Dalam diskusi mengenai keamanan Software-as-a-Service (SaaS), istilah “miskonfigurasi” dan “kerentanan” sering kali digunakan secara bergantian. Namun, keduanya bukanlah hal yang sama. Kesalahpahaman mengenai perbedaan ini secara diam-diam dapat menciptakan celah keamanan yang nyata.

Kebingungan ini bukan hanya sekadar masalah semantik. Hal ini mencerminkan pemahaman yang lebih dalam yang keliru tentang model tanggung jawab bersama (shared responsibility model), terutama di lingkungan SaaS di mana batas antara tanggung jawab vendor dan pelanggan sering kali tidak jelas.

Perbedaan Mendasar

Untuk memahami perbedaannya, mari kita bedah satu per satu.

Kerentanan (Vulnerabilities) adalah kecacatan pada basis kode (codebase) dari platform SaaS itu sendiri. Ini adalah masalah yang hanya dapat diperbaiki oleh vendor melalui patch atau pembaruan. Contohnya termasuk zero-day exploit atau celah keamanan pada level kode aplikasi.

Miskonfigurasi (Misconfigurations), di sisi lain, adalah kesalahan yang sepenuhnya dikendalikan oleh pengguna. Hal ini timbul dari cara platform diatur—siapa yang memiliki akses, integrasi apa yang terhubung, dan kebijakan apa yang diterapkan (atau tidak diterapkan). Contoh miskonfigurasi adalah aplikasi pihak ketiga dengan hak akses yang berlebihan, atau situs internal yang sensitif tidak sengaja diatur menjadi publik.

Model Tanggung Jawab Bersama, Namun Terpisah

Sebagian besar penyedia SaaS beroperasi di bawah model tanggung jawab bersama. Mereka bertanggung jawab untuk mengamankan infrastruktur, memenuhi komitmen uptime, dan menyediakan perlindungan di tingkat platform. Dalam konteks SaaS, model ini berarti vendor menangani infrastruktur hosting dan sistem yang mendasarinya, sementara pelanggan bertanggung jawab atas cara mereka mengonfigurasi aplikasi, mengelola akses, dan mengendalikan pembagian data. Pelangganlah yang wajib mengonfigurasi dan menggunakan aplikasi secara aman.

Tanggung jawab pelanggan ini mencakup manajemen identitas, perizinan (permissions), kebijakan berbagi data, dan integrasi aplikasi pihak ketiga. Ini bukanlah lapisan keamanan opsional, melainkan elemen yang fundamental.

Kesenjangan pemahaman ini tercermin dalam data: Laporan Kondisi Keamanan SaaS 2025 (The State of SaaS Security 2025 Report) menemukan bahwa 53% organisasi mendasarkan keyakinan keamanan SaaS mereka pada kepercayaan terhadap vendor. Pada kenyataannya, asumsi bahwa vendor menangani segalanya dapat menciptakan titik buta (blind spot) yang berbahaya, terutama karena pelangganlah yang mengontrol pengaturan yang paling rawan terhadap pelanggaran keamanan.

Deteksi Ancaman Tidak Dapat Menemukan Apa yang Tidak Tercatat

Sebagian besar insiden keamanan tidak melibatkan serangan canggih atau bahkan aktor ancaman yang memicu peringatan. Sebaliknya, mereka berasal dari masalah konfigurasi atau kebijakan yang tidak terdeteksi. Laporan yang sama mengidentifikasi bahwa 41% insiden disebabkan oleh masalah perizinan dan 29% oleh miskonfigurasi.

Risiko-risiko ini tidak muncul di alat deteksi tradisional (termasuk platform deteksi ancaman SaaS) karena tidak dipicu oleh perilaku pengguna. Sebaliknya, risiko tersebut sudah tertanam dalam cara sistem diatur. Anda hanya dapat melihatnya dengan menganalisis konfigurasi, perizinan, dan pengaturan integrasi secara langsung—bukan melalui log atau peringatan (alerts).

Log mencatat tindakan, seperti upaya login, akses file, atau perubahan administratif. Namun, izin akses yang berlebihan, koneksi pihak ketiga yang tidak aman, atau data yang terekspos secara berlebihan bukanlah tindakan. Mereka adalah kondisi. Jika tidak ada yang berinteraksi dengannya, mereka tidak akan meninggalkan jejak apa pun di dalam file log.

Kesenjangan ini bukan sekadar teori. Sebuah penelitian terhadap platform OmniStudio dari Salesforce (yang dirancang untuk kustomisasi low-code di industri yang sangat diatur seperti layanan kesehatan, keuangan, dan pemerintahan) mengungkapkan adanya miskonfigurasi kritis yang gagal dideteksi oleh alat pemantauan tradisional. Risiko ini bukanlah kasus-kasus yang jarang terjadi, melainkan mencakup model perizinan yang secara default mengekspos data sensitif dan komponen low-code yang memberikan akses lebih luas dari yang seharusnya. Risikonya nyata, tetapi sinyalnya senyap.

Meskipun deteksi tetap penting untuk merespons ancaman aktif, ia harus dilapisi di atas postur keamanan yang solid, bukan sebagai penggantinya.

Membangun Program Keamanan SaaS yang Aman Sejak Awal (Secure-by-Design)

Intinya adalah: Anda tidak bisa menyelesaikan masalah miskonfigurasi hanya dengan mengandalkan deteksi. Jika risiko berada pada cara sistem diatur, deteksi tidak akan menangkapnya. Manajemen postur keamanan (posture management) harus didahulukan.

Daripada bereaksi terhadap pelanggaran, organisasi harus fokus pada pencegahan kondisi yang menyebabkannya. Ini dimulai dengan visibilitas terhadap konfigurasi, perizinan, akses pihak ketiga, shadow AI, dan kombinasi berisiko lainnya yang dieksploitasi oleh penyerang.

Deteksi ancaman tetap penting, bukan karena postur keamanan lemah, tetapi karena tidak ada sistem yang benar-benar kebal. Kombinasi postur preventif yang kuat dengan deteksi fidelitas tinggi akan menciptakan strategi pertahanan berlapis yang mampu menghentikan risiko yang diketahui dan menangkap ancaman yang tidak terduga.

Membedakan antara kerentanan (kelemahan kode di level vendor) dan miskonfigurasi (kesalahan pengaturan di level pengguna) adalah hal yang fundamental dalam keamanan SaaS. Model tanggung jawab bersama menempatkan kewajiban yang signifikan pada pelanggan untuk mengamankan konfigurasi aplikasi, manajemen akses, dan berbagi data. Banyak risiko keamanan SaaS muncul dari “kondisi” statis seperti izin yang berlebihan atau kebijakan yang lemah, yang tidak dapat dideteksi oleh alat pemantauan berbasis log yang mencari “tindakan” mencurigakan. Oleh karena itu, pendekatan yang paling efektif adalah memprioritaskan manajemen postur keamanan secara proaktif untuk mencegah celah keamanan sebelum dapat dieksploitasi, sambil tetap menggunakan deteksi ancaman sebagai lapisan pertahanan pelengkap.

Poin Kunci Pembelajaran

• Kerentanan vs. Miskonfigurasi: Kerentanan adalah tanggung jawab vendor untuk diperbaiki, sementara miskonfigurasi adalah tanggung jawab pelanggan untuk dikelola dan diamankan.
• Peran Kritis Pelanggan: Dalam model tanggung jawab bersama SaaS, pelanggan memegang kendali atas area yang paling sering menjadi target serangan, yaitu konfigurasi, perizinan, dan akses data.
• Keterbatasan Deteksi Berbasis Log: Alat deteksi ancaman tradisional sering kali gagal mengidentifikasi risiko yang berasal dari miskonfigurasi karena risiko tersebut adalah “kondisi” statis, bukan “tindakan” yang menghasilkan log.
• Prioritaskan Pencegahan: Strategi keamanan SaaS yang matang harus dimulai dengan manajemen postur keamanan (posture management) untuk membangun fondasi yang aman, bukan hanya bergantung pada deteksi reaktif.