Cara Menerapkan Shift-Left Security

Setelah memahami konsep, alur kerja, serta tools yang digunakan, langkah berikutnya adalah menerapkan Shift-Left Security ke dalam proses pengembangan software. Penerapannya tidak harus dilakukan sekaligus. Organisasi dapat menyesuaikannya dengan jenis aplikasi, tingkat risiko, teknologi yang digunakan, sumber daya, dan kemampuan tim.

NIST melalui Secure Software Development Framework (SSDF) merekomendasikan praktik keamanan yang dapat diintegrasikan ke dalam SDLC yang digunakan organisasi. SSDF bukan checklist yang harus diterapkan secara identik oleh semua organisasi. NIST menjadikannya sebagai dasar untuk pendekatan berbasis risiko yang dapat disesuaikan dan terus diperbaiki. NIST SP 800-218 atau SSDF 1.1 merupakan versi final, sementara SSDF 1.2 masih berstatus draft pada 2026.

1. Mulai dengan Mengidentifikasi Risiko

Langkah pertama adalah memahami risiko yang dihadapi aplikasi.

Tidak semua aplikasi memiliki kebutuhan keamanan yang sama. Aplikasi yang menangani data keuangan, misalnya, dapat memiliki risiko dan kebutuhan kontrol yang berbeda dari aplikasi internal sederhana.

Tim dapat mulai dengan mengidentifikasi:

• jenis data yang diproses;
• aset yang perlu dilindungi;
• pengguna dan pihak yang memiliki akses;
• layanan eksternal yang digunakan;
• dependency dan komponen pihak ketiga;
• API yang tersedia;
• lingkungan deployment; dan
• potensi dampak apabila terjadi insiden keamanan.

Pendekatan berbasis risiko ini sejalan dengan SSDF. NIST menjelaskan bahwa organisasi perlu mempertimbangkan risiko, biaya, kelayakan, penerapan, serta sumber daya ketika menentukan praktik keamanan yang akan digunakan.

Dengan demikian, penerapan Shift-Left Security tidak harus dimulai dengan memasang sebanyak mungkin security tools. Yang lebih penting adalah menentukan risiko apa yang perlu dikendalikan terlebih dahulu.

2. Menentukan Security Requirement

Setelah risiko dipahami, tim dapat menetapkan security requirement untuk aplikasi.

Security requirement dapat mencakup kebutuhan seperti:

• autentikasi;
• otorisasi;
• perlindungan data;
• pengelolaan secret;
• keamanan API;
• logging dan monitoring;
• pengelolaan dependency;
• kebutuhan enkripsi; dan
• persyaratan keamanan lainnya sesuai konteks aplikasi.

OWASP menyediakan berbagai panduan untuk membantu organisasi dan developer menentukan kebutuhan keamanan. Security requirements sebaiknya ditentukan sejak awal dan ditinjau kembali ketika aplikasi atau fiturnya berubah.

Langkah ini penting karena developer membutuhkan persyaratan yang jelas untuk mengetahui standar keamanan yang harus dipenuhi ketika membangun fitur.

3. Melakukan Threat Modeling

Tahap berikutnya adalah threat modeling.

Threat modeling membantu tim memahami bagaimana sebuah aplikasi dapat diserang, aset apa yang perlu dilindungi, serta kontrol keamanan apa yang dapat diterapkan.

Misalnya, sebuah aplikasi memiliki fitur login. Tim dapat mempertimbangkan berbagai risiko seperti:

• pencurian kredensial;
• brute-force attack;
• penyalahgunaan session;
• kelemahan kontrol akses; dan
• penyalahgunaan API autentikasi.

Hasil threat modeling dapat digunakan untuk memengaruhi desain aplikasi sebelum implementasi berkembang terlalu jauh. OWASP menjelaskan bahwa threat modeling idealnya dilakukan sejak tahap awal atau desain, tetapi proses tersebut juga dapat diperbarui sepanjang pengembangan ketika sistem dan ancamannya berubah.

OWASP memasukkan threat modeling sebagai bagian dari praktik secure development dan menyediakan panduan untuk mengintegrasikannya ke proses pengembangan.

4. Menetapkan Secure Coding Standard

Developer membutuhkan pedoman yang jelas mengenai cara menulis kode secara aman.

Organisasi dapat membuat atau mengadopsi secure coding standard yang sesuai dengan bahasa pemrograman dan framework yang digunakan.

Pedoman tersebut dapat mencakup:

• validasi dan sanitasi input;
• pengelolaan autentikasi;
• kontrol akses;
• pengelolaan error;
• penggunaan cryptographic API secara tepat;
• pengelolaan secret;
• keamanan dependency; dan
• larangan terhadap pola kode tertentu yang diketahui berisiko.

OWASP menganjurkan penerapan secure development sejak awal, penggunaan secure libraries, serta pemeriksaan dan pelacakan external dependencies.

Dengan adanya standar tersebut, keamanan tidak hanya bergantung pada pengalaman individual developer.

5. Mengintegrasikan Security Tools ke Workflow Developer

Setelah standar ditetapkan, tools keamanan dapat dimasukkan ke workflow pengembangan.

Sebagai contoh, sebuah workflow dapat menggunakan:

Developer menulis kode → Commit → SAST → SCA → Code Review → Build

Urutan tersebut hanyalah contoh. Workflow aktual dapat berbeda berdasarkan bahasa pemrograman, repository, arsitektur, tools, serta kebijakan organisasi.

Security scanning yang memberikan feedback dekat dengan aktivitas development dapat membantu developer mengetahui masalah ketika kode masih relatif mudah diperbaiki. Prinsip ini sejalan dengan pendekatan shift-left yang mendorong integrasi keamanan lebih awal dalam SDLC.

OWASP DevSecOps Guideline menjelaskan bahwa DevSecOps memasukkan aktivitas keamanan ke dalam pipeline CI/CD untuk membangun keamanan ke dalam proses development dan release.

Namun, hasil scanning tetap perlu dianalisis. Sebuah temuan dari security tool tidak otomatis berarti vulnerability yang sudah terbukti atau memiliki tingkat risiko yang sama. Tim perlu melakukan validasi, memahami konteks, kemudian menentukan prioritas penanganannya.

6. Mengintegrasikan Security Testing ke CI/CD

Tahap berikutnya adalah mengintegrasikan pemeriksaan keamanan ke CI/CD pipeline.

Contoh sederhananya:

Commit → Build → SAST → SCA → Automated Test → Security Check → Deployment

Urutan tersebut merupakan ilustrasi. Dalam implementasi nyata, aktivitas dan urutannya dapat disesuaikan dengan kebutuhan aplikasi dan pipeline yang digunakan.

Untuk aplikasi tertentu, pipeline dapat mencakup:

• SAST;
• SCA;
• secret scanning;
• container scanning;
• IaC scanning;
• DAST;
• API security testing; dan
• pemeriksaan konfigurasi.

OWASP menjelaskan bahwa pipeline DevSecOps dapat menggunakan otomatisasi untuk memasukkan berbagai aktivitas keamanan ke dalam proses development dan release, termasuk SAST, DAST, SCA, infrastructure vulnerability scanning, dan container vulnerability scanning.

NIST juga memiliki proyek Secure Software Development, Security, and Operations (DevSecOps) Practices. Pada 24 Maret 2026, NIST NCCoE menerbitkan live document yang mendemonstrasikan bagaimana praktik SSDF dapat diterapkan menggunakan pipeline DevSecOps modern dan teknologi yang tersedia secara komersial.

7. Menentukan Security Gate Berdasarkan Risiko

Setelah security testing berjalan otomatis, organisasi dapat menentukan security gate.

Security gate menetapkan kondisi tertentu yang harus dipenuhi sebelum kode dapat melanjutkan ke tahap berikutnya dalam pipeline.

Contohnya, organisasi dapat menentukan bahwa:

• secret yang terdeteksi harus diperbaiki;
• vulnerability dengan tingkat risiko tertentu harus ditangani;
• dependency dengan masalah keamanan tertentu tidak boleh digunakan;
• image container tertentu tidak boleh masuk ke production.

Aturan tersebut bukan ketentuan universal yang harus diterapkan dengan cara yang sama oleh semua organisasi. Threshold dan kondisi security gate perlu disesuaikan dengan risiko, kebutuhan bisnis, teknologi, serta risk tolerance organisasi.

Jika security gate dikonfigurasi terlalu ketat, pipeline dapat lebih sering tertahan oleh temuan yang memerlukan pemeriksaan lebih lanjut. Karena itu, organisasi perlu menentukan temuan mana yang benar-benar menjadi blocker dan mana yang dapat ditangani melalui proses lain.

Pendekatan ini sejalan dengan prinsip NIST bahwa pemilihan dan penerapan praktik keamanan perlu mempertimbangkan risiko, biaya, kelayakan, penerapan, serta sumber daya.

8. Membuat Security Feedback Lebih Cepat

Salah satu tujuan pendekatan Shift-Left Security adalah menemukan masalah keamanan lebih awal dalam siklus pengembangan sehingga masalah tersebut dapat ditangani ketika konteks perubahan masih lebih mudah dipahami.

Contohnya, jika developer mendapatkan notifikasi mengenai security issue setelah melakukan commit, developer dapat segera memeriksa dan memperbaikinya sebelum perubahan tersebut berkembang menjadi bagian dari fitur yang lebih besar.

Sebaliknya, apabila masalah baru ditemukan pada tahap yang lebih akhir, penanganannya dapat melibatkan lebih banyak komponen atau memerlukan perubahan terhadap desain yang sudah dibuat.

NIST menjelaskan bahwa penerapan praktik secure software development dalam SDLC dapat membantu mengurangi jumlah vulnerability pada software yang dirilis dan mengurangi potensi dampak eksploitasi vulnerability yang tidak terdeteksi atau tidak tertangani.

9. Menetapkan Security Champion

Shift-Left Security juga membutuhkan perubahan dalam budaya kerja.

Salah satu pendekatan yang digunakan organisasi adalah Security Champion. OWASP mendefinisikan Security Champion sebagai anggota tim yang berperan sebagai penghubung antara Information Security dan developer. Peran tersebut dapat diisi oleh developer, tester, product manager, atau anggota tim lain yang memiliki minat dan kemauan untuk belajar mengenai keamanan.

Security Champion biasanya mendapatkan pelatihan tambahan dan dapat membantu tim dalam aktivitas seperti threat modeling, secure code review, penggunaan security testing tools, serta peningkatan awareness keamanan.

Security Champion bukan berarti seluruh tanggung jawab keamanan dipindahkan kepada satu orang. Perannya lebih sebagai penghubung dan pendorong praktik keamanan dalam tim.

10. Memberikan Pelatihan kepada Developer

Tools keamanan akan lebih efektif apabila developer memahami cara menggunakan tools tersebut dan bagaimana menindaklanjuti hasil yang diberikan.

Karena itu, organisasi dapat memberikan pelatihan yang sesuai dengan teknologi yang digunakan.

Materinya dapat mencakup:

• secure coding;
• OWASP Top 10;
• autentikasi dan authorization;
• keamanan API;
• dependency security;
• pengelolaan secret;
• threat modeling; dan
• cara memahami hasil security scanning.

OWASP menempatkan training dan pembangunan security culture sebagai bagian penting dalam pengembangan keamanan aplikasi. Program Security Champion juga dapat membantu meningkatkan pengetahuan keamanan di dalam tim development.

NIST SSDF juga memiliki kelompok praktik Prepare the Organization, yang mencakup kesiapan people, processes, dan technology untuk secure software development.

Artinya, Shift-Left Security bukan hanya persoalan membeli atau memasang security tools.

11. Mengukur dan Mengevaluasi Hasil

Setelah implementasi berjalan, organisasi dapat mengevaluasi apakah pendekatan tersebut membantu mencapai tujuan keamanan yang ditetapkan.

Beberapa metrik yang dapat dipantau antara lain:

• jumlah vulnerability yang ditemukan pada setiap tahap;
• waktu rata-rata untuk memperbaiki vulnerability;
• jumlah vulnerability yang masuk ke production;
• jumlah false positive;
• jumlah security issue yang ditemukan melalui automated testing;
• tingkat keberhasilan security gate; dan
• tren temuan dari waktu ke waktu.

Metrik tersebut sebaiknya digunakan untuk perbaikan proses, bukan sekadar mengejar angka tertentu.

NIST menyatakan bahwa SSDF merupakan dasar untuk merencanakan dan menerapkan pendekatan secure software development berbasis risiko yang dapat disesuaikan dan terus dikembangkan.

12. Terapkan Secara Bertahap

Organisasi tidak harus langsung mengintegrasikan seluruh metode keamanan ke pipeline.

Pendekatan bertahap dapat menjadi salah satu cara untuk mengelola perubahan proses, tools, dan kompetensi tim.

Sebagai contoh, organisasi dapat membuat roadmap seperti:

Tahap 1
Secure coding guideline + secret scanning

Tahap 2
SAST + SCA

Tahap 3
Security testing dalam CI/CD

Tahap 4
Container dan IaC scanning

Tahap 5
Threat modeling + security gate berbasis risiko

Tahap 6
Monitoring, evaluasi, dan continuous improvement

Roadmap tersebut merupakan contoh implementasi, bukan urutan resmi yang diwajibkan NIST. NIST menyatakan bahwa praktik SSDF, tugas, dan contoh implementasinya dapat disesuaikan serta dikembangkan berdasarkan kebutuhan organisasi.

Contoh Penerapan pada Tim Development

Sebagai contoh, sebuah tim mengembangkan aplikasi web menggunakan repository Git dan pipeline CI/CD.

Alur penerapannya dapat dibuat seperti berikut:

1. Perencanaan
Tim menentukan security requirement.

↓

2. Desain
Tim melakukan threat modeling untuk fitur yang memiliki risiko tinggi.

↓

3. Development
Developer menerapkan secure coding.

↓

4. Pull Request
Code review dilakukan dan SAST dijalankan.

↓

5. Dependency Check
SCA memeriksa dependency yang digunakan.

↓

6. CI/CD
Secret scanning dan security testing berjalan otomatis.

↓

7. Security Gate
Temuan dengan tingkat risiko tertentu harus diselesaikan sesuai kebijakan organisasi sebelum deployment.

↓

8. Deployment
Aplikasi diterapkan ke lingkungan yang sesuai.

↓

9. Operasional
Tim melakukan monitoring dan menangani vulnerability baru.

Model tersebut merupakan ilustrasi penerapan prinsip Shift-Left Security: keamanan dipertimbangkan sejak tahap awal, tetapi aktivitas keamanan tetap berlanjut sepanjang siklus pengembangan dan operasional. Pendekatan DevSecOps OWASP juga menempatkan aktivitas keamanan di dalam proses development dan release, bukan hanya pada satu pemeriksaan di akhir.

Kesimpulan

Penerapan Shift-Left Security tidak hanya membutuhkan security tools. Organisasi perlu menggabungkan people, process, dan technology.

Langkahnya dapat dimulai dengan mengidentifikasi risiko, menentukan security requirement, melakukan threat modeling, menetapkan secure coding standard, mengintegrasikan security testing ke workflow developer dan CI/CD, kemudian membangun security culture melalui pelatihan serta Security Champion.

NIST SSDF menyediakan kerangka praktik yang dapat disesuaikan dengan kebutuhan dan tingkat risiko organisasi. NIST juga secara eksplisit menyatakan bahwa SSDF bukan checklist kaku, melainkan dasar untuk pendekatan berbasis risiko dan continuous improvement.

Sementara itu, OWASP menekankan penggunaan automation dan integrasi aktivitas keamanan ke pipeline untuk membantu memasukkan keamanan ke dalam proses DevSecOps.

Dengan pendekatan tersebut, keamanan tidak lagi diperlakukan hanya sebagai pemeriksaan yang dilakukan setelah software selesai, tetapi menjadi bagian dari proses pengembangan sejak awal hingga operasional.

Ingin mempelajari lebih banyak seputar web development, cloud computing, keamanan siber, server, hingga berbagai tren teknologi terbaru? Kunjungi blog Hosteko untuk mendapatkan artikel yang informatif, mudah dipahami, dan selalu diperbarui mengikuti perkembangan dunia digital.

Jangan lewatkan berbagai panduan, tips, serta tutorial yang dapat membantu Anda mengembangkan website, meningkatkan performa bisnis online, dan memperluas wawasan di bidang teknologi. Temukan artikel menarik lainnya hanya di Hosteko Blog dan terus ikuti informasi terbaru untuk mendukung perjalanan digital Anda.