Definisi
Keamanan siber (cybersecurity) adalah serangkaian upaya untuk melindungi sistem elektronik, jaringan, perangkat, program, dan data dari ancaman, serangan, atau akses tidak sah di dunia maya. Cakupannya luas: mulai dari langkah teknis seperti enkripsi dan firewall, kebijakan internal seperti pembatasan akses karyawan, sampai kewajiban hukum bagi penyelenggara sistem elektronik untuk menjaga sistemnya tetap andal dan aman.
Di Indonesia, keamanan siber menjadi perhatian serius pemerintah yang ditandai dengan pembentukan Badan Siber dan Sandi Negara (BSSN) sebagai lembaga yang bertanggung jawab mengoordinasikan keamanan siber nasional. Namun keamanan siber bukan cuma urusan negara — setiap penyelenggara sistem elektronik, dari bank besar sampai toko online kecil, punya kewajiban hukum masing-masing untuk mengamankan sistem yang mereka operasikan.
Istilah ini sering disamakan dengan “keamanan data”, padahal cakupan keamanan siber lebih luas. Keamanan data lebih spesifik pada perlindungan data pribadi dari penyalahgunaan, sedangkan keamanan siber mencakup keandalan sistem itu sendiri, termasuk terhadap gangguan yang bahkan tidak menyentuh data pribadi sama sekali, misalnya serangan yang sekadar melumpuhkan layanan.
Dasar Hukum
Regulasi keamanan siber di Indonesia tersebar di berbagai peraturan, tidak terkumpul dalam satu undang-undang khusus. UU ITE mewajibkan setiap penyelenggara sistem elektronik menyelenggarakan sistemnya secara andal dan aman serta bertanggung jawab atas beroperasinya sistem tersebut sebagaimana mestinya. Kewajiban ini berlaku baik untuk penyelenggara sistem elektronik lingkup publik (instansi pemerintah) maupun lingkup privat (perusahaan swasta).
BSSN dibentuk lewat peraturan presiden dan diberi tugas menyusun kebijakan teknis di bidang identifikasi, deteksi, proteksi, penanggulangan, dan pemulihan insiden siber, termasuk mengelola pusat manajemen krisis siber dan mengoordinasikan mitigasi ketika terjadi serangan berskala nasional. Di luar itu, ketentuan mengenai keamanan sistem elektronik juga disinggung dalam peraturan pemerintah tentang penyelenggaraan sistem dan transaksi elektronik, serta beririsan dengan UU Pelindungan Data Pribadi ketika insiden keamanan siber berujung pada kebocoran data pribadi.
Jenis-Jenis
Ancaman siber yang dihadapi penyelenggara sistem elektronik di Indonesia bermacam-macam bentuknya, dan masing-masing punya cara penanganan berbeda. Ransomware mengenkripsi data korban dan meminta tebusan agar data bisa diakses kembali, sering menyasar rumah sakit dan instansi pemerintah karena datanya krusial dan sulit direlakan hilang begitu saja. Serangan DDoS (distributed denial of service) membanjiri server dengan lalu lintas palsu dalam jumlah masif sampai layanan lumpuh total, biasa dipakai untuk memeras korban atau sekadar melumpuhkan operasional pesaing bisnis.
Phishing menipu pengguna agar menyerahkan kredensial lewat tautan atau situs palsu yang menyerupai aslinya, sedangkan defacement mengubah tampilan situs korban, biasanya untuk unjuk kemampuan peretas atau menyampaikan pesan tertentu ke publik. Ada pula serangan yang menyasar rantai pasok (supply chain attack), di mana pelaku menyusupkan kode berbahaya lewat pembaruan perangkat lunak pihak ketiga yang dipercaya banyak organisasi sekaligus, sehingga satu titik lemah bisa berdampak ke ratusan perusahaan yang memakai perangkat lunak yang sama.
Setiap jenis serangan ini punya pola penanganan teknis yang berbeda, tetapi kewajiban dasarnya sama bagi penyelenggara sistem elektronik: harus ada mekanisme deteksi dini dan rencana pemulihan yang teruji, bukan menunggu serangan benar-benar terjadi baru bereaksi seadanya.
Ilustrasi Kasus
Sebuah rumah sakit mengalami serangan ransomware yang mengenkripsi seluruh data rekam medis pasien. Pelaku menuntut tebusan dalam bentuk cryptocurrency untuk membuka kunci enkripsi. Serangan semacam ini termasuk tindakan mengakses sistem elektronik tanpa hak dan mengubah informasi elektronik tanpa hak, dengan ancaman pidana yang cukup berat menurut UU ITE.
Kasus berbeda dialami Pak Anwar, pemilik toko online yang servernya diretas karena memakai kata sandi admin yang lemah dan tidak pernah diperbarui. Data transaksi pelanggan sempat bocor sebelum akhirnya ketahuan lewat laporan pelanggan yang menerima SMS penipuan mengatasnamakan tokonya. Dalam kasus seperti ini, tokonya sendiri berpotensi dianggap lalai memenuhi kewajiban menyelenggarakan sistem elektronik yang andal dan aman, di samping menjadi korban peretasan.
Hak dan Kewajiban Para Pihak
Setiap penyelenggara sistem elektronik berkewajiban menjaga sistemnya tetap andal, aman, dan bertanggung jawab atas operasionalnya. Ini termasuk memperbarui perangkat lunak secara berkala, membatasi akses hanya untuk pihak yang berwenang, dan menyiapkan mekanisme pemulihan jika terjadi gangguan. Ketika terjadi insiden yang berdampak pada infrastruktur informasi vital atau data dalam jumlah besar, penyelenggara sistem wajib melaporkannya kepada otoritas terkait agar penanganan bisa dikoordinasikan secara nasional, bukan ditangani sendiri secara diam-diam.
Di sisi lain, pengguna atau masyarakat juga punya peran: melaporkan insiden yang dialami, tidak menyebarkan tautan atau perangkat lunak mencurigakan, dan menggunakan sistem autentikasi yang disediakan penyelenggara sesuai anjuran. BSSN berperan sebagai koordinator lintas sektor, bukan pengganti tanggung jawab masing-masing penyelenggara sistem elektronik atas keamanan sistemnya sendiri.
Ke Mana Harus Mengurus
Insiden keamanan siber yang dialami organisasi atau individu bisa dilaporkan ke Tim Tanggap Insiden Siber Nasional (Government CSIRT) yang berada di bawah koordinasi BSSN, atau ke CSIRT sektoral jika insiden terjadi di sektor yang sudah punya tim tanggap sendiri, seperti sektor keuangan atau telekomunikasi. Untuk insiden yang menyangkut tindak pidana seperti peretasan atau pemerasan lewat ransomware, korban juga bisa melapor ke kepolisian, khususnya unit yang menangani kejahatan siber.
Perusahaan yang mengalami insiden keamanan yang berdampak pada data pribadi pelanggan punya kewajiban terpisah untuk memberitahukan subjek data dan otoritas pelindungan data pribadi, di luar pelaporan insiden keamanan siber ke BSSN.
Sanksi
Pelaku yang mengakses sistem elektronik secara tidak sah, mengubah informasi elektronik tanpa hak, atau sengaja mengganggu jalannya sistem elektronik dapat dijerat sanksi pidana berupa penjara dan denda berdasarkan UU ITE. Selain sanksi terhadap pelaku serangan, penyelenggara sistem elektronik yang lalai menjaga keamanan sistemnya — misalnya membiarkan celah keamanan yang sudah diketahui tanpa ditambal — berpotensi menghadapi sanksi administratif dan gugatan perdata dari pihak yang dirugikan akibat kelalaian tersebut.