Rentan Keamanan Pusat Data Nasional. Apa Dampaknya?

Sebelumnya penumpang rute luar negeri terpaksa antre di depan konter Imigrasi karena pemeriksaan dilakukan secara manual. Mereka tidak bisa menggunakan autogate karena server down imbas serangan ransomware Brain Cipher yang menyusup ke Pusat Data Nasional Sementara sejak 20 Juni lalu.

Seorang penumpang dari Qatar terpaksa antre panjang untuk pemeriksaan paspor di konter Imigrasi Bandara Soekarno-Hatta. Ia mengaku membutuhkan waktu 10 menit untuk antre. 

“Tadi pas masuk layanan imigrasi lumayan panjang antreannya, tapi cukup cepat layanannya," ujar Labah Sitohang, penumpang itu, saat ditemui Tempo di Terminal 3 Internasional kedatangan Bandara Soekarno-Hatta, Tangerang, Banten, Jumat lalu. 

Inggit Karmila, penumpang lainnya, juga mengaku layanan manual Imigrasi cukup cepat meski antrean mengular panjang. "Saya menunggu antrean hingga 10 menit," ucap penumpang dari Arab Saudi ini. 

Selain berimbas pada layanan imigrasi, situs website Kementerian Pendidikan, Kebudayaan, Riset, dan Teknologi menjadi korban. Lumpuhnya sistem PDN berdampak pada Pusat Penerimaan Peserta Didik Baru atau PPDB di Kota Dumai, Provinsi Riau. 

"Mohon maaf atas Gangguan Layanan Pusat Data Nasional. Informasi pendaftaran PPDB diperpanjang sampai 24 Juni," demikian pernyataan Dinas Komunikasi, Informatika, Statistik, dan Persandian Kota Dumai, Riau, yang diunggah di akun media sosial resminya, @kominfo.dumai, Jumat lalu.

Pemerintah Kota Dumai pun memperpanjang waktu pra-pendaftaran dan unggah dokumen hingga Sabtu, 22 Juni lalu. Waktu tambahan itu diharapkan dapat dimaksimalkan oleh setiap calon pendaftar.

Direktur Sekolah Dasar Direktorat Jenderal Pendidikan Anak Usia Dini (PAUD), Pendidikan Dasar, dan Pendidikan Menengah Kemendikbudristek Muhammad Hasbi meminta waktu menyusun jawaban untuk menanggapi permintaan konfirmasi Tempo ihwal gangguan situs web Kemendikbud. 

Namun Direktur Jenderal Aplikasi Informatika (Aptika) Kementerian Komunikasi dan Informatika Semuel Abrijani Pangerapan membenarkan bahwa website milik Kemendikbudristek terkena peretasan. Saat ditanya apakah berdampak pada proses PPDB 2024 dan daerah mana saja yang mengalami peretasan, Semuel irit bicara. 

"Harusnya mereka juga lagi migrasi, ya. Kalau banyak (daerah), tidak banyak," kata Semuel saat ditemui seusai konferensi pers di gedung Kementerian Komunikasi, Senin lalu. 

Imigrasi dan Kemendikbudristek termasuk dalam daftar 210 instansi yang mengalami peretasan. Instansi lain yang juga terkena serangan antara lain Kementerian Koordinator Kemaritiman dan Investasi, Kementerian Pekerjaan Umum dan Perumahan Rakyat, serta Indonesia Automatic Fingerprint Identification System Polri. Semuel mengatakan saat ini Kementerian Kominfo sedang melakukan migrasi data instansi untuk memulihkan layanan. 

Lumpuhnya berbagai pelayanan publik akibat serangan peretasan, menurut pengamat kebijakan publik dari Universitas Trisakti, Trubus Rahadiansah, bisa digugat oleh masyarakat. Gugatan bisa diajukan lantaran pemerintah tidak bisa menjamin pelindungan data pribadi. Publik, kata dia, juga bisa menggugat ke Pengadilan Tata Usaha Negara karena dirugikan akibat pelayanan publik yang lumpuh.

“Kalau mau gugat, masyarakat bisa pakai Undang-Undang Pelindungan Data Pribadi dan Undang-Undang Pelayanan Publik,” kata Trubus saat dihubungi Tempo, 24 Juni lalu.

Trubus mengatakan insiden ini menjadi pukulan telak di akhir pemerintahan Presiden Joko Widodo karena serangan ransomware terjadi ke lebih dari 200 instansi pemerintah. Di samping itu, serangan ini juga bisa menimbulkan keraguan masyarakat bahwa pemerintah tidak bisa menjamin pelindungan data pribadi. 

“Artinya, kalau kita bicara data nasional, seharusnya pelindungannya optimal,” kata Trubus. “Seharusnya pemerintah meminta maaf karena tidak mampu memberikan pelindungan data pribadi.”

Trubus mendesak Presiden Jokowi turun langsung dengan membentuk tim untuk menangani serangan terhadap Pusat Data Nasional. Sebab, serangan ini bisa menimbulkan keraguan publik di tengah upaya pemerintah menerapkan Sistem Pemerintahan Berbasis Elektronik (SPBE) dan Satu Data Indonesia (SDI). 

“Seharusnya Presiden turun tangan karena ini bukan pertama kali dan sudah berlarut-larut,” ujar Trubus.

Menurut Trubus, serangan ke Pusat Data Nasional ini membuktikan betapa rentannya pelindungan data pribadi. Selain bisa mengikis kepercayaan masyarakat terhadap layanan berbasis digital, kerentanan keamanan data Indonesia bisa mengganggu kepentingan nasional.

“Bisa saja nanti investor dari luar negeri juga pada takut untuk investasi ke Indonesia,” ujarnya.

Adapun Nenden Sekar Arum, Direktur Eksekutif Southeast Asia Freedom of Expression Network (SAFEnet), menyebutkan serangan ransomware terhadap Pusat Data Nasional berarti juga ancaman terhadap keamanan nasional Indonesia.

Sebab, PDN menyimpan data yang bersifat pribadi dan rahasia. SAFEnet juga mempertanyakan keamanan dan pengawasan PDN yang diklaim pemerintah ada pada level tertinggi, yaitu global tier-4.

Rencana pembangunan PDN pada awalnya menuai kritik dan kontroversi. Nenden menuturkan, selain maraknya kebocoran data pribadi masif yang berpusat pada institusi pemerintahan, pembangunan pusat data dengan mengintegrasikan penyimpanan justru menimbulkan risiko kebocoran data lebih besar. Kritik terhadap tidak transparannya perencanaan dan kelemahan penanganan ancaman siber dari Dewan Perwakilan Rakyat serta pelaku industri juga sempat mencuat. 

“Misalnya pelibatan dana asing dan proses dari awal hingga akhir PDN yang dikelola sendiri oleh pemerintah, bukan kepada pelaku usaha industri komputasi awan (cloud) dan/atau data center nasional,” kata Nenden lewat keterangan tertulis, 23 Juni lalu. 

SAFEnet mengulas kembali kasus-kasus kebocoran data yang melibatkan institusi pemerintahan, seperti registrasi prabayar nomor layanan telekomunikasi seluler dan kebocoran 34 juta data paspor Indonesia yang diperjualbelikan di situs web daring. Menurut Nenden, kasus-kasus ini menjadi pertanyaan besar mengenai kemampuan tata kelola PDN dalam menjaga keamanan data-data yang disimpan secara sepihak oleh pemerintah pusat.

Meskipun demikian, rencana pembangunan PDN berjalan terus setelah Presiden Jokowi menerbitkan Peraturan Presiden Nomor 95 Tahun 2018 tentang Sistem Pemerintahan Berbasis Elektronik, terutama Pasal 27 dan Pasal 30 yang menekankan pembuatan Pusat Data Nasional. Selain itu, Perpres Nomor 132 Tahun 2022 tentang Arsitektur Sistem Pemerintahan Berbasis Elektronik Nasional memberikan arahan mengenai pembangunan PDN “sementara”. 

Lumpuhnya PDN membuktikan tidak adanya komitmen pemerintah dalam menjalankan proses pembangunan infrastruktur vital yang selama ini diklaim aman. Nenden mengatakan justru yang terjadi adalah single point of failure terhadap Pusat Data Nasional sehingga tidak ada yang bisa dilakukan oleh instansi-instansi yang menyimpan data di sana apabila terjadi gangguan. Dengan demikian, instansi-instansi ini hanya menunggu sampai sistem pusat data itu pulih.

Serangan terhadap PDN menambah catatan kerentanan keamanan siber di Indonesia. Menurut catatan SAFEnet, sepanjang tahun lalu telah terjadi setidaknya 32 insiden kebocoran data di lembaga pemerintah, termasuk BPJS Kesehatan, Polri, Komisi Pemilihan Umum, dan Kementerian Pertahanan. “Serangan terhadap PDN dan kemungkinan terjadinya kebocoran data pribadi warga saat ini hanya puncak gunung es dari lemahnya sistem keamanan siber Indonesia,” ujar Nenden.