tirto.id - Serangan siber terus mengancam Indonesia. Baru-baru ini salah satu instansi pemerintah, Pusat Data Nasional (PDN) mengalami gangguan akibat Ransomware LockBit 3.0. Gangguan ini lantas berimbas kepada gangguan layanan publik, salah satunya adalah layanan imigrasi. Pemerintah pun mendapat surat ancaman dan permintaan uang tebusan sebesar 8 juta dolar AS agar PDN bisa kembali beroperasi.
Menteri Komunikasi dan Informatika, Budi Arie Setiadi, memastikan pemerintah tidak akan membayar uang tebusan untuk mengaktifkan kembali Pusat Data Nasional (PDN) setelah diserang Ransomware LockBit 3.0.
"Tidak akan," tegas Budi saat ditemui kompleks Istana Kepresidenan, Jakarta, beberapa waktu lalu.
Budi menegaskan, sistem yang rusak adalah sistem Pusat Data Nasional Sementara (PDNS) yang dibangun di Surabaya. Ia mengatakan, pemerintah tengah menunjuk tim untuk memulihkan sistem tersebut. Ia mengatakan pemerintah memprioritaskan sistem kembali normal dan membackup data sebagai salah satu solusi.
"Ini lagi migrasi," kata Budi.
Ketua Umum Projo ini juga memastikan data pribadi warga aman. Ia menjamin penjagaan data tersebut. Budi pun mengaku ada evaluasi dan segera menyelesaikan masalah semaksimal mungkin.
"Kita berusaha semaksimal mungkin. Kita lagi evaluasi BSSN lagi forensik," tutur Budi Arie.
Terbaru, Wamenkominfo Nezar Patria memastikan layanan berupaya segera diperbaiki. Ia memastikan agar pelayanan publik segera tertangani.
“Secepatnya, beberapa sudah bisa kita pulihkan, misalnya Imigrasi. Kita terus bekerja sekarang untuk mengatasi, terutama layanan publik bisa berjalan kembali seperti sedia kala seperti yang kita harapkan, mohon dukungan dan doanya semua," jelasnya usai Konferensi Pers Update Pusat Data Nasional Sementara di Kantor Kementerian Kominfo, Jakarta Pusat, Senin (24/06/2024).
Direktur Jenderal Aplikasi Informatika Kementerian Kominfo, Semuel Abrijani Pangerapan, mengatakan selain layanan imigrasi, terdapat beberapa layanan lain yang sudah bisa digunakan, antara lain layanan SIKaP Lembaga Kebijakan Pengadaan Barang/Jasa Pemerintah, perizinan event Kemenko Marves, dan website Pemerintah Kota Kediri.
Menurut Semuel, kecepatan proses pemulihan layanan bergantung dari koordinasi antara pemilik aplikasi dengan penyedia PDNS serta waktu yang dibutuhkan untuk migrasi data ke server yang baru. Semuel pun mengatakan mereka tengah melakukan investigasi.
"Memang untuk yang masalah sekarang ini masih dilakukan investigasi, digital forensik, jadi proses, jadi sabar dulu," ujarnya.
Belum selesai masalah Pusat Data Nasional, Indonesia kembali dihebohkan dengan pembobolan dan penjualan data instansi pemerintah Indonesia di media sosial. Mengutip cuitan FalconFeedsio, Setidaknya ada 2 instansi yang disebut dijual, antara lain INAFIS Polri. Dalam kasus BAIS, pihak TNI menyatakan tengah melakukan penyelidikan kasus tersebut.
"Terkait account twiter Falcon feed yang me-release bahwa data Bais TNI diretas, sampai saat ini masih dalam pengecekan yang mendalam oleh tim siber TNI," kata Kapuspen TNI Mayjen Nugraha Gumilar kepada Tirto, Selasa (26/6/2024).
Mengapa Serangan Intens dan Siapa yang Salah?
Direktur Eksekutif ELSAM, Wahyudi Djafar, menilai bahwa serangan siber ini membawa dua konsen. Pertama adalah konsen keamanan siber. Ia mengatakan serangan siber saat ini mengarah pada instansi yang menyimpan informasi penting dan regulasi yang ada mengamanatkan bahwa Badan Sandi dan Siber Negara (BSSN) sebagai pihak yang menjamin keamanan siber.
Kedua, pemerintah juga menerbitkan regulasi manajemen krisis serangan siber hingga strategi nasional keamanan siber. Namun, ELSAM belum melihat pelaksanaan kebijakan secara optimal sehingga memunculkan kehandalan penanganan informasi bersifat strategis yang dikelola pemerintah.
"Pertanyaannya kan kemudian apakah seluruh standar keamanan yang diatur di dalam kebijakan, di dalam peraturan-peraturan tersebut termasuk kemudian juga standar-standar yang dikembangkan oleh BSSN itu sudah diterapkan atau belum gitu kan? kenapa kemudian justru malah serangan itu bertubi-tubi dan kemudian memunculkan atau menimbulkan insiden," kata Wahyudi.
Ia melihat ada dua posibilitas permasalahan keamanan siber saat ini. Pertama, ada egosektoralisme di tiap kementerian dalam menjalankan keamanan siber. Kementerian lembaga punya sistem masing-masing yang memiliki standar berbeda-beda sehingga sulit terintegrasi. Kedua adalah masalah sumber daya manusia dalam menjamin sistem berjalan optimal. Pemerintah seharusnya menjalankan evaluasi setiap serangan siber secara bertubi-tubi.
Dari situasi ini, Wahyudi justru membuka peluang soal urgensi kehadiran undang-undang keamanan siber. Ia menilai urgensi aturan tersebut mulai diperlukan atau tidak dalam menangani masalah siber akibat serangan siber yang intens selama ini.
"Ini yang kemudian menjadi pertanyaan, apakah kemudian ini juga menjadi penanda bahwa memang kita memerlukan sebuah undang-undang keamanan siber yang lebih komprehensif yang kemudian bisa memastikan bagaimana pekerjanya setiap sektor dalam konteks pengamanan ruang siber nasional?" kata Wahyudi.
Pernyataan Wahyudi bukan tanpa alasan. Kehadiran regulasi bisa menghapus masalah egosektoral. Selain itu, peran BSSN saat ini masih sebatas Perpres dan aksinya diatur dalam Perpres 43 tahun 2023 tentang strategi nasional keamanan siber dan manajemen krisis.
Kedua, Wahyudi mengingatkan bahwa permasalahan peretasan berimbas pada tindakan pencurian data. Ia mengatakan, Undang-Undang ITE maupun Undang-Undang Perlindungan Data Pribadi sudah mampu menindak pelaku peretas. Selain itu, pemerintah tengah menyiapkan peraturan teknis perlindungan data pribadi.
"Jadi sebenarnya perangkat hukumnya itu sudah ada, tinggal kemudian bagaimana kapasitas dan kemampuan untuk bisa melakukan proses investigasi dan penyidikan secara mendalam dan mengungkap peristiwa ini secara tuntas atau kejadian ini secara tuntas," kata Wahyudi.
Undang-undang juga mengamanatkan bahwa penyelenggara sistem elektronik harus mengumumkan kegagalan pengelolaan data seperti kebocoran data atau peretasan sebagaimana Peraturan Pemerintah 71 tahun 2019 tentang PSPE. Sanksi juga diatur dalam PP tersebut. Namun, dalam kasus PDNS, mereka menyoalkan posisi Kominfo yang sebagai regulator tetapi juga prekusor.
"Terbukti selama ini dari beberapa kali insiden serangan siber itu memang tidak efektif penanganannya," kata Wahyudi.
Chairman Lembaga Riset Keamanan Siber dan dan Komunikasi CISSReC (Communication and Information System Security Research Center), Pratama D Persadha, mengatakan data pemerintah memang kerap menjadi target peretasan. Ia mengatakan, upaya serangan siber dilakukan dalam rangka meminta tebusan akibat mengunci data krusial hingga menjual data di darkweb. Selain itu, peretasan bisa dikategorikan sebagai upaya mencuri data rahasia negara.
"Saat ini memang sudah mulai terjadi pergeseran tren peretasan dimana sebelumnya peretas lebih mencari pengakuan bahwa mereka hebat karena berhasil meretas perusahaan besar atau lembaga pemerintahan. Saat ini peretas sudah mulai melakukan aksinya karena alasan finansial, dimana mereka bahkan tidak akan melakukan perusakan pada sistem retas namun mereka secara perlahan-lahan melakukan pencurian data untuk kemudian data tersebut dijual di darkweb, atau mereka melakukan serangan ransomware dan meminta tebusan kepada korbannya," kata Pratama.
Pratama mengatakan, kejadian serangan Ransomware pada Pusat Data Nasional berkorelasi dengan kekacauan pemerintahan sistem saat ini, apalagi Indonesia mewajibkan kepemilikan aplikasi dan server sendiri dan tidak boleh pengadaan server di kementerian lembaga masing-masing. Serangan Ransomware pada PDN mengakibatkan seluruh instansi yang menyimpan aplikasi serta data di PDN tersebut tidak dapat menggunakan aplikasi dan data mereka sehingga pelayanan kepada masyarakat juga terhenti.
Penyebab utama dari kerentanan sistem teknologi pemerintahan biasanya berasal dari rendahnya kesadaran SDM tentang keamanan siber, terutama SDM yang memiliki akses ke dalam sistem, baik itu dari internal organisasi untuk keperluan operasional atau pihak lain yang menjadi mitra.
"Kalau kita melihat sistem keamanan siber, kita tidak bisa melihat hanya pada satu sisi infrastruktur serta perangkat keamanan siber saja, tapi kita juga harus melihat aspek lainnya seperti pelatihan karyawan terhadap aspek keamanan siber juga menjadi titik kritis terhadap keamanan siber suatu organisasi karena tak jarang serangan siber yang terjadi berawal dari diretasnya pc/laptop karyawan atau didapatkanya data kredensial karyawan melalui serangan phising," tutur Pratama.
Pratama menekankan, meskipun sistem keamanan siber yang dimiliki oleh lembaga sudah menggunakan sistem yang paling mutakhir dan paling canggih namun edukasi terhadap karyawan serta keamanan siber dari perangkat kerja kurang, maka secara keseluruhan sistem keamanan suatu lembaga akan dianggap kurang kuat dan atau kurang mumpuni karena masih memiliki celah untuk masuknya sebuah serangan.
"Melihat maraknya kebocoran data yang disebabkan oleh kelalaian SDM ini seharusnya sudah menjadi peringatan kepada pimpinan organisasi untuk dengan segera melakukan pelatihan kepada karyawan/mitra yang memiliki akses tersebut bagaimana mengamankan diri mereka sendiri," kata Pratama.
Pratama menekankan, serangan siber yang beruntun dan bertubi-tubi sepertinya menunjukkan kurang pedulinya pemerintah terkait isu keamanan siber. Meskipun tidak ada kerugian secara finansial dengan terjadinya serangan siber, reputasi serta nama baik negara Indonesia akan tercoreng di mata dunia.
Ia pun menerangkan, banyak negara mengakui bahwa Indonesia adalah sebuah negeri open source yang datanya boleh dilihat oleh siapa saja dengan banyaknya peretasan yang terjadi selama ini. "Akhirnya pemerintah baru kelimpungan saat terjadi serangan siber dan melakukan penanganan yang acapkali terlambat serta membutuhkan waktu yang lama," tutur Pratama.
Indonesia sudah memiliki beberapa aturan & perundang-undangan terkait keamanan siber di Indonesia seperti UU PDP, UU ITE, UU IIV, dan lain-lain yang berlaku di Indonesia. Ia menilai regulasi tersebut seharusnya bisa dimanfaatkan untuk melindungi data pribadi warga negara dari kebocoran, namun beberapa UU masih belum bisa berjalan sempurna.
Hingga berita ini dipublikasikan, pihak BSSN belum merespons permohonan wawancara tentang kritik tersebut. Juru Bicara BSSN Ariandi Putra belum memberikan jawaban atas pertanyaan yang disampaikan oleh Tirto.
Penulis: Andrian Pratama Taher
Editor: Anggun P Situmorang
