Belajar Principal Engineer - Org Security Program

#Pendahuluan

Setelah di episode 17 kalian memahami peran principal dalam M&A — termasuk mengapa keamanan selalu jadi prioritas Day-1 — pada episode ini kita perdalam domain itu secara organisasi: memimpin arah program keamanan org.

Posisi kalian unik di sini. Tim security biasanya punya otoritas tapi kekurangan konteks engineering; tim produk punya konteks tapi insentifnya berlawanan dengan keamanan. Principal adalah penerjemah yang membuat keamanan properti sistem yang default-on — bukan gerbang persetujuan tahunan yang dilewati orang.

#Threat Model di Level Org

Sebelum bicara alat, jawab pertanyaan strategis: siapa musuh kita dan apa yang mereka inginkan? Model ancaman org umumnya tersusun dari:

Ancaman	Contoh Nyata	Kontrol Utama
Pencurian kredensial	Phishing engineer → akses prod	MFA phishing-resistant, least privilege
Supply chain	Dependency malicious, CI compromised	Pinning, signing, SBOM
Eksploitasi aplikasi	Injection, authz bocor	Secure defaults, review terarah
Insider/miskonfigurasi	Bucket publik tak sengaja	Guardrail IaC, audit otomatis
Ransomware/extortion	Data kunci disandera	Backup immutable, segmentasi

Dua prinsip prioritasnya:

Identitas adalah perimeter baru: mayoritas breach besar dimulai dari kredensial yang dicuri, bukan exploit canggih. Investasi identity (MFA keras, service account hygiene) memberi pengurangan risiko per dolar terbesar.
Kerentanan yang bisa dicari otomatis akan ditemukan otomatis: dependency lama dan misconfig cloud adalah permukaan yang dipindai bot setiap jam — ini harus jadi properti pipeline, bukan proyek manual.

#Zero Trust yang Pragmatis

Zero trust sering dijual sebagai produk; sebagai prinsip ia sederhana: jangan percaya lokasi jaringan; verifikasi identitas dan konteks setiap akses. Implementasi pragmatis bertahap:

Tangga zero trust

Tingkat 1 - Fondasi
├── SSO + MFA phishing-resistant untuk semua manusia
└── Service account: sertifikat pendek-umur, tanpa secret statis
 
Tingkat 2 - Otorisasi halus
├── Akses produksi via just-in-time (expire otomatis)
└── Authorization per-service, bukan network-flat
 
Tingkat 3 - Verifikasi kontinu
├── Device posture check untuk akses sensitif
└── Anomali-based step-up authentication

Jangan jual tingkat 3 sebelum tingkat 1 tuntas — program zero trust yang gagal biasanya gagal karena melompat ke bagian paling ekspansif tanpa fondasi identitas.

#Keamanan Default-On di Platform

Ini kontribusi terpenting principal pada keamanan: jadikan cara aman sebagai jalur termudah, warisan langsung golden paths episode 7:

Risiko	Default di Platform	Effort Deviasi
Secret bocor di repo	Secret manager bawaan template	Harus sengaja keluar dari template
Dependency rentan	Scan + block di CI	Perlu exception tertulis
Log tanpa struktur	Logging library standar	Custom = tanggung sendiri
TLS/authn lupa	Sidecar/framework bawaan	Konfigurasi eksplisit

Efeknya terukur: temuan keamanan rutin turun bukan karena orang lebih rajin, tapi karena kelas kesalahan dihapus dari kemungkinan — pola yang sama dengan postmortem berkualitas di episode 14.

Tip

Ukur program keamanan platform dengan satu angka: median waktu sampai temuan keamanan baru bisa dicegah otomatis oleh pipeline bagi semua tim. Kalau jawabannya "manual, bergantung review", program kalian masih berbasis disiplin manusia — komoditas paling langka di org mana pun.

#Security Champions Culture

Tim security tidak bisa menskala; budaya bisa. Model security champions:

Setiap tim menunjuk satu champion (engineer biasa, alokasi waktu resmi ~10%).
Champions dapat pelatihan mendalam + kanal langsung ke security team.
Mereka jadi reviewer pertama untuk desain berisiko keamanan di timnya.

Nilai gandanya: deteksi lebih awal (desain direview sebelum dibangun) dan distribusi pengetahuan (org punya puluhan mata ahli, bukan lima). Bagi champion itu sendiri, ini jalur karir yang nyata — sering menjadi on-ramp menuju staff.

#Security Strategy Doc

Rangkum arah org dalam dokumen satu-dua halaman:

vision/security-strategy.md

# Security Strategy [Org] - [Periode]
 
## Posture & Ancaman Utama
Model ancaman ringkas + 3 risiko teratas dengan estimasi dampak.
 
## Prinsip
Contoh: identity-first, secure-by-default, shift-left via platform,
blameless reporting.
 
## Program Tahun Ini
P1: Zero trust tingkat 1 (MFA keras + service account).
P2: Platform guardrails (secret, scanning, TLS defaults).
P3: Champions program - 80% tim punya champion terlatih.
 
## Metrik
MTTR patch kritikal, % secret di manager, coverage scan,
laporan sukarela per kuartal (naik = sehat).
 
## Eskalasi & Latihan
Tabletop 2x/tahun; jalur disclosure eksternal jelas.

Metrik terakhir sengaja kontraintuitif: lonjakan laporan sukarela adalah sinyal sehat — artinya orang merasa aman melapor. Org yang nol laporan biasanya bukan org yang aman, melainkan org yang menakutkan pelapornya.

#Tabletop Exercise

Dua kali setahun, simulasi skenario besar (ransomware, breach data pelanggan, compromise CI) bersama security, EM, legal, dan comms. Yang diuji bukan teknologi melainkan keputusan: siapa memutuskan bayar/tidak, kapan kabari pelanggan, bagaimana jika sistem komunikasi internal ikun down. Insiden nyata bukan tempat pertama mencoba menjawabnya.

#Penutup

Inti yang harus dibawa pulang:

Mulai dari threat model org — identitas adalah perimeter baru; kerentanan yang scannable harus ditangani pipeline.
Zero trust bertingkat: fondasi identitas dulu, otorisasi halus, baru verifikasi kontinu.
Kontribusi terbesar principal: secure-by-default di platform yang menghapus kelas kesalahan.
Budaya lewat security champions + metrik kesehatan termasuk laporan sukarela; latih keputusan krisis via tabletop.

Di episode 19 selanjutnya kita membahas regulatory & compliance leadership — navigasi lingkungan regulasi dalam skala besar: PDP/GDPR/PCI/SOC 2/DORA, compliance as code, pemetaan kontrol ke bukti otomatis, dan cara membuat regulasi jadi keunggulan bukan sekadar biaya patuh. Sampai jumpa di episode 19!