Celah Keamanan Bawa Praktisi Siber Indonesia Raih Pengakuan dari NASA

Jakarta: Temuan celah keamanan pada sistem yang masuk dalam cakupan pengujian NASA membawa praktisi keamanan siber Indonesia, Stephanus Sunarto Purnomo, meraih Letter of Recognition (LOR) dari NASA.

Pengakuan tersebut berawal dari proses penelitian yang dilakukan Stephanus dengan menelusuri lebih jauh sebuah kerentanan yang pada tahap awal dinilai berada pada tingkat Medium–High. Setelah melalui validasi manual, analisis kontrol keamanan, dan penelusuran attack path, ia menemukan potensi risiko yang lebih besar.

Dalam proses penelitian itu, Stephanus menemukan paparan yang berkaitan dengan lebih dari 5.000 catatan kredensial internal. Temuan tersebut kemudian dilaporkan melalui mekanisme responsible disclosure kepada pihak terkait hingga mendapat pengakuan dari NASA.

"Cybersecurity bukan tentang seberapa jauh kita dapat menembus sebuah sistem. Cybersecurity adalah tentang menemukan kelemahan sebelum dimanfaatkan pihak yang berniat buruk, membuktikan risikonya, dan membantu membuat sistem menjadi lebih aman," kata Stephanus dalam keterangan, Kamis, 3 September 2026.

Stephanus menjelaskan proses tersebut bukan sekadar tentang menemukan sebuah celah keamanan. Ia berupaya memahami bagaimana sebuah kelemahan dapat berkembang menjadi risiko yang lebih besar ketika dikombinasikan dengan kondisi lain di dalam sistem.

Pendekatan itu dilakukan dengan melihat attack surface, perilaku aplikasi, mekanisme autentikasi dan otorisasi, hingga penerapan security boundary. Analisis kemudian diarahkan pada attack path untuk melihat kemungkinan suatu celah berkembang menjadi risiko yang lebih luas.

Setelah security boundary berhasil divalidasi, penelitian dilanjutkan dengan impact assessment. Dari tahapan tersebut ditemukan paparan yang berkaitan dengan lebih dari 5.000 credential records.


Praktisi keamanan siber Indonesia, Stephanus Sunarto Purnomo, meraih Letter of Recognition (LOR) dari NASA. Dokumentasi/ istimewa.

Paparan kredensial menjadi bagian yang perlu diperhatikan karena tingkat risikonya dapat dipengaruhi sejumlah faktor. Di antaranya validitas akun, jenis kredensial, tingkat hak akses, sumber daya yang terhubung, hingga kemungkinan penggunaan kembali kredensial.

Pentingnya Analisis Manusia

Dalam proses pengujian keamanan, Stephanus menilai perangkat pemindai otomatis atau automated scanner tetap memiliki peran penting. Alat tersebut dapat membantu menemukan berbagai indikasi kerentanan dalam sebuah sistem.

Scanner, misalnya, dapat mendeteksi exposed endpoint, kesalahan konfigurasi, kelemahan autentikasi, hingga persoalan kontrol akses. Namun, hasil pemindaian belum tentu dapat menggambarkan keseluruhan risiko sebuah sistem.

Untuk memahami apakah sejumlah kelemahan dapat dirangkai menjadi sebuah attack path, tetap diperlukan analisis dan penalaran manusia. Karena itu, tingkat keparahan sebuah kerentanan secara individual belum tentu menggambarkan risiko akhirnya.

"Penilaian risiko juga perlu melihat sejumlah aspek lain, seperti exploitability, tingkat paparan, hak akses, sensitivitas data, serta potensi dampaknya terhadap organisasi," jelasnya.

Pendekatan tersebut menjadi bagian dari pengalaman Stephanus yang selama ini berkarier di sektor perbankan Indonesia. Ia memiliki pengalaman di bidang cyber security, IT infrastructure, security monitoring, SIEM, vulnerability management, incident response, dan information security.

Selain bekerja di industri, Stephanus juga aktif sebagai mentor Cyber Security di salah satu perguruan tinggi di Indonesia.

Menjaga Etika dalam Pengujian

Dalam melakukan penelitian keamanan, Stephanus juga menekankan pentingnya responsible disclosure. Pengujian dilakukan untuk memperoleh bukti yang cukup tanpa menimbulkan kerusakan terhadap sistem maupun data.

Ia tidak melakukan perubahan atau penghapusan data, mengganggu layanan, menyalahgunakan akun, maupun menyebarkan atau menjual kredensial yang ditemukan.

Informasi sensitif seperti endpoint spesifik, token, kredensial, payload, konfigurasi internal, serta metode bypass juga tidak dipublikasikan untuk mencegah potensi penyalahgunaan.

Setelah temuan didokumentasikan dan dilaporkan melalui mekanisme yang sesuai, Stephanus memperoleh Letter of Recognition dari NASA.

Pengakuan tersebut menjadi salah satu pencapaian dalam perjalanan Stephanus sebagai security researcher. Namun, ia melihat keberhasilan penelitian keamanan bukan hanya dari kemampuan menemukan celah, tetapi juga dari kemampuan membuktikan risiko, menyampaikan laporan melalui jalur yang tepat, dan menjaga batas etika selama proses pengujian.

Pengalaman itu juga ia bawa dalam aktivitas mentoring. Menurutnya, generasi baru praktisi keamanan siber perlu memiliki kemampuan yang lebih luas, bukan hanya dalam menggunakan berbagai tools, tetapi juga memahami cara berpikir penyerang, perspektif pertahanan, serta batas tanggung jawab ketika menemukan celah keamanan.

Temuan tersebut sekaligus memperlihatkan peluang bagi peneliti keamanan siber Indonesia untuk berkontribusi dalam ekosistem keamanan digital global.

Bagi Stephanus, pengakuan dari NASA bukan menjadi titik akhir. Pengalaman tersebut justru menjadi pengingat untuk terus belajar di tengah perkembangan teknologi dan tantangan keamanan digital yang terus berubah.