Oleh Wisnu Nursahid, Technical General Manager Security Expert Virtus Technology Indonesia
[Redaksi] Indonesia memasuki era demokrasi digital. Namun di sisi lain ada ancaman siber yang mengintai. Contohnya adalah serangan terhadap situs KPU dan Sirekap yang menegaskan urgensi berupa langkah-langkah keamanan siber.
Indonesia kini tengah bertransisi menuju demokrasi digital. Namun langkah tersebut tak lepas dari kekhawatiran akan ancaman keamanan siber yang bisa mengganggu integritas proses demokrasi. Insiden baru-baru ini terkait dengan Sistem Informasi Rekapitulasi Elektronik (Sirekap) dan situs Komisi Pemilihan Umum (KPU) menguatkan kebutuhan akan langkah-langkah keamanan siber yang kuat.
Pada tanggal 14 Februari 2024, situs KPU mengalami gangguan yang menyebabkan kelumpuhan selama lebih dari 24 jam setelah menghadapi serangan Distributed Denial of Service (DDoS) yang masif. Saat proses perhitungan suara sedang berlangsung, investigasi dari Lembaga Riset Siber Indonesia CISSReC juga mengungkap potensi masalah dengan Sirekap, termasuk kurangnya pemeriksaan kesalahan dalam input data, yang memicu dugaan peretasan dan manipulasi hasil pemilu.
Mendeteksi apakah sebuah situs web, baik itu milik pemerintah maupun swasta, telah diretas menjadi kunci penting untuk deteksi dini dan mitigasi risiko. Hal ini bisa dilihat dari dua sudut pandang. Pertama, dari sudut pandang eksternal (pengguna), indikator yang biasa terlihat antara lain, penonaktifan mendadak situs oleh penyedia hosting, kesulitan masuk ke dalam sistem, lamanya waktu loading, terubahnya halaman situs web menjadi page yang berbeda.
Kedua, berdasarkan sudut pandang internal (penyedia layanan), tentunya untuk bisa tanggap terhadap peretasan, penyedia sistem harus melengkapi dirinya dengan fungsi deteksi, seperti SIEM (Security Information and Event Management), IDS (Intrusion Detection System), FIM (File Integrity Monitoring), Vulnerability Assessment Report, DAM (Database Activity Monitoring), dan semacamnya yang menunjang fungsi deteksi.
Menanggapi tantangan ini memerlukan pendekatan multiaspek. Adalah penting bagi organisasi untuk memiliki kerangka kerja keamanan siber yang komprehensif yang mencakup:
- Visi dan tujuan yang Jelas: Mendefinisikan tujuan sistem dan mengintegrasikannya dengan kebutuhan keamanan dari tahap awal.
- Persyaratan formal: Mendokumentasikan persyaratan fungsional yang jelas dan berorientasi pada pengguna.
- Desain sistem yang aman: Memprioritaskan input dan aliran data yang aman, menggunakan teknik threat modeling untuk mengidentifikasi dan mengatasi potensi kerentanan.
- Pengembangan terintegrasi keamanan: Membangun keamanan sebagai bagian integral dari proses pengembangan, bukan menambahkannya setelahnya.
- Pengujian ketat: Melakukan pengujian dan sertifikasi menyeluruh untuk memastikan integritas dan fungsionalitas sistem. Dengan tujuan utama supaya tingkat keamanan dari sistem tercapai.
- Transisi yang lancar: Migrasi ke produksi dengan aman, sambil mempertahankan langkah-langkah keamanan yang kuat.
- Pemantauan berkelanjutan: Memantau kinerja dengan cermat, mencatat aktivitas, dan melakukan audit secara teratur.
- Manajemen perubahan yang eEfektif: Menerapkan prosedur pembaruan dan modifikasi yang aman.
Menentukan apakah suatu sistem telah diretas dapat dilacak dengan mudah melalui log sistem. Informasi ini harus diungkapkan secara terbuka agar publik dapat memahami apakah sistem telah mengalami perubahan secara otomatis atau melalui campur tangan pihak ketiga. Langkah ini dilakukan demi menjaga akuntabilitas dari penyedia layanan.
Ketika berbicara tentang serangan seperti DDoS, perencanaan harus dimulai sejak tahap desain dengan mempertimbangkan threat modeling. Sebagai contoh, menggunakan model STRIDE— fokus pada Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, dan Elevation of Privilege—akan memastikan bahwa sistem yang dibangun memiliki respons yang efektif terhadap serangan DDoS
Oleh karena itu, membangun pola pikir keamanan sejak awal sangat penting, dan hal ini mirip dengan membangun rumah yang tahan gempa, di mana tahap desain menjadi kunci utama.
Terkait dengan Sirekap, langkah-langkah ini perlu segera dilakukan oleh pihak KPU maupun pemerintah sehingga bisa segera meluruskan kesimpangsiuran informasi yang terus berkembang oleh berbagai pihak yang membangun opini bahwa penyelenggaraan Pemilihan Umum Presiden dan Wakil Presiden 2024 tidak berjalan dengan baik dan penuh kecurangan.
Baca juga: Mengenal OCR, Teknologi yang Menjadi Sumber Masalah Sirekap KPU