Mengubah paradigma keamanan siber dari “kepatuhan” ke “ketahanan”

Lembaga pemerintah bisa saja melakukan checklist kepatuhan pada hari ini tapi kemudian terkena serangan ransomware di hari lain, terutama dengan lanskap serangan yang semakin canggih dengan adanya kecerdasan artifisial (AI). 

Di sinilah pentingnya lembaga sektor publik untuk beralih dari sekadar mematuhi regulasi (compliance) ke membangun ketahanan (resilience), menurut Kepala Pusat Data dan Teknologi Informasi Kementerian Luar Negeri, Pangarso Dadung Nugroho.

“Banyak organisasi merasa aman setelah mendapatkan sertifikasi ISO 27001. Padahal, kenyataannya banyak korban ransomware di dunia juga merupakan organisasi yang patuh,” ujarnya. 

Hal itu disampaikan Dadung saat menyampaikan pidato pembuka di acara "From Compliance to Resilience: Building Sustainable Cyber Resilience in the Public Sector" yang diselenggarakan GovInsider bekerja sama dengan TrendAI di Jakarta 7 Mei.

Menurut Dadung, standar kepatuhan seperti ISO 27001, Undang-Undang Perlindungan Data Pribadi (PDP), hingga regulasi Badan Siber dan Sandi Negara (BSSN) tetap penting sebagai fondasi.  

Namun, kepatuhan haruslah dipandang standar minimum, bukan tujuan akhir keamanan siber.  

“Ibarat lalu lintas, compliance adalah mematuhi aturan dan mengikuti peta agar tidak tersesat. Sementara resilience adalah bagaimana kemampuan pengemudi mengendalikan kendaraan ketika rem blong atau ban pecah di tengah jalan,” kata dia.

Memanfaatkan AI untuk melawan serangan AI 

Menurut Dadung, perkembangan AI telah mengubah lanskap ancaman siber secara fundamental.  

Ketika pelaku serangan mulai memanfaatkan AI untuk menemukan celah keamanan dan melancarkan serangan lebih cepat, organisasi pemerintah juga harus mulai menggunakan AI untuk memperkuat deteksi dan respons mereka sendiri. 

“Kalau penyerang sudah pakai AI, kenapa kita tidak?” katanya. 

Kondisi global yang semakin tidak menentu juga membuat langkah ini semakin relevan. 

Ia menyinggung potensi perang siber yang berjalan bersamaan dengan konflik geopolitik dan perang fisik di berbagai negara, dan bagaimana AI turut mengambil bagian dalam peristiwa tersebut. 

Ketahanan dimulai dari meja pimpinan 

Untuk mencapai ketahanan, perubahan terbesar yang dibutuhkan terletak di level kepemimpinan, kata Dadung. 

Ia menilai isu keamanan siber sering kali diperlakukan semata sebagai persoalan teknis, padahal sejatinya merupakan bagian dari manajemen risiko organisasi dan keberlangsungan layanan publik.

“Pimpinan perlu mulai mengubah pertanyaan yang diajukan kepada tim IT. Bukan lagi sekadar apakah organisasi sudah patuh terhadap regulasi, melainkan seberapa cepat layanan dapat pulih ketika serangan terjadi,” katanya. 

Ia turut menyinggung insiden gangguan pusat data nasional yang sempat berdampak pada ratusan instansi pemerintah di Indonesia.   

Insiden tersebut memperlihatkan bahwa banyak organisasi belum benar-benar siap menghadapi skenario pemulihan pascaserangan.  

Sebagian besar institusi masih terlalu fokus mengalokasikan anggaran pada teknologi pencegahan, tetapi belum menyeimbangkannya dengan investasi di bidang deteksi, respons insiden, dan pemulihan sistem.   

“Sering kali 80 persen anggaran habis untuk protection. Tapi kita lupa investasi di deteksi, respons, dan recovery,” ujarnya.

Tanpa backup yang kuat dan terisolasi, proses pemulihan akan jauh lebih sulit ketika serangan terjadi. Karena itu, ia menekankan pentingnya sistem backup yang terpisah dari infrastruktur utama atau air-gapped backup. 

Teknologi lama bisa kembali relevan   

Di tengah dorongan menuju AI dan teknologi canggih, Dadung menilai ketahanan justru membutuhkan kombinasi antara teknologi masa depan dan kesiapan menghadapi skenario terburuk.

Menurutnya, ketergantungan masyarakat terhadap internet dan sistem digital sudah sangat tinggi. Jika internet global mengalami gangguan besar, berbagai layanan vital berpotensi lumpuh.   

Ia menilai pemerintah perlu mulai mempertimbangkan kembali teknologi lama yang selama ini ditinggalkan.    

Karena itu, timnya mulai mengeksplorasi penggunaan teknologi analog seperti radio untuk memastikan komunikasi dan koordinasi tetap berjalan saat terjadi krisis besar.    

“Kita harus punya sarana komunikasi alternatif ketika sistem digital gagal,” katanya.    

Kolaborasi membangun ketahanan siber   

Bagi Dadung, membangun ketahanan siber harus dilakukan secara kolektif melalui kolaborasi yang lebih erat antarinstansi pemerintah.

Salah satu caranya ialah dengan berbagi informasi ketika terjadi insiden siber.

Ia mengusulkan forum rutin bagi para pengelola teknologi informasi di pemerintahan untuk saling bertukar pengalaman teknis dan operasional, serupa dengan forum komunikasi yang sudah dimiliki bidang kehumasan.  

“Tidak ada organisasi yang bisa resilient sendirian,” katanya.  

Ia juga mengingatkan pentingnya pelaporan cepat kepada Computer Security Incident Response Team (CSIRT) sektoral ketika insiden terjadi, alih-alih menutupinya karena khawatir terhadap reputasi.  

Dengan berbagi informasi lebih awal, organisasi dapat membangun pertahanan kolektif dan mencegah serangan meluas ke sektor lain.

“Kalau satu sektor jatuh, dampaknya bisa ke mana-mana,” tutupnya.