Serangan Siber Berulang, Pemerintah Gagal Lindungi Data Rakyat!

Suara.com - KEMARAHAN mewarnai rapat kerja yang digelar Komisi I DPR RI dengan Kementerian Komunikasi dan Informatika atau Kominfo, serta Badan Siber dan Sandi Negara atau BSSN pada Kamis (28/4/2024) malam. Rapat kerja digelar untuk meminta pertanggungjawaban Kominfo dan BSSN atas serangan siber terhadap Pusat Data Nasional Sementara (PDNS) dalam sepekan terakhir.

Pada Kamis 20 Juni, server PDNS mengalami serangan siber ransomware jenis BrainChipper. Akibatnya data dari 282 kementerian/lembaga terkunci dan tidak bisa diakses. Tak hanya itu, layanan publik sempat terganggu, seperti layanan keimigrasian di bandara dan pengurusan paspor. 

Serangan siber itu diduga dilakukan hacker yang memiliki jaringan dengan kelompok peretas LockBit. Mereka mengunci data yang tersimpan di sistem PDSN Surabaya. Untuk bisa mengaksesnya kembali, mereka meminta tebusan USD 8 juta atau setara Rp131 miliar. 

Saat dimintai pertanggungjawaban, Kepala BSSN Hinsa Sibaruian mengaku ada kesalahan dalam tata kelola. Terungkap pula dari keseluruhan data di PDNS Surabaya yang saat ini terkunci hanya dibackup 2 persen di PDNS Batam. 

Fakta itulah yang menyulut emosi Ketua Komisi I DPR RI Meutya Hafid. Anggota dewan fraksi Golkar ini, mengkritik persoalannya bukan di tata kelola. 

"Kalau alasannya ini kan kita enggak hitung Batam. Bakcup-kan maksudnya cuman dua persen, berarti itu bukan tata kelola, itu kebodohan saja sih pak," tegas Meutya.

Emosi yang tersulut bukan hanya dari Meutya, anggota Komisi I DPR Sukamta mengkiritisi sikap Menteri Komunikasi dan Informatika (Menkominfo) Budi Arie. Saat memberikan keterangan, ketua Relawan Pro Jokowi atau Projo itu menyampaikan rasa syukurnya. 

"Dalam serangan siber ini selalu analisanya dua saja. Ini state actor (aktor negara) atau nonstate actor (swasta). Tapi di forum ini saya ingin tegaskan bahwa kesimpulan mereka ini nonstate actor dengan motif ekonomi. Itu sudah Alhamdulillah dulu, karena kalau yang nyerang negara, berat," katanya. 

Mendengar rasa syukur yang diucap Budi Arie di tengah serangan siber, Sukamta berang. 

"Saya satu sisi senang ya Pak Menteri jadi religius, bersyukur di tengah serangan begini. Tapi saya prihatin Bapak bersyukur di tengah serangan yang hebat bagi negara Pak," ujarnya.

Sukamta menilai rasa syukur tidak tepat diungkapkan di tengah keamanan siber negara dibobol. 

"Menurut saya lebih tepat, Innalillahi dibanding Alhamdulillah, Pak. Karena ini persoalan national security yang punya Bais, punya Polri dijual bebas file-nya, sekarang bahkan bisa di-download. Begitu kok Alhamdulillah Pak. Harusnya Innalillahi Pak," ujar Sukamta kesal. 

Pemerintah Abai

Selain PDNS, serangan berupa pembocoran data turut menimpa Polri dan Badan Intelijen Stategis atau BAIS TNI. Informasi yang beredar di media sosial, dokumen rahasia dan identitas anggota Polri dan TNI diperjualbelikan di situs Dark Web. 

Serangan siber terhadap pusat data berbagai lembaga/kementerian dan swasta di Indonesia bukan kasus baru. Laporan Southeast Asia Freedom of Expression Network atau (SAFEnet) menyebut, sepanjang tahun 2023 terdapat 32 peristiwa serangan siber. Kasus itu termasuk peristiwa yang dialami BPJS Kesehatan, Polri, KPU RI, dan Kementerian Pertahanan.

Sementara pada awal 2024, SAFEnet melaporkan serangan siber ke Indonesia mengalami peningkatan. Pada Januari hingga Maret terjadi 61 kali serangan; 13 kali pada Januari, 20 kali pada Februari, dan 27 kali pada Maret.

Berulangnya peristiwa serangan siber ke tanah air menunjukkan abainya negara terhadap perlindungan dan keamanan data. Seharusnya peristiwa yang sebelumnya terjadi dapat dijadikan pintu masuk melakukan perbaikan tata kelola.

"Kita bisa lihat dari komitmen negara yang sangat lemah. Termasuk bagaimana mereka memprioritaskan soal perlindungan data ini, kayaknya enggak ada," kata Direktur SAFEnet Nenden Sekar Arum kepada Suara.com, Jumat (28/6/2024). 

Sikap pemerintah yang abai dinilai berdampak pada proses perencanaan hingga langkah mitigasi. Nenden juga menduga tidak ada pengawasan secara ketat terkait implementasi dan operasional perlindungan data. 

Negara abai itu juga diperkuat dengan penunjukan Menkominfo. Periode kedua Presiden Joko Widodo, posisi menteri awalnya dijabat Johnny G Plate. Namun pada 2023, Plate harus menanggalkan jabatannya karena tersandung kasus korupsi BTS 4G yang mengakibatkan kerugian negara triliunan rupiah. 

Plate memiliki latar belakang pengusaha alat pertanian sebelum terjun ke dunia politik. Dia pernah menjadi anggota DPR RI, hingga kemudian menjabat sekretaris jenderal partai NasDem, lalu dilantik sebagai Menkominfo pada 23 Oktober 2019. Partai NasDem diketahui salah satu partai koalisi pro Jokowi. 

Posisi Plate kemudian diganti oleh Budi Arie hingga saat ini. Budi merupakan ketua Relawan Pro Jokowi atau Projo. 

"Menteri di Kominfo dalam beberapa periode ini kan sepertinya giveaway," ujar Nenden. 

"Karena menteri-menteri yang dipilih atau yang ditunjuk presiden itu adalah menteri-menteri yang merupakan bagian dari jatah partai atau relawan. Yang memang tidak memiliki kompetensi terhadap isu-isu digital, atau isu-isu teknologi informasi secara umum," sambungnya.

Tak Sejalan dengan Digitalisasi 

Nenden berpandangan, mengabaikan keamanan siber dan menkominfo yang tidak kompeten bertolakbelakang dengan program pemerintah yang mengembar-gemborkan digitalisasi. 

Sebagaimana diketahui, program digitalisasi beberapa kali disinggung Presiden Jokowi. Ketika sesi ketiga Konferensi Tingkat Tinggi (KTT) G20 pada 2022, Jokowi mendorong transformasi digital demi masa depan perekonomian. Jokowi memaparkan tiga hal penting yang harus difokuskan, yakni kesetaraan akses digital, literasi digital, dan kemananan digital. 

"Tapi sayangnya itu tidak direfleksikan terhadap penentuan posisi-posisi strategis dalam pemerintahan," tuturnya. 
 
Pakar siber dari Communication & Information System Security Research Center atau CISSReC, Pratama Dahlian Persadha menilai, seharusnya menkominfo berasal dari kalangan profesional, mengingat era digital yang semakin kompleks. 

Dia menegaskan, ruang siber adalah medan perang yang tak terlihat, tapi memiliki pengaruh sangat besar. Posisi pemimpin Kominfo yang memiliki kompetensi tinggi sangat krusial. 

"Sehingga memerlukan pemimpin yang memahami secara mendalam berbagai aspek keamanan siber, termasuk ancaman yang berkembang, teknologi terbaru, dan regulasi terkait," kata Pratama kepada Suara.com. 

Dengan memiliki kemampuan yang memadai, pemimpin Kominfo setidaknya harus mampu merespons dengan cepat dan tepat  mengidentifikasi, menganalisis, serta merespons ancaman siber. Kemudian mampu membuat regulasi yang memperkuat keamanan dan perlindungan siber.  

Selain itu, harus mampu membangun kemitraan yang efisien dan saling menguntungkan. Hal itu menjadi penting, kata Pramata, karena keberhasilan dalam menjaga keamanan siber nasional bergantung pada kemampuan kolaborasi dengan berbagai pihak, termasuk lembaga pemerintah, sektor swasta, dan lembaga internasional.

Kelemahan Kemananan Siber

Pratama mengemukakan kerentanan serangan siber di Indonesia. Penyebab utama, kualitas sumber daya manusia atau SDM yang rendah. Hal itu berkaitan dengan kepedulian terhadap perlindungan siber, khususnya karyawan di lembaga terkait dan mitra yang menjadi pihak ketiga. 

Pengamanan dan perlindungan siber tak bisa hanya bergantung pada sisi infrastruktur serta perangkat keamanan. 

"Tak jarang serangan siber yang terjadi berawal dari diretasnya pc/laptop karyawan, atau didapatkanya data kredensial karyawan melalui serangan phising," ucapnya. 

Pratama menambahkan, meski sistem perlindungan siber yang digunakan paling mutakhir dan canggih, menjadi percuma bila tak diiringi dengan pengetahuan SDM yang memadai soal kemanan. 

"Karena masih memiliki celah untuk masuknya sebuah serangan," tuturnya.  

Oleh karena itu, peristiwa serangan siber yang berulang harus dimaknai sebagai peringatan untuk meningkatkan pengetahuan keamanan kepada pegawai di lembaga/kementerian terkait. Peningkatan pengetahuan itu dapat dilakukan melalui pelatihan yang konperhensif dengan materi yang sesuai dengan perkembangan yang ada. 

Selain itu dari sisi regulasi, Pratama mendesak untuk disahkankan Rancangan Undang-Undang Ketahanan dan Keamanan Siber yang sampai saat ini masih tertunda pengesahannya. Menurutnya sejumlah regulasi seperti Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi atau UU PDP dan Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (UU ITE) masih memiliki keterbatasan. 

UU PDP, kata dia, meski sudah mengatur sanksi kepada organisasi yang mengalami kebocoran data, tapi belum bisa bisa ditindak. Hal itu disebabkan belum ada lembaga yang memiliki otoritas untuk menangani masalah data pribadi. Dampaknya, negara belum bisa menjatuhkan hukuman kepada organisasi yang data-data pribadi mereka kelola bocor akibat serangan siber.  

Sementara, UU ITE yang sudah mengakomodir lebih banyak persoalan perlindungan data pribadi, tapi memiliki keterbatasan saat berhadapan dengan serangan siber lintas negara. Pada beberapa kasus, para pelaku serangan berada di luar yuridiksi hukum Indonesia sehingga sulit untuk dilacak dan ditangkap. 

Rugikan Warga

Peristiwa serangan siber ke PDNS yang membuat layanan publik terhambat menjadi salah satu akibat abainya negara terhadap perlindungan data. 

Nenden SAFEnet mengkhawatirkan data yang dikunci selanjutnya disalagunakan untuk kepentingan tertentu. Dampaknya saat ini mungkin belum terlihat, tapi tak menutup kemungkinan baru terjadi dalam beberapa waktu kedepan. 

Dia menyebut, bahaya dari serangan siber tidak bisa dikalkulasi atau diperkirakan kerugiannya. 

"Yang perlu dilakukan agar peristiwa ini tidak terjadi masa depan, paling penting itu adalah pengakuan kesalahan dari pihak-pihak yang bertanggung jawab," tegasnya. 

Pengakuan itu penting, karena Nenden menilai peristiwa serangan yang berulang menunjukkan tidak adanya perasaan bersalah dari Kominfo dan BSSN, sehingga tidak belajar dari peristiwa sebelumnya untuk melakukan perbaikan. 

Selanjutnya, Kominfo dan BSSN dapat melakukan evaluasi dan memitigasi titik yang rawan terhadap serangan siber. Termasuk, mengaudit sistem keamanan sebelumnya secara menyeluruh, dan meningkatkan sistem pengawasan. 

Tak kala penting, menurutnya, membuka ruang kepada publik, termasuk pihak yang memiliki kompetensi dalam dunia siber, untuk menerima saran dan kritikan. Namun ditegaskannya, tidak hanya sebagai formalitas belaka, tanpa menjalankan rekomendasi yang sudah diberikan. 

Ditengah polemik serangan siber, SAFEnet juga membuat petisi di Change.org pada 26 Juni, meminta Budi Arie mundur dari jabatatan sebagai Menkominfo. Petisi itu diberi judul, 'PDNS Kena Ransomware, Menteri Kominfo Budi Arie Setiadi Harus Mundur!' Terpantau, hingga 28 Juni, petisi itu telah ditandatangani 9.967 nitizen dari target 10 ribu. 

Respons Menkominfo dan Kepala BSSN

Pada Jumat (28/6) Budi Arie enggan berkomentar banyak soal petisi yang meminta mundur dari jabatannya. Menurutnya desakan mundur yang termuat dalam petisi merupakan hak masyarakat untuk bersuara. 

Pada hari yang sama, di Istana Negara Budi Arie diduga kabur usai menjanjikan konferensi pers kepada awak media. Kedatangannya ke Istana untuk menghadiri rapat terbatas bersama presiden, para menteri, dan juga Kepala BSSN Hinsa Siburian. Kepada awak media, Budie menjanjikan konferensi pers usai rapat terbatas. 

Namun usai rapat, Budi Arie dan Hinsa tidak terlihat awak media yang sudah menantinya. Padahal kedatangan keduanya terpantau para awak media. 

Sementara, terkait dengan masalah data yang tidak dicadangkan, Budi Ari menyatakan akan mengeluarkan peraturan yang mewajibkan lembaga/kementerian melakukan backup data. Keterangan itu disampaikannya pada Kamis (27/6) saat rapat kerja dengan Komisi I DPR. 

Soal serangan siber, Kominfo katanya akan melakukan penelusuran forensik dan assement, bersamaan dengan langkah decrypt dan penguatan di seluruh ekosistem, khususnya di PDNS Surbaya. Kemudian dia juga meminta kepada seluruh vendor melakukan update kemanan siber. 

"Kesimpulan akhir, pemerintah sedang menyusun dan melakukan langkah-langkah strategis yang cepat, komprehensif, dan terpadu di level nasional untuk melakukan pemulihan dan perbaikan sistem secara menyeluruh, lintas kementerian, lembaga daerah," kata Budi.

Sementara Hinsa, pada kesempatan yang sama bersama Budie, menyampaikan proses forensik masih berlangsung. Dia belum dapat memastikan apakah terjadi kebocoran data atau tidak akibat serangan yang terjadi. 

"Sampai saat ini yang kami tahu data itu dalam terenkripsi. Pengertian kebocoran data berarti kan dia keluar dari pusat tersebut," ujarnya.  

"Tapi, hasil koordinasi kami dengan Telkom dan hasil secara teknis dari forensik kami, yang kami tahu sekarang dia terkunci di situ. Soal dia bocor di luar, belum bisa kami pastikan 100 persen," sambungnya.