NIST SP 800-155 adalah standar dari National Institute of Standards and Technology (AS) yang mengatur pedoman pengukuran integritas BIOS (BIOS Integrity Measurement Guidelines). Intinya, standar ini mewajibkan setiap perubahan pada kode BIOS (firmware) dan data/setting BIOS diukur menggunakan hash kriptografis, disimpan secara aman, lalu dilaporkan ke pihak verifikator (biasanya admin IT).
Tujuan hadirnya standar keamanan ini adalah untuk memastikan BIOS tidak dimodifikasi secara diam-diam oleh malware atau pihak tak berwenang sebelum sistem operasi berjalan. Sebagai gambaran, root of trust dimulai dari level firmware, bukan dari OS.
Standar ini umumnya dipakai di lingkungan enterprise/korporat, terutama sektor yang menuntut keamanan tinggi seperti pemerintahan, keuangan, kesehatan, dan perusahaan besar yang memproses data sensitif.
Sebagai catatan penting, NIST secara resmi kemudian menerbitkan NIST SP 800-193 (Platform Firmware Resiliency) yang lebih komprehensif dan menggantikan cakupan SP 800-155 serta SP 800-147, tapi istilah "NIST SP 800-155 compliant" masih dipakai vendor laptop sebagai label sertifikasi BIOS.
Laptop dengan Keamanan Berbasis NIST SP 800-155
Segmen laptop yang biasa mengusung standar ini adalah laptop bisnis/komersial (business/commercial-grade), bukan laptop konsumer biasa. Ini sejalan dengan fitur Prevent-Detect-Respond seperti password BIOS lebih kuat, TPM diskrit, downgrade protection, Last Known Good Configuration) yang memang khas fitur keamanan lini bisnis.
Sebagai contoh, di pasaran beberapa tipe laptop yang mendukung fitur BIOS NIST SP 800-155 compliant sebagai fitur keamanan komersial antara lain adalah:
- ASUS ExpertBook Ultra - dengan Dual BIOS ROM, Opal 2.0 SED SSD, sensor intrusi chassis, Windows 11 Secured-core PC
- ASUS ExpertBook B3 (B3405) dan ASUS ExpertBook P1 - dipadukan TPM 2.0, Windows Secured-core PC, McAfee Smart AI
- ASUS ExpertBook P3 (PM3606) - dengan sensor sidik jari dan TPM 2.0
- ASUS ExpertBook P5 (P5405) - plus 5 tahun update keamanan BIOS/driver dari ASUS
Untuk Dell, Dell Trusted Device menerapkan pengukuran berbasis prinsip NIST 800-155 dalam whitepaper keamanan BIOS mereka, meski tidak selalu dilabeli eksplisit "compliant" di brosur produk konsumer.
Informasi eksplisit soal HP dan Lenovo umumnya tidak dipublikasika, namun biasanya diverifikasi lewat datasheet resmi atau tim sales enterprise masing-masing vendor.
Bayangkan skenario ini: seorang staf keuangan di perusahaan multinasional menggunakan laptop bisnis seperti ASUS ExpertBook B5 yang sudah dilengkapi BIOS NIST SP 800-155 compliant, TPM diskrit, downgrade protection, dan fitur Last Known Good Configuration.
Apa Contoh Manfaat Standar NIST SP 800-155?
Bayangkan skenario ini. Suatu hari, laptop dibawa pulang dan tertinggal di tempat umum, lalu ditemukan oleh orang yang tidak berwenang. Orang itu mencoba masuk ke BIOS untuk mengubah pengaturan boot atau memasang firmware jahat agar bisa mencuri data finansial yang tersimpan.
Di titik inilah lapisan Prevent bekerja. BIOS meminta password dengan minimum 8 karakter (bukan 3 karakter seperti laptop biasa), sehingga jauh lebih sulit ditebak atau dibobol lewat brute force. Root of trust yang di-fuse ke hardware juga memastikan bahwa jika ada upaya modifikasi firmware, sistem langsung berhenti (halt) dan tidak mau boot, alih-alih diam-diam menjalankan firmware yang sudah dimanipulasi.
Misalkan orang tersebut berhasil melewati tahap awal dan mencoba menanam versi BIOS lama yang punya celah keamanan (downgrade attack) agar bisa mengeksploitasi bug yang sudah diperbaiki di versi terbaru. Fitur downgrade protection akan menolak instalasi firmware versi lama tersebut.
Sementara itu, chip TPM diskrit tetap menyimpan kunci enkripsi disk (BitLocker, misalnya) secara terpisah dari CPU utama, sehingga walau penyerang mengakses storage secara fisik, data tetap terenkripsi dan kuncinya tidak bisa diekstrak begitu saja.
Inilah lapisan Detect bekerja. Setiap perubahan pada kode maupun konfigurasi BIOS diukur dengan hash kriptografis sesuai ketentuan NIST SP 800-155, sehingga sistem IT perusahaan tahu persis apakah firmware masih dalam kondisi terpercaya sebelum OS bahkan mulai berjalan.
Ketika laptop akhirnya kembali ke tangan pemiliknya dan dicurigai ada upaya tampering, tim IT bisa memicu Last Known Good Configuration untuk mengembalikan BIOS ke setelan aman terakhir yang tervalidasi, memulihkan sistem tanpa perlu flash ulang firmware dari nol. Inilah lapisan Respond, memastikan downtime minimal sekaligus menutup celah yang sempat dieksploitasi.
Contoh nyata segmen yang mengandalkan skenario semacam ini adalah laptop-laptop yang dipakai di sektor perbankan, instansi pemerintah, atau perusahaan dengan data sensitif tinggi, tempat laptop sering dibawa mobile ke luar kantor dan risiko kehilangan/pencurian fisik jauh lebih besar dibanding laptop yang hanya dipakai di dalam gedung kantor.