Arah Pengelolaan Keamanan dan Ketahanan Siber

KITA tentu masih ingat peristiwa bocornya Pusat Data Nasional Sementara di Surabaya karena mendapat serangan siber berupa ransomware bernama brain chiper pada 2024 lalu. Sebanyak 201 instansi pusat dan daerah terkena dampak.

Salah satunya layanan imigrasi down yang berakibat antrean imigrasi berjam-jam di bandara. 

Serangan virus ransomware wannacry ke website Rumah Sakit Dharmais dan Rumah Sakit Harapan Kita pada 2017, juga cukup mengejutkan kita saat itu. Serangan ini mengacaukan layanan online di rumah sakit tersebut.

Di tempat lain, sejak 2014, Rusia melancarkan serangan terhadap keamanan sistem siber Ukraina. Hal ini dilakukan Rusia sebelum melancarkan serangan fisik dengan operasi militer ke Ukraina.

Serangan siber juga pernah terjadi di Korea Selatan. Koneksi internet Korea Selatan diputus selama 20 hari disebabkan adanya serangan dari hackers sehingga mengacaukan roda perekonomian, bursa saham, hingga distribusi energi dan pangan.

Contoh peristiwa di atas menggambarkan bagaimana serangan siber bisa berdampak pada kehidupan. 

Dalam tataran mikro dan sektoral, serangan siber bisa menimbulkan kekacauan di masyarakat, ketidaktertiban, dan ketidakamanan. 

Dalam tataran lebih makro, serangan siber bisa berdampak lebih serius, bahkan bisa menimbulkan perang siber seperti yang terjadi antara Ukraina versus Rusia. 

Pada level ini, serangan siber bisa mengancam ketahanan dan kedaulatan suatu negara. Sebagaimana disebutkan Dunn Cavelty (2015), level serangan siber terbagi menjadi empat level, yaitu level I teknis, level II kejahatan, level III keamanan, dan level IV militer. Arah pengelolaan keamanan siber harus mencakup empat level ini.

Serangan siber di Indonesia sering terjadi, dengan tren yang menunjukkan adanya peningkatan. 

Badan Siber dan Sandi Negara (BSSN) mencatat ada 403 juta anomali trafik atau serangan siber ke Indonesia sepanjang 2023. Naik dari tahun 2022 yang tercatat terjadi 370,02 juta serangan. Pada 2021, tercatat 266,74 juta serangan. 

AwanPintar.id (penyedia layanan keamanan siber) mencatat data yang lebih fantastis, yaitu total seluruh serangan siber di Indonesia mencapai 2,5 miliar serangan selama semester pertama 2024.

Kondisi di atas semakin mendesak negara kita untuk segera memiliki keamanan dan ketahanan siber yang kuat dan kokoh. 

Selama ini, bukan berarti fungsi keamanan atau ketahanan siber tidak berjalan sama sekali. Fungsi-fungsi tersebut tersebar ada di Siber Polri, Satuan Siber TNI, Siber Komdigi, Siber BIN, juga BSSN. 

Tentunya masing-masing fungsi siber di lembaga-lembaga tersebut memiliki landasan hukum di bawah level undang-undang dan sifatnya cenderung sektoral. 

Beberapa contoh di antaranya seperti Pedoman Pertahanan Siber yang dikeluarkan melalui Permenhan No. 82 tahun 2014, Peraturan Presiden (Perpres) Nomor 47 Tahun 2023 tentang Strategi Keamanan Siber Nasional dan Manajemen Krisis Siber, Peraturan Badan Siber dan Sandi Negara Nomor 4 Tahun 2021 tentang Pedoman Manajemen Keamanan Informasi, dan seterusnya. 

Bayangkan, ketika terjadi serangan siber, peraturan/regulasi mana yang akan digunakan?

Tidak adanya kesatuan landasan payung hukum bisa menyebabkan penangkalan serangan siber berjalan tidak efektif karena masing-masing regulasi bisa saja memiliki prosedur sendiri-sendiri. 

Karena itu, kita memerlukan payung hukum setingkat undang-undang yang komprehensif yang secara aturan dan tata kelola mampu menyinkronkan, menyinergikan dan mengolaborasikan seluruh unsur pengelola siber demi mewujudkan keamanan dan ketahanan siber secara nasional.

Kita memerlukan payung hukum yang efektif untuk melakukan pengawasan ketat, penegakan hukum konsisten, dan memiliki kemampuan beradaptasi dengan kemajuan teknologi dan ancaman siber yang terus berkembang. 

Untuk menyusun payung hukum tersebut, ada beberapa hal yang sangat penting untuk diperhatikan.

Pertama, manajemen risiko keamanan siber. Di negara kepulauan seperti Indonesia, yang dilewati oleh ring of fire, bencana alam sering mengintai, gunung meletus, gempa bumi, banjir, longsor, dan seterusnya. 

Hal ini harusnya memunculkan risk-culture dalam kehidupan kita. Bagaimana misalkan dalam membangun gedung, rumah, jalan raya, jalan tol, jembatan dan infrastruktur fisik lainnya, mindset terhadap risiko ini menjadi perhatian penting guna mendesain bangunan yang tahan gempa, misalnya.

Demikian juga dalam kehidupan digital di ranah siber, risiko juga sama menjadi tantangan karena dalam dunia siber juga ada bencana-bencana meski dalam format berbeda. 

Namun demikian, dampaknya bisa luas dan mengganggu kehidupan kita semua. Contoh-contoh di awal tulisan ini seperti serangan siber di Korea Selatan dan Ukraina demikian luar biasa dampaknya. 

Jika gempa bumi, misalnya, hanya berdampak kepada wilayah fisik tertentu, bencana siber bisa lebih dahsyat dampaknya yang melampaui batas ruang dan wilayah. Negara bisa lumpuh hanya dengan satu sentuhan tombol komputer. 

Karena itu, manajemen risiko dalam keamanan siber juga harus diatur dalam payung hukum yang dimaksud.

Kedua, leadership. Seperti disebutkan di atas bahwa penanganan keamanan dan ketahahan siber dilakukan oleh lembaga-lembaga yang ada seperti Satuan Siber TNI, Siber Polri, Siber BIN, Siber Komdigi, BSSN, dan seterusnya.

Siber Polri menjalankan fungsi penindakan terhadap tindak pidana siber dan kejahatan siber, lebih kepada menciptakan ketertiban dan keamanan di masyarakat seperti fungsi Polri. 

Satuan Siber (Satsiber) TNI bertangung jawab untuk urusan siber di lingkungan TNI. Siber BIN menjalankan fungsi intelijen siber. 

Siber Komdigi lebih kepada menyiapkan infrastruktur digital, ekosistem digital, tata kelola, juga sebagai regulator.

Sedangkan BSSN melaksanakan tugas pemerintahan di bidang keamanan siber dan sandi untuk membantu presiden dalam menyelenggarakan pemerintahan.

Jika dilihat dari fungsi masing-masing lembaga di atas, penangkalan serangan siber jadi terkesan sektoral. Koordinasi sering terkendala waktu. 

Siapa yang mencegah, siapa yang melakukan mitigasi, siapa yang melakukan perbaikan, siapa yang melakukan recovery, dan seterusnya.

Tidak adanya leadership yang jelas menyebabkan serangan siber yang datang, tidak dapat diatasi dengan efektif dan efisien. Hal ini akan sangat berbahaya ketika terjadi serangan siber secara beruntun. 

Serangan yang satu belum selesai ditangani, sudah ada serangan-serangan susulan yang pasti akan menimbulkan kekacauan luar biasa. 

Maka, diperlukan tata kelola dan mekanisme agar fungsi keamanan dan ketahanan siber bisa berjalan secara sinergis, kolaboratif dan terarah. Untuk menjalankannya dibutuhkan leadership yang jelas dan kuat.

Untuk itulah perlu dibahas dan diatur dalam undang-undang payung hukum soal sistem koordinasi keamanan dan ketahanan siber, agar semua unsur pengelola siber di lembaga-lembaga yang ada dapat berjalan secara sinkron, sinergis dan kolaboratif.

Ketiga, prosedur dan standar keamanan dan ketahanan siber. Prosedur dan standar ini penting dalam membangun sistem keamanan dan ketahanan siber. 

Misalnya, Komdigi sedang membangun PDN (Pusat Data Nasional), maka prosedurnya bagaimana, siapa yang melakukan verifikasi dan audit, bagaimana materialnya, dan seterusnya.

Realitasnya, yang di PDN sekarang audit analog semua, termasuk arsitekturnya, geografisnya, kelistrikannya. Jangan sampai nanti ketika PDN diresmikan, ternyata item-item di dalamnya menjadi spyware yang ditanam peretas. 

Maka perlu ada audit cek keamanan (security check & audit) barang-barang dan sistem elektronik yang masuk dan beroperasi di Indonesia. 

Karena itu, harus terjamin prosedur dan standarnya. Beberapa acuan standar yang dapat digunakan seperti ISO 27000 tentang Standar Keamanan Informasi dan Keamanan Siber yang di-breakdown menjadi ISO 27001 tentang Sistem Manajemen Keamanan Informasi, ISO 27005 tentang Pedoman Manajemen Risiko Keamanan Informasi.

Kita juga punya Seri SNI IEC 62443 tentang Standar Keamanan Siber. Ini dapat kita adopsi ke dalam standar keamanan siber nasional.

Jika ketiga hal di atas clear diatur secara komprehensif dalam UU payung hukum tadi, kita harapkan keamanan dan ketahanan siber yang kokoh dan kuat dapat terwujud secara nasional.

Sekarang kita berkejaran dengan waktu. Saat pembaca membaca tulisan ini pun, mungkin sedang terjadi banyak peretas yang melakukan serangan ke ruang siber nasional kita. 

Maka, tidak ada waktu banyak, kita semua harus segera mewujudkan tata kelola keamanan dan ketahanan siber di negeri kita tercinta.

Tag:  #arah #pengelolaan #keamanan #ketahanan #siber