Bulan lalu, sistem Pusat Data Nasional Sementara (PDNS) mengalami serangan ransomware yang sempat menganggu proses imigrasi di sejumlah bandara udara dan sistem di lebih dari 230 lembaga pemerintahan.
Serangan ini diketahui dilakukan oleh kelompok Brain Cipher, yang terhubung LockBit3.0, yang juga pernah menyerang sejumlah negara termasuk Amerika Serikat dan Australia.
Selasa kemarin, kelompok peretas tersebut meminta maaf kepada publik di Indonesia, setelah sebelumnya pernah meminta tebusan lebih dari Rp130 miliar yang ditolak oleh pemerintah Indonesia.
Tapi, apa arti dari serangan siber yang dialami Indonesia? Sejumlah pengamat mengatakan setidaknya serangan ini menunjukkan keamanan siber kita yang masih lemah.
Kita 'gagal' melindungi data negara
Pengamat keamanan siber Alfons Tanujaya mengatakan keamanan data di Indonesia rentan, jika melihat serangan siber sebelumnya.
Menurutnya, perlindungan data pribadi "memang sudah gagal" jika melihat peristiwa kebocoran data pribadi dari tahun 2022 hingga 2023.
"Memang sudah gagal ya ... faktanya begitu, kita mau menyangkal apa?"
Salah satu penyebab kegagalan ini adalah pertahanan siber Indonesia yang "secara umum lemah".
Menurutnya ada beberapa faktor yang membuat pertahanan siber di Indonesia lemah, seperti "struktur politik, bagaimana masyarakat memandang data, dan digitalisasi yang terlalu cepat."
Belum lagi barter politik, di mana posisi-posisi penting "biasanya dibagikan kepada partai pendukung", padahal menurut Alfons untuk pengelolaan data harusnya "diberikan kepada profesional".
Selain itu menurut pengamatannya, cara kerja pemerintah juga kebanyakan masih berdasarkan proyek, sehingga tidak ada proses 'maintenance' atau pemeliharaan.
"Waktu ada proyek itu kamu berjuang, kamu dapat, kamu lakukan sebaik mungkin, sudah selesai kamu tinggal."
Padahal menurutnya 'security' atau keamanan seharusnya menjadi komitmen seumur hidup.
Data yang kurang dihargai
Pakar kebijakan publik Trubus Rahadiansyah mengatakan Pemerintah Indonesia masih "tidak memberi perhatian penuh terkait dengan keamanan data dan bagaimana data itu sendiri diperlakukan."
Trubus menilai ada nilai pengabaian, jika melihat serangan peretasan dari yang sebelumnya hingga yang terakhir.
Bisa jadi Indonesia masih belum menganggap betapa pentingnya menjaga data, yang juga tercermin dalam "belum menjadikan data sebagai pijakan atau referensi ketika mengambil kebijakan."
Ia mengatakan kebijakan hanya berdasarkan pada opini atau kepentingan, tanpa menggunakan data.
"Lebih kepada tekanan kelompok-kelompok tertentu, entah itu kelompok pemangku modal, kelompok-kelompok investor atau kelompok-kelompok pelaku usaha, ataupun mungkin kelompok-kelompok berbau keagamaan itu juga bisa menekan."
Padahal Trubus mengatakan sebenarnya Indonesia bisa mencontoh model perlindungan data di negara lain yang sudah sukses.
Pemerintah butuh strategi baru
Pelajaran lain yang bisa diambil dari serangan terakhir ini adalah pemerintah butuh strategi baru.
Seperti yang dikatakan Trubus, pemerintah Indonesia selama ini masih menggunakan strategi yang preventif, bukan kuratif, dalam menangani masalah terkait data.
"[Jadinya] seperti pemadam kebakaran ... kalau ada masalah, baru strateginya dikeluarkan," katanya.
"[Padahal] seharusnya ini merupakan hal yang sudah diketahui sejak awal atau sudah direncanakan sejak awal, tapi ini rupa-rupanya tidak."
Ia menilai selama ini perencanaan Indonesia soal keberadaan pusat data juga "tidak terarah."
Dalam kasus PDNS, ia mengatakan Kominfo, BSSN, dan Telkom masih bekerja sendiri-sendiri tanpa kolaborasi yang sinergis.
Menurutnya, Pemerintah Indonesia perlu membenahi mekanisme pembuatan kebijakan.
"Kebijakan yang baru ini seringkali pertimbangannya bukan cost and benefit, tapi lebih kepada kepentingan-kepentingan politiknya," ujarnya.
"Kemudian roadmap-nya seperti apa untuk long-term, ... jangka menengah, jangka pendeknya ... harusnya kan ada skenario planning-nya ... tapi Indonesia enggak begitu."
Alfons berharap kejadian ini bisa menjadi 'a big wake up call' atau pengingat bagi pemerintah.
Jadi, bagaimana nasib data kita?
Meski muncul sejumlah spekulasi jika data kita sudah dijual ke 'dark web', Alfons kembali mengingatkan untuk kasus PDNS, data kita belum tentu bocor.
"Menurut dugaan kami [datanya] bukan bocor. Jadi orang yang meretas itu tidak memiliki datanya," katanya.
"Dia berhasil mengenkripsi server-server di PDN ... melalui VMWare, lalu mengeksploitasi celah keamanan VMWare."
Enkripsi menurut Alfons adalah ketika data kita digembok dan hanya ada satu kunci khusus yang bisa membukanya kembali.
Ketika data yang disimpan PDNS digembok, tidak ada yang bisa membacanya, termasuk pemerintah.
Tetapi di saat bersamaan, ia mengatakan pihak peretas juga tidak bisa membaca dan mengunduh data ini karena ada perlindungan dari server VMWare di mana data kita tersimpan.
VMWare adalah software virtualisasi yang digunakan oleh pusat data di dunia, termasuk PDNS.
"Jadi dia [peretas] enggak bisa baca, atas dasar itu, maka kita bilang datanya tidak bocor," katanya.
Tapi Alfons mengatakan tidak menutup kemungkinan data kita sudah terjual ke 'dark web' melalui kebocoran pada departemen lain selain PDNS.