Ketika layanan digital mengalami gangguan, dampaknya dapat meluas ke operasional, kepercayaan pengguna, dan kesinambungan bisnis. Karena itu, pembahasan keamanan siber sebaiknya tidak berhenti pada peringkat atau satu insiden tertentu. Organisasi perlu melihat bagaimana sistem dikelola, bagaimana akses diberikan, serta seberapa siap proses pemulihan ketika gangguan terjadi.

Insiden ransomware yang berdampak pada Pusat Data Nasional Sementara (PDNS) 2 pada Juni 2024 menjadi pengingat penting tentang perlunya ketahanan siber dan perencanaan pemulihan. Artikel ini membahas konteks indikator keamanan siber, pelajaran yang dapat diambil dari informasi resmi mengenai insiden tersebut, serta langkah yang bisa diterapkan organisasi untuk mengelola risiko dari pihak ketiga.

1. Memahami Indikator Keamanan Siber Indonesia

National Cyber Security Index (NCSI) merupakan salah satu indeks yang menilai kesiapan negara dalam aspek keamanan siber berdasarkan indikator dan bukti publik yang ditetapkan oleh pengelolanya. Indeks ini dapat menjadi bahan pembelajaran, tetapi tidak boleh ditafsirkan sebagai audit menyeluruh atas setiap instansi, perusahaan, atau sistem digital di suatu negara.

Data NCSI dapat berubah mengikuti pembaruan metode, bukti yang dinilai, dan pembaruan data. Sebagai contoh, halaman arsip Indonesia mencatat skor 63,64 dan peringkat 49 pada versi bertanggal 28 April 2023, sedangkan halaman profil yang lebih baru menampilkan skor 47,50 dengan posisi peringkat yang berubah sesuai pembaruan daftar. Angka-angka tersebut berasal dari versi data yang berbeda sehingga tidak tepat dibandingkan tanpa menjelaskan periode dan konteksnya.

Oleh sebab itu, artikel ini tidak menggunakan klaim “Indonesia berada di peringkat ke-84 dunia” sebagai fakta utama. Angka tersebut perlu disertai sumber, tanggal pengambilan data, dan versi indeks yang jelas sebelum dipublikasikan. Untuk memantau perubahan, pembaca dapat merujuk langsung ke arsip profil Indonesia di NCSI dan profil Indonesia di NCSI.

Indeks adalah indikator, bukan gambaran tunggal

Skor atau peringkat nasional tidak secara otomatis menjelaskan tingkat keamanan setiap organisasi. Perusahaan tetap perlu mengevaluasi risiko berdasarkan aset, proses bisnis, jenis data, konfigurasi teknologi, dan ketergantungannya pada penyedia layanan. Dengan kata lain, indeks dapat menjadi pemicu diskusi, tetapi keputusan keamanan perlu didukung penilaian risiko yang relevan dengan kondisi organisasi.

2. Apa yang Dapat Dipelajari dari Insiden PDNS 2?

Pada Juni 2024, pemerintah menyampaikan bahwa layanan PDNS 2 terdampak insiden ransomware. Dalam keterangan resmi yang dipublikasikan pada 24–26 Juni 2024, pemerintah menyebut identifikasi ransomware Brain Cipher serta upaya isolasi sistem terdampak dan pemulihan layanan. Keterangan resmi pada periode tersebut juga menyatakan bahwa 239 dari 282 instansi pengguna PDNS terdampak dalam insiden yang dilaporkan.

Informasi tersebut menggambarkan besarnya tantangan pemulihan layanan digital ketika infrastruktur yang digunakan bersama mengalami gangguan. Namun, penting untuk membedakan fakta yang diumumkan secara resmi dari asumsi atau spekulasi. Artikel ini tidak menyimpulkan penyebab teknis di luar informasi yang dipublikasikan, tidak menetapkan kesalahan pihak tertentu, dan tidak mengklaim bahwa insiden tersebut menjadi penyebab perubahan peringkat NCSI.

Pelajaran 1: Pemulihan harus direncanakan sebelum insiden

Backup merupakan bagian penting dari strategi pemulihan, tetapi keberadaannya saja tidak cukup. Organisasi perlu memastikan salinan cadangan terlindungi dari akses tidak sah, tersedia ketika dibutuhkan, dan diuji melalui simulasi pemulihan. Tujuannya adalah memastikan data dan layanan dapat dipulihkan sesuai prioritas bisnis.

Pelajaran 2: Ketergantungan pada layanan bersama perlu dipetakan

Organisasi perlu mengetahui layanan apa saja yang bergantung pada penyedia infrastruktur, cloud, aplikasi, jaringan, atau pengelola data eksternal. Pemetaan ini membantu tim menentukan layanan prioritas, memahami titik ketergantungan, dan menyusun prosedur alternatif apabila layanan dari pihak lain terganggu.

Pelajaran 3: Respons insiden membutuhkan koordinasi

Ketika insiden terjadi, pembagian tanggung jawab harus jelas: siapa yang mengambil keputusan, siapa yang mengisolasi sistem, siapa yang berkomunikasi dengan pengguna, dan siapa yang mengoordinasikan pemulihan. Prosedur tertulis perlu diuji agar respons tidak bergantung pada improvisasi saat situasi kritis.

3. Mengapa Risiko Third-Party Perlu Diperhatikan?

Third-party risk adalah risiko yang muncul dari ketergantungan organisasi pada pihak eksternal, seperti penyedia cloud, vendor aplikasi, integrator sistem, penyedia layanan TI, atau mitra yang memiliki akses ke lingkungan teknologi organisasi. Kerja sama dengan pihak ketiga dapat meningkatkan efisiensi, tetapi juga menambah hubungan akses dan ketergantungan yang perlu dikelola.

Risiko bukan berarti setiap vendor tidak aman. Risiko muncul ketika akses, tanggung jawab, standar keamanan, pemantauan, dan rencana pemulihan tidak didefinisikan dengan baik. Pengelolaan yang tepat perlu dilakukan secara proporsional sesuai tingkat akses dan dampak layanan yang diberikan pihak ketiga.

Contoh area yang perlu dievaluasi

• Akses vendor: Apakah akun pihak ketiga memiliki hak akses sesuai kebutuhan dan dibatasi waktunya?
• Integrasi sistem: Apakah API, koneksi antarsistem, dan pertukaran data memiliki autentikasi serta pembatasan yang memadai?
• Pengelolaan perubahan: Apakah perubahan konfigurasi dan pembaruan sistem dicatat serta ditinjau?
• Perlindungan data: Apakah tanggung jawab penyimpanan, pemrosesan, retensi, dan penghapusan data sudah disepakati?
• Respons insiden: Apakah vendor memiliki mekanisme pelaporan dan koordinasi ketika terjadi insiden keamanan?
• Kelangsungan layanan: Apakah ada prosedur pemulihan dan alternatif layanan jika penyedia mengalami gangguan?

4. Enam Langkah Memperkuat Ketahanan Siber Organisasi

1. Petakan aset dan layanan kritis

Buat inventaris sistem, aplikasi, data penting, akun istimewa, dan layanan pihak ketiga. Tandai aset berdasarkan dampak jika tidak tersedia atau jika datanya terungkap. Pemetaan yang baik membantu organisasi menentukan urutan prioritas pengamanan.

2. Terapkan kontrol akses yang ketat

Gunakan autentikasi multifaktor untuk akses penting, prinsip least privilege, akun terpisah untuk administrasi, serta peninjauan akses secara berkala. Akun vendor sebaiknya hanya aktif saat dibutuhkan, dibatasi pada sistem yang relevan, dan dicabut setelah pekerjaan selesai.

3. Uji backup dan proses pemulihan

Tetapkan jadwal backup sesuai kebutuhan bisnis, simpan salinan yang terlindungi, dan lakukan uji pemulihan secara berkala. Catat waktu yang dibutuhkan untuk memulihkan layanan serta kendala yang muncul. Backup yang belum pernah diuji belum memberikan kepastian bahwa pemulihan akan berjalan sesuai harapan.

4. Lakukan pembaruan dan pengelolaan kerentanan

Pastikan sistem operasi, aplikasi, library, perangkat jaringan, dan komponen lain diperbarui berdasarkan prioritas risiko. Kerentanan yang terekspos ke internet atau berpotensi berdampak besar perlu ditangani sesuai tingkat urgensi dan prosedur perubahan organisasi.

5. Evaluasi keamanan dengan pengujian yang sesuai

Vulnerability assessment dapat membantu mengidentifikasi kelemahan yang diketahui, sedangkan penetration testing yang dilakukan dengan ruang lingkup dan otorisasi yang jelas dapat mengevaluasi apakah kelemahan tertentu dapat dieksploitasi dalam kondisi pengujian. Hasil pengujian sebaiknya diterjemahkan menjadi rencana perbaikan, penanggung jawab, tenggat, dan retest bila diperlukan.

6. Siapkan prosedur respons insiden

Tentukan jalur eskalasi, pemilik keputusan, kontak vendor, prosedur isolasi, strategi komunikasi, serta kriteria untuk mengaktifkan rencana pemulihan. Latihan tabletop atau simulasi dapat membantu tim menemukan celah dalam prosedur sebelum terjadi insiden nyata.

5. Peran Vulnerability Assessment dan Penetration Testing

Penilaian keamanan bukan pengganti tata kelola, backup, atau respons insiden. Namun, pengujian yang direncanakan dengan baik dapat membantu organisasi menemukan kelemahan teknis dan memprioritaskan perbaikannya. Pemilihan metode sebaiknya disesuaikan dengan tujuan, ruang lingkup, dan tingkat risiko.

Keduanya memiliki fungsi berbeda dan dapat saling melengkapi. Pelaksanaan pentest harus memperoleh izin tertulis, memiliki batasan yang jelas, serta mempertimbangkan risiko terhadap operasional. Pengujian bukan jaminan bahwa sistem bebas dari seluruh kerentanan; hasilnya merupakan gambaran berdasarkan ruang lingkup dan waktu pengujian.

6. Checklist Evaluasi untuk Organisasi

Gunakan daftar berikut sebagai titik awal diskusi internal. Daftar ini bukan sertifikasi atau penilaian kepatuhan formal, tetapi dapat membantu mengidentifikasi area yang perlu ditindaklanjuti.

• Inventaris aset, data penting, dan ketergantungan pada vendor tersedia dan diperbarui.
• Akses administratif dan akses pihak ketiga dibatasi serta ditinjau secara berkala.
• Autentikasi multifaktor diterapkan pada akun dan layanan berisiko tinggi.
• Backup memiliki perlindungan yang memadai dan diuji melalui pemulihan berkala.
• Kerentanan teknis dicatat, diprioritaskan, dan memiliki pemilik perbaikan.
• Kontrak atau perjanjian dengan vendor menjelaskan tanggung jawab keamanan dan pelaporan insiden.
• Prosedur respons insiden mencakup eskalasi, komunikasi, isolasi, dan pemulihan.
• Hasil pengujian keamanan ditindaklanjuti dan diverifikasi setelah perbaikan.

Kesimpulan

Data indeks keamanan siber dapat memberi konteks tentang kesiapan pada tingkat nasional, sementara insiden PDNS 2 menunjukkan pentingnya kesinambungan layanan, koordinasi respons, dan kesiapan pemulihan. Keduanya perlu dibaca secara hati-hati: indeks tidak menggambarkan seluruh kondisi setiap sistem, dan satu insiden tidak boleh dianggap sebagai penyebab perubahan peringkat tanpa bukti yang mendukung.

Bagi organisasi, langkah yang dapat dilakukan adalah memetakan aset dan ketergantungan, membatasi akses, menguji backup, mengelola kerentanan, mengevaluasi pihak ketiga, serta menyiapkan respons insiden. Keamanan siber merupakan proses berkelanjutan yang membutuhkan pengujian, evaluasi, dan perbaikan secara konsisten.

Pertanyaan yang Sering Diajukan (FAQ)

Sumber dan Referensi

Untuk menjaga akurasi, pembaca dapat memeriksa sumber primer berikut. Pastikan tanggal dan versi halaman yang dikutip sesuai dengan konteks artikel ketika diperbarui atau dipublikasikan.

1. National Cyber Security Index — Arsip profil Indonesia .
2. National Cyber Security Index — Profil Indonesia .
3. Kominfo/Komdigi — Keterangan tentang identifikasi serangan ransomware pada PDNS .
4. Kominfo/Komdigi — Siaran pers percepatan pemulihan dan pengoperasian server pengganti, Juni 2024 .

Catatan: Artikel ini disusun untuk tujuan edukasi dan bukan pernyataan resmi dari instansi pemerintah yang disebutkan. Informasi dapat berubah mengikuti pembaruan sumber. Sebelum publikasi, periksa kembali tautan, tanggal data, dan kesesuaian dengan kebijakan editorial organisasi.