Ketika sistem pemerintah semakin digital, bagaimana menjaganya tetap aman?

Serangan ransomware terhadap Pusat Data Nasional Sementara (PDNS) pada Juni 2024 menjadi pengingat bahwa satu gangguan siber dapat menjalar ke berbagai layanan pemerintah. 

Insiden pada pusat daya yang menjadi infrastruktur bersama lebih dari 228 kementerian, lembaga, dan pemerintah daerah tersebut telah berdampak pada terhambatnya layanan keimigrasian, pendaftaran beasiswa pendidikan, termasuk aplikasi kearsipan dan persuratan milik pemerintah, Srikandi. 

Menurut Deputi Bidang Keamanan Siber dan Sandi Pemerintahan dan Pembangunan Manusia pada Badan Siber dan Sandi Nasional (BSSN), Sulistyo, membangun sistem hanyalah langkah pertama.

Langkah berikutnya adalah bagaimana memastikan sistem tersebut tetap aman, terpelihara, dan mampu dipulihkan ketika terjadi serangan. 

“Pendekatan keamanan jangan ditempatkan di pemeriksaan terakhir (security at the end),  tetapi dirancang sejak awal (security by design). Keamanan harus dianggap sebagai hal yang mandatory.” 

Keamanan dimulai sebelum sistem diluncurkan 

Sulistyo menekankan bahwa pendekatan security by design menempatkan keamanan sebagai bagian dari seluruh siklus hidup sistem, mulai dari perencanaan dan pembangunan hingga operasional, pemeliharaan, bahkan hingga sistem itu tidak lagi digunakan. 

Arah tersebut tengah didorong melalui rancangan Peraturan Presiden tentang Pemerintahan Digital sebagai refleksi atas implementasi peraturan sebelumnya tentang Sistem Pemerintahan Berbasis Elektronik (SPBE). 

Pemerintah juga telah menerbitkan Peraturan Presiden No 132/2022 tentang Arsitektur SPBE yang memasukkan keamanan sebagai salah satu domain.  

Namun, menurut Sulistyo, penguatan masih diperlukan agar keamanan menjadi pertimbangan yang lebih menentukan sejak awal pengembangan sistem. 

Salah satunya adalah menetapkan kriteria keamanan sejak tahap pengadaan. Persyaratan tersebut sudah menjadi bagian dari keputusan mengenai teknologi apa yang digunakan dan bagaimana sistem dikembangkan. 

Produk teknologi yang digunakan pemerintah, misalnya, dapat diwajibkan memiliki sertifikasi atau telah melalui pengujian keamanan tertentu, katanya. 

Dengan pendekatan ini, keamanan tidak lagi menjadi pemeriksaan terakhir setelah sistem selesai dibangun.  

Memelihara sistem, menutup celah keamanan 

Sulistyo juga menyoroti ancaman siber yang terus berkembang membuat pemeliharaan sistem menjadi semakin penting.

“Ketika sistem pemerintah telah beroperasi selama bertahun-tahun dan tidak mendapatkan pembaruan teknologi maupun keamanan, maka kerentanan akan terbuka.” 

Sulistyo mengatakan sektor administrasi pemerintahan termasuk tiga sektor dengan anomaly traffic tertinggi dalam tiga tahun terakhir. Berdasarkan analisis BSSN, sekitar 60-80 persennya disebabkan oleh malware. 

BSSN juga menemukan persoalan yang berulang, mulai dari penggunaan perangkat lunak bajakan dan lisensi yang sudah habis, tidak menggunakan antivirus, hingga kegagalan melakukan patching dan pembaruan.  

“Sebuah software, aplikasi, ataupun hardware yang di dalamnya ada firmware, kemudian lisensinya habis dan dia menggunakan produk bajakan, maka akan terjadi kegagalan dalam proses patching,” ujar Sulistyo. 

Kerentanan perangkat lunak dicatat melalui Common Vulnerabilities and Exposures (CVE), yang memungkinkan pengembang menyediakan pembaruan ketika celah keamanan ditemukan.

Tetapi pembaruan hanya efektif jika pengelola sistem benar-benar menerapkannya. 

Karena itu, pengelola sistem perlu menilai lebih dari sekadar apakah sebuah sistem lama masih berfungsi.  

Pengelola juga perlu mengetahui apakah sistem tersebut masih mendapatkan pembaruan keamanan, memiliki kerentanan yang belum ditangani, dan masih sesuai dengan kebutuhan keamanan saat ini, ia menambahkan. 

Hal tersebut menjadi semakin penting bagi sistem yang masuk kategori Infrastruktur Informasi Vital (CII), terutama yang berkaitan dengan layanan penting atau keselamatan manusia. 

Sulistyo mencontohkan sistem navigasi dan radar pengendali lalu lintas udara. Gangguan pada sistem yang sudah obsolete dapat memengaruhi navigasi pesawat maupun proses landing dan take-off. 

Risiko serupa dapat muncul dalam layanan kesehatan, ketika perangkat medis semakin terhubung dengan sistem digital. 

“Kalau misalkan data rekam medisnya dimanipulasi, maka akan berdampak pada keselamatan manusia,” katanya. 

Contoh terebut menunjukkan bahwa tidak semua sistem memiliki tingkat risiko dan tingkat perlindungan yang sama. Semakin besar dampak sebuah sistem terhadap masyarakat, semakin penting pula pengelolaan kerentanan, pengujian, dan pemeliharaan dilakukan secara berkala. 

Sistem harus siap menghadapi dan memulihkan serangan 

Meski sistem telah dirancang dengan keamanan yang baik dan diperbarui secara berkala, tidak ada sistem yang sepenuhnya kebal terhadap serangan.

Karena itu, pemerintah juga perlu memiliki kemampuan untuk mendeteksi, merespons, dan memulihkan layanan ketika insiden terjadi. 

Salah satu upaya BSSN adalah mendorong pembentukan Tim Tanggap Insiden Siber (CSIRT) di kementerian, lembaga, dan pemerintah daerah. 

Tim tersebut tidak hanya diperlukan ketika serangan sudah terjadi. Sebelum insiden, mereka perlu menyiapkan prosedur, kemampuan teknis, serta melakukan latihan agar instansi mengetahui apa yang harus dilakukan ketika menghadapi serangan seperti defacing, kebocoran data, atau ransomware.

“Tim tanggap insiden siber tidak hanya bekerja saat insiden terjadi. Mereka tetap bekerja sebelum insiden terjadi,” ujar Sulistyo. 

BSSN juga memberikan bimbingan teknis dan simulasi penanganan insiden dari aspek teknis maupun nonteknis. 

Pembentukan tim tersebut meningkat pada 2025. Menurut Sulistyo, sekitar 97 persen kementerian, lembaga, dan pemerintah daerah telah memiliki Tim Tanggap Insiden Siber, dibandingkan sekitar 42 persen pada tahun sebelumnya. 

Pada 2026, konsolidasi masih dilakukan untuk melengkapi pembentukan tim di seluruh kementerian, lembaga, dan daerah. 

Namun, respons terhadap insiden seharusnya tidak berhenti ketika layanan kembali beroperasi. Instansi perlu mengevaluasi bagaimana serangan terjadi dan memperbaiki kelemahan yang ditemukan. 

“Setiap insiden dapat menjadi sumber pembelajaran bagi pemerintah secara lebih luas,” kata dia. 

Undang-Undang Keamanan Siber menjadi faktor kritikal 

Tantangan berikutnya adalah memastikan rekomendasi keamanan benar-benar ditindaklanjuti. 

BSSN dapat melakukan pengujian, menemukan kerentanan, dan memberikan rekomendasi kepada pemilik sistem. Namun, kewenangan untuk memberikan sanksi masih terbatas ketika rekomendasi tersebut tidak dijalankan. 

“Kita kasih rekomendasi untuk mereka jalankan. Kalau tidak dijalankan, kita tidak bisa kasih sanksi,” katanya. 

Karena itu, menurut Sulistyo, diperlukan dasar hukum yang lebih kuat agar keamanan tidak berhenti sebagai anjuran atau pilihan. 

Penguatan tersebut diharapkan melalui RUU Keamanan dan Ketahanan Siber (RUU Kamsiber), yang diharapkan dapat menjadikan kewajiban keamanan lebih mengikat. 

“Jadi rekomendasi bukan lagi sebuah anjuran atau opsional, tetapi menjadi kewajiban,” ujarnya.