025 | 63,64 (peringkat 48) → 47,50 (peringkat 84 dari 136) |
| Kerugian penipuan digital hingga Mei 2025 | Rp2,6 triliun |
Sumber: Badan Siber dan Sandi Negara (BSSN), OJK/IASC, dan laporan negara NCSI dari e-Governance Academy.
Bacalah kedua angka itu berdampingan dan bentuk masalahnya menjadi jelas. Volume serangan meningkat tujuh kali lipat. Kesiapan keamanan nasional, menurut indeks yang dibandingkan secara internasional, justru menurun — membuat Indonesia tertinggal di belakang Singapura, Malaysia, dan Filipina. Itu bukan kesenjangan yang akan menutup dengan sendirinya.
Empat pelanggaran data, satu akar masalah yang sama
Bedah setiap pelanggaran data besar yang terdokumentasi dengan baik dari dekade terakhir, dan polanya berulang dengan konsistensi yang hampir membosankan: sesuatu di dalam tumpukan keamanan menangkap intrusi tersebut. Organisasinya tidak menindaklanjuti tepat waktu.
| Pelanggaran | Titik masuk | Di mana kegagalannya | Biaya |
|---|---|---|---|
| Target (2013) | Kredensial vendor HVAC yang dicuri, jaringan tanpa segmentasi | FireEye menandai malware dan server eksfiltrasi; alert diabaikan, penghapusan otomatis dinonaktifkan | 40 juta kartu, 70 juta catatan, $200 juta lebih |
| Equifax (2017) | Apache Struts yang tidak ditambal (CVE-2017-5638), portal sengketa publik | Tambalan tidak diterapkan selama 2 bulan; sertifikat inspeksi SSL sudah kedaluwarsa selama 19 bulan, membutakan pemantauan selama 76 hari | 147 juta catatan, $700 juta–$1,4 miliar lebih |
| ADT (2026) | Panggilan vishing membobol sesi Okta SSO seorang karyawan | Penyerang berpindah ke Salesforce; ini adalah pelanggaran ketiga ADT yang diungkapkan sejak Agustus 2024 | 5,5 juta akun |
| Change Healthcare (2024) | Kredensial curian, portal akses jarak jauh Citrix tanpa MFA | Sembilan hari pergerakan lateral tidak terdeteksi sebelum ransomware dijalankan | Ratusan juta dolar biaya pemulihan, berminggu-minggu gangguan pembayaran layanan kesehatan AS |
Industri berbeda, penyerang berbeda, tahun berbeda. Mode kegagalan yang sama: sinyal yang berfungsi, tertimbun atau tidak ditindaklanjuti. (Ringkasan kasus di atas diambil dari pengungkapan pelanggaran data publik dan liputan sezaman terhadap masing-masing insiden; rujuk pengajuan regulasi asli atau laporan pascakejadian vendor untuk angka pasti jika Anda mengutip ini dalam dokumen kepatuhan.)
Apa yang sebenarnya memperbaiki ini
Ada model empat tahap yang cukup mapan untuk menarik SOC keluar dari lingkaran ini. Tidak satu pun dari langkah ini mengharuskan Anda mencopot SIEM Anda.
- Penyaringan pra-antrean. Tekan hal-hal yang dapat diprediksi dan tidak berbahaya sebelum pernah dilihat manusia. Di sinilah riset DEEPCASE (IEEE Symposium on Security and Privacy, 2022) layak diketahui: diuji terhadap 10,5 juta peristiwa keamanan dunia nyata, riset ini secara otomatis menyaring 86,72% di antaranya dan memangkas beban kerja analis manual lebih dari 90%, tanpa secara material meningkatkan risiko ancaman yang terlewat. Ini satu studi dengan kondisi spesifik, bukan jaminan universal, tetapi ini membuktikan bahwa batas atasnya jauh lebih tinggi daripada tempat sebagian besar SOC beroperasi saat ini.
- Triase dinamis. Beri skor pada alert berdasarkan kekritisan aset yang sebenarnya dan konteks perilaku, bukan label tingkat keparahan statis yang ditetapkan vendor tiga tahun lalu.
- Korelasi berbasis kasus. Hentikan kebiasaan meminta analis menyatukan dua belas alert terkait secara manual di seluruh log jaringan, identitas, dan cloud. Kelompokkan menjadi satu insiden secara otomatis.
- GenAI dan kerja sama manusia-AI. Biarkan agen otomatis menangani investigasi tahap awal yang berulang (pencarian aset, pemeriksaan reputasi IP, analisis perilaku file) sehingga analis dapat menghabiskan waktu mereka untuk pengambilan keputusan, bukan pengumpulan data.
Peta jalan yang bisa Anda mulai minggu ini
| Fase | Fokus | Tindakan utama |
|---|---|---|
| Hari 1–30: Fondasi | Bersihkan garis dasar | Audit dan nonaktifkan aturan korelasi yang rusak. Kalibrasi ulang ambang batas berdasarkan lalu lintas nyata, bukan pengaturan default vendor. Validasi kesehatan sumber log secara berkelanjutan. Terapkan MFA pada setiap portal akses jarak jauh dan admin. |
| Hari 31–60: Kontekstualisasi | Berhenti memperlakukan alert sebagai peristiwa terpisah | Beralih ke triase berbasis kasus yang dikelompokkan berdasarkan entitas bersama (pengguna, host, IP). Otomatiskan pengayaan konteks. Segmentasikan lingkungan keuangan, POS, dan pengembangan dari akses korporat umum. Terapkan deteksi dan respons ancaman identitas. |
| Hari 61–90: Otomatisasi | Bebaskan waktu analis untuk kerja pengambilan keputusan | Terapkan playbook otomatis untuk alert bervolume tinggi dan kompleksitas rendah. Luncurkan UEBA untuk menangkap pergerakan lateral yang terlewat oleh aturan statis. Alihkan waktu yang dihemat ke perburuan ancaman proaktif dan penyetelan aturan. |
Perhatikan apa yang tidak ada dalam daftar ini: membeli alat lain. Setiap organisasi dalam keempat studi kasus pelanggaran data di atas sudah memiliki teknologi deteksi. Solusinya bukan sinyal yang lebih banyak. Solusinya adalah membangun kemampuan untuk menindaklanjuti sinyal yang sudah Anda miliki, cukup cepat agar hal itu benar-benar berarti.
SIEM Anda tidak sedang berbohong kepada Anda. Ia sedang menyampaikan kebenaran lebih cepat daripada antrean Anda mampu mendengarkannya.