Bisnis.com, JAKARTA — Lumpuhnya Pusat Data Nasional Sementara (PDNS) 2 di Surabaya pada Kamis (20/6/2024) lalu, yang dikelola oleh Telkomsigma (Telkom) disebut berdampak pada kepercayaan para penyewa (tenant). Dikhawatirkan ketidakpercayaan ini menular ke pemain lainnya.
Insiden peretasan yang dilakukan geng ransomware Brain Cipher ini pun memicu tanda tanya mengenai nasib bisnis pusat data nasional, mengingat bisnis data center merupakan bisnis kepercayaan. Pemain data center sebagai penyimpan data mendapat kepercayaan untuk menjaga 'new oil' suatu instansi.
Berdasarkan catatan Bisnis, Asosiasi Data Center Indonesia (IDPRO) pernah memperkirakan kapasitas energi data center di Indonesia akan mencapai 210 megawatt (MW) pada 2024. Artinya, kapasitas data center naik 44,83% dibandingkan tahun sebelumnya.
Sederet pemicu peningkatan kapasitas data center terjadi seiring angka penetrasi internet Indonesia yang telah mencapai 77% per tahun ini, hingga transformasi digital yang digeber Indonesia.
Peningkatan kapasitas ini dilakukan karena perusahaan-perusahaan data center percaya bahwa trafik internet Indonesia yang sangat besar membutuhkan dukungan data center sebagai lokasi untuk menampung peladen atau awal dari data tersebut mengalir.
Namun, Asosiasi Cloud Computing Indonesia (ACCI) memandang bahwa insiden peretasan pusat data jelas berdampak pada kepercayaan kepada pusat data nasional (PDN).
Ketua Umum ACCI Alex Budiyanto menuturkan bahwa peretasan PDNS 2 menjadi pelajaran penting untuk mengelola suatu pusat data.
Tak tanggung-tanggung, ACCI bahkan juga menilai insiden ini akan memicu instansi lain enggan menggunakan PDN, apabila tidak ada jaminan tata kelola dan manajemen risiko yang baik. Untuk itu, Alex meminta agar praktik tata kelola hingga manajamen riisko dilakukan dengan baik.
“Praktik tata kelola dan manajemen risiko yang baik wajib dilakukan, sehingga ketika terjadi insiden bisa dilakukan mitigasi sehingga pemulihan bisa dilakukan dengan cepat,” kata Alex kepada Bisnis, Senin (8/7/2024).
Untuk tata kelola yang baik, Alex menyarankan agar Kementerian Komunikasi dan Informatika (Kemenkominfo) bekerja sama dengan para pelaku industri data center dan cloud computing profesional di Indonesia.
Kemenkominfo diminta untuk menjadi regulator saja dan melakukan pengawasan atas PDN.
“Jangan membangun dan mengoperasikan sendiri, Kemenkominfo cukup jadi regulator yang membuat regulasi seperti apa compliance layanan data center atau cloud computing untuk melayani pemerintah,” ujarnya.
Dari sisi alokasi, Alex menyebut bahwa anggaran pemain untuk menginvestasikan dananya di pusat data sangat tergantung dari ukuran, jumlah customer, dan kebutuhan para customer.
Keraguan
Sementara itu, Direktur Eksekutif Indonesia ICT Institute Heru Sutadi mengatakan bahwa dampak dari serangan ransomware terhadap PDNS 2 akan membuat para penyewa menjadi ragu.
Dia mendesak agar Kemenkominfo melakukan 'bersih-bersih' dengan mengubah tata kelola standar operasional, perencanaan, hingga sumber daya manusia (SDM) yang mengoperasikan data center PDN.
“Tenant ke PDN akan ragu akibat kejadian ini. Jadi harus ada perubahan SOP [standar operasional prosedur], perencanaan, SDM, dan sebagainya untuk membuat kepercayaan pulih,” ujar Heru kepada Bisnis.
Dalam hal ini, Heru menjelaskan bahwa pemerintah perlu melakukan perubahan dan perbaikan dalam mengelola pusat. Jika tidak, maka bisnis pusat data akan berat ke depan.
“Memang perlu perbaikan agar ada kepercayaan lagi masyarakat, pengguna jasa, pusat data, termasuk pusat data nasional untuk dapat menggunakan pusat data untuk menyimpan data-data atau pemberian aplikasi kepada masyarakat,” jelasnya.
Menurut Heru, ada beberapa faktor terjadinya insiden siber, mulai dari sistem keamanan siber yang lemah, adanya pengguna malware atau ransomware yang kekinian, peretas yang andal, serta tim penjaga keamanan data yang tidak kompeten oleh pengelola PDNS 2 Surabaya.
Heru pun menyarankan agar mitigasi harus dipikirkan sejak awal perencanaan dibangun suatu pusat data. Misalnya, seperti adanya PDN utama, PDN backup, dan PDN backup dari backup.
“Manajemen risiko juga harus dihitung. Kemudian ketika insiden terjadi, SOP harus jelas, mitigasi juga harus jelas dan cepat,” terangnya.
Dihubungi terpisah, Ketua Indonesia Cyber Security Forum Ardi Sutedja mengatakan bahwa kejadian PDNS 2 telah mengajarkan pengguna jasa untuk lebih kritis dalam memilih fasilitas atau jasa pengelolaan data.
Terlebih, Ardi menyebut insiden ini berpengaruh terhadap prospek data center ke depan, lantaran serangan ransomware ini sudah menjadi masalah global. Selain itu, peretasan PDNS 2 juga berdampak pada citra dan integritas industri.
“Artinya dari segi bisnis global, PDN yang paling canggih saja sudah jebol, karena PDN itu menjadi barometer, bukan hanya untuk pemerintah, tetapi juga untuk industri,” kata Ardi saat dihubungi Bisnis.
Data Center
Namun demikian, Ardi mengakui bahwa secara bisnis, pusat data masih menarik meski saat ini terjadi kelebihan pasok (over supply). Namun tetap saja, Ardi menekankan bahwa ke depan, pusat data akan sangat ketat dalam hal pengelolaan, pengamanan, pemilihan SDM, dan investasi.
Pasalnya, Ardi menjelaskan bahwa dalam mengelola pusat data sudah harus mempersiapkan investasi yang sangat besar untuk memperbarui teknologi dan lisensi secara berkala. Tak hanya itu, investasi di keamanan siber pun tidak murah.
“[Investasi data center] perlu dilihat lagi kebutuhannya sudah mencukupi atau belum. Sekarang saja anggaran Rp700 miliar sudah jebol, artinya ada yang kurang, kan?” imbuhnya.
Sementara itu, Ketua Bidang Infrastruktur Telematika Nasional Mastel Sigit Puspito Wigati Jarot menyarankan agar pusat data dikelola oleh ahlinya. Meski sebenarnya, Indonesia sudah banyak memiliki pelaku usaha yang bergerak di pusat data dengan rekam jejak yang mumpuni.
“Proyeksi bisnis pusat data menurut saya masih sangat prospektif, karena demand pertumbuhan data Indonesia dari tahun ke tahun sangat tinggi meningkatnya, sementara kapasitas total pusat data nasional masih sedikit,” kata Sigit kepada Bisnis.
Untuk mencegah berulangnya insiden yang terjadi pada PDNS 2 di Surabaya, Sigit mengimbau perlu dilakukan pendekatan security-by-design.
“Jadi pertimbangan keamanan harus dilibatkan sejak awal. Dalam hal ini BSSN [Badan Siber dan Sandi Negara] harus terlibat sejak awal, jangan hanya diberi tugas monitoring saja,” jelasnya.
Lebih lanjut, terkait dengan insiden peretasan PDNS 2, Sigit menyampaikan bahwa perlu diselidiki dan diusut hingga tuntas mengikuti regulasi dan standar operasional prosedur (SOP) yang sudah ada.
“Jangan sampai terjadi distrust di masyarakat, karena instansi yang dianggap menjadi contoh menerapkan standar keamanan, malah diserang dan dilumpuhkan, apalagi jika penanganannya kurang baik,” tuturnya.
Ke depan, lanjut Sigit, perlu ada kejelasan antara fungsi regulator dengan pelaksana agar aturan bisa lebih ditegakkan.
Respons Pemain
Dari sisi pemain, pasca insiden ransomware yang menimpa PDNS 2, PT Mora Telematika Indonesia Tbk. (MORA) atau Moratelindo memproyeksi data center ke depan masih menarik, karena program-program digitalisasi ke depan akan terus berkembang.
“Jika kita melihat dari kejadian kemarin [serangan ransomeware], tentunya ini akan jadi peluang untuk penyedia data center memberikan solusi DRC [disaster recovery center], replikasi, dan back up kepada pelanggan,” kata Deputy Chief Digital Transformation Officer Moratelindo Hasanudin Farid kepada Bisnis.
Emiten telekomunikasi bersandi saham MORA itu mengalokasi untuk pengembangan data center yang dianggarkan senilai Rp85 miliar pada tahun ini.
Berkaca dari serangan siber terhadap PDNS 2, Moratelindo menilai perlunya disiplin operasional yang ketat dalam implementasi Governance, Protection, dan Operation (GPO), yaitu mengacu pada kerangka kerja dan pendekatan komprehensif yang dirancang untuk melindungi infrastruktur teknologi dan aset data pada data center perusahaan.
KRONOLOGI
Sudah dua pekan berlalu insiden serangan ransomware menimpa PDNS 2. Dalam perkembangannya, geng ransomware Brain Cipher telah membagikan decryptor tools atau kunci dekripsi secara percuma untuk membuka file PDNS 2.
Namun, pakar keamanan siber menyebut kunci pemberian Brain Cipher belum dapat dipergunakan untuk membuka file yang terkunci.
Pengamat dan Chairman Lembaga Riset Keamanan Siber Communication and Information System Security Research Center (CISSReC) Pratama Persadha mengatakan bahwa kunci tersebut dapat dipergunakan untuk membuka file yang terkunci.
“Berdasarkan sumber internal BSSN bahwa decryptor tersebut belum dapat dipergunakan untuk membuka file yang terkunci dan masih terus dicoba,” kata Pratama kepada Bisnis.
Hal ini berbanding terbaik dengan pernyataan Direktur Jenderal Aplikasi dan Informatika Kementerian Komunikasi dan Informatika (Kemenkominfo) Semuel A. Pangerapan saat melakukan konferensi pers pengunduran diri yang menyebut kunci dekripsi bisa dipergunakan untuk membuka file PDNS 2 yang terkunci.
Dalam konferensi pers pekan lalu, Kemenkominfo mengaku bahwa kunci yang diberikan peretas Brain Cipher telah berhasil membuka sampel data PDNS 2 di Surabaya.
Kala itu, Semuel mengatakan bahwa saat ini sistem layanan PDNS 2 tetap dilakukan pemulihan, seiring dengan kunci yang diberikan secara percuma dari peretas. Semuel menyampaikan bahwa pemulihan data itu sedang dilakukan, sebab ada banyak data yang dikunci.
“Kami juga mendapatkan [kunci dekripsi], tetapi ini sedang dikerjakan, dan kita sudah coba di spesimen kita memang berhasil dibuka tapi kita belum tahu, karena kan dikunci banyak. Itu sedang dikerjakan oleh teman-teman teknis,” kata Semuel dalam konferensi pers di Jakarta, Kamis (4/7/2024).
Lebih lanjut, Semuel menyampaikan bahwa semua orang bisa mengunduh kunci dekripsi ransomware yang diberikan secara gratis dari Brain Cipher. “Tadi malam, kita mencoba di spesimen yang kita miliki, itu bisa dibuka, itu saja, saya tidak tahu lebih lanjut,” ujarnya.
Dia menjelaskan bahwa tim teknis telah mengambil data dari kunci dekripsi itu. “Apa itu spesimen? Waktu itu kita mengambil data, data yang dikunci ini, kita cobain kunci itu [dari Brain Cipher], itu yang dilaporkan, nanti ada waktunya untuk dijelaskan secara teknis,” jelasnya.
Meski demikian, Semuel mengaku dirinya tidak memiliki data lebih banyak terkait hal itu. Sebab, per 1 Juli 2024, Semuel telah mengundurkan diri dari jabatannya.
Tidak Merespons
Bisnis pun telah mencoba menghubungi Kemenkominfo dan BSSN melalui pesan singkat untuk menanyakan perkembangan file PDNS 2 yang terkunci selama dua pekan lebih. Namun, hingga berita ini naik, baik Kemenkominfo dan BSSN tidak memberikan tanggapan.
Sekadar informasi tambahan, pasca penemuan ransomware di PDNS 2, ditemukan upaya penonaktifan fitur keamanan Windows Defender mulai 17 Juni 2024 pukul 23.15 WIB yang memungkinkan aktivitas malicious (berbahaya) beroperasi.
Untuk urutan kejadiannya, aktivitas malicious mulai terjadi pada 20 Juni 2024 pukul 00.54 WIB, di antaranya melalui instalasi fail malicious, penghapusan filesystem penting, dan penonaktifan layanan berjalan.
Kemudian pada 20 Juni 2024 pukul 00.55 WIB, diketahui Windows Defender mengalami crash dan tidak bisa beroperasi. Insiden ini membuat sejumlah layanan publik terganggu, salah satunya layanan keimigrasian
Pada tanggal yang sama, layanan keimigrasian pada unit pelaksana teknis (kantor imigrasi, unit layanan paspor, unit kerja keimigrasian) serta tempat pemeriksaan imigrasi pada bandar udara dan pelabuhan untuk sementara mengalami kendala.
Lumpuhnya sistem PDNS 2 juga berdampak pada sistem layanan Kartu Indonesia Pintar Kuliah (KIP Kuliah) Kementerian Pendidikan, Kebudayaan, Riset, dan Teknologi (Kemendikbudristek), yang mengharuskan 853.393 mahasiswa melakukan reclaim akun KIP Kuliah serta mengunggah kembali dokumen dan pendaftaran KIP Kuliah.
Per 26 Juni 2024, Kemenkominfo mencatat sebanyak 84,75% atau 239 instansi pengguna terdampak imbas sistem layanan Pusat Data Nasional Sementara (PDNS) 2 yang mengalami gangguan sejak 20 Juni 2024. Rinciannya, 30 kementerian/lembaga, 15 provinsi, 148 kabupaten, dan 48 kota.
Di sisi lain, instansi pengguna yang layanan tidak terdampak karena daya tersimpan di PDNS 2 terdiri dari 21 kementerian/lembaga, 1 provinsi, 18 kabupaten, dan 3 kota. Dengan demikian, totalnya hanya ada 43 instansi pengguna yang layanannya tidak terdampak dari server PDNS 2 yang down.
Sementara itu, merujuk data yang sama, ada lima layanan yang berhasil pulih, antara lain Kemenkomarves (layanan perizinan event), Kemenkumham (layanan keimigrasian), LKPP (layanan SIKAP), Kemenag (SIHALAL), dan Kota Kediri (ASN Digital).
