Ketika Serangan Siber Menjadi Krisis Kepercayaan

Ilustrasi AI

Serangan siber sering dipahami sebagai persoalan teknis yang harus diselesaikan oleh tenaga teknologi informasi. Padahal, ketika layanan publik berhenti, data masyarakat diduga bocor, atau sistem pemerintah tidak dapat diakses, persoalannya segera berubah menjadi krisis kepercayaan.

Masyarakat tidak hanya ingin mengetahui kapan sistem kembali beroperasi. Mereka ingin mengetahui data apa yang terdampak, risiko apa yang mungkin dihadapi, tindakan apa yang harus dilakukan, dan siapa yang bertanggung jawab memulihkan keadaan.

Indonesia patut mengapresiasi semakin kuatnya perhatian pemerintah terhadap keamanan ruang digital. Kehadiran Badan Siber dan Sandi Negara, penguatan tata kelola pelindungan data pribadi, serta koordinasi dengan Komdigi menunjukkan bahwa keamanan digital telah ditempatkan sebagai kepentingan nasional.

Namun sistem keamanan yang baik tidak berarti serangan tidak akan pernah terjadi. Bahkan lembaga dan perusahaan dengan teknologi paling maju pun dapat menghadapi insiden. Perbedaan antara organisasi yang siap dan tidak siap terlihat dari kemampuan mendeteksi, membatasi dampak, memulihkan sistem, serta berkomunikasi secara bertanggung jawab.

Dalam situasi siber, godaan pertama institusi sering kali adalah diam sampai semua fakta ditemukan. Sikap ini dapat dimengerti karena informasi awal belum lengkap dan kesalahan pernyataan dapat menimbulkan konsekuensi. Namun keheningan yang terlalu lama menciptakan ruang bagi rumor.

Komunikasi awal tidak harus memuat kesimpulan final. Pemerintah dapat menjelaskan bahwa gangguan telah terdeteksi, tim sedang melakukan investigasi, layanan tertentu terdampak, dan pembaruan berikutnya akan disampaikan pada waktu yang ditentukan. Kepastian tentang proses dapat menjaga kepercayaan ketika kepastian tentang penyebab belum diperoleh.

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi telah memberikan dasar yang penting bagi tanggung jawab pengendali data. Semangat aturan tersebut perlu diterjemahkan menjadi protokol komunikasi insiden yang mudah dipahami masyarakat.

Setiap lembaga pemerintah sebaiknya memiliki cyber incident communication playbook. Dokumen ini tidak hanya mengatur siapa yang memperbaiki server, tetapi siapa yang berbicara, informasi apa yang harus diumumkan, bagaimana menghubungi masyarakat terdampak, serta bagaimana menghadapi disinformasi yang memanfaatkan insiden.

Pemerintah dapat menetapkan empat tingkat komunikasi. Tingkat pertama digunakan untuk gangguan teknis biasa. Tingkat kedua berlaku ketika sebagian layanan publik terhenti. Tingkat ketiga digunakan apabila terdapat dugaan kebocoran data. Tingkat keempat berlaku bagi serangan yang berpotensi memengaruhi layanan strategis atau keamanan nasional.

Setiap tingkat membutuhkan bentuk komunikasi yang berbeda. Gangguan ringan mungkin cukup diumumkan melalui laman resmi. Dugaan kebocoran data membutuhkan pemberitahuan langsung kepada pemilik data disertai penjelasan risiko dan tindakan perlindungan. Serangan terhadap layanan strategis membutuhkan koordinasi komunikasi lintas lembaga.

Transparansi harus berjalan bersama kehati-hatian. Pemerintah tentu tidak perlu mengumumkan detail teknis yang dapat membantu penyerang. Namun alasan keamanan tidak boleh digunakan untuk menutup informasi yang dibutuhkan masyarakat guna melindungi dirinya.

Jika data kredensial terdampak, masyarakat perlu diminta mengganti kata sandi. Jika data keuangan berisiko, pengguna perlu diarahkan memantau transaksi. Jika nomor telepon atau identitas tersebar, pemerintah harus mengingatkan potensi phishing, pemerasan, atau penipuan lanjutan.

Model pemberitahuan juga harus sederhana. Istilah seperti ransomware, eksploitasi kerentanan, atau exfiltration perlu diterjemahkan dalam bahasa yang dapat dipahami warga. Orang tidak seharusnya membutuhkan latar belakang keamanan komputer untuk mengetahui apakah dirinya berada dalam bahaya.

Selain itu, perlu dibentuk dasbor insiden layanan publik digital. Dasbor tersebut dapat menampilkan layanan yang terganggu, waktu gangguan dimulai, perkembangan pemulihan, alternatif layanan, dan status terakhir. Transparansi operasional semacam ini akan mengurangi ketergantungan masyarakat pada rumor media sosial.

Setelah pemulihan, pemerintah sebaiknya menerbitkan laporan pascainsiden. Laporan tidak harus membuka rahasia keamanan, tetapi perlu menjelaskan penyebab umum, dampak, waktu respons, kelemahan yang ditemukan, serta perbaikan yang dilakukan. Tradisi semacam ini akan mengubah insiden menjadi pembelajaran institusional.

Audit independen juga diperlukan untuk insiden besar. Institusi tidak seharusnya menjadi satu-satunya pihak yang menilai keberhasilan responsnya sendiri. Penilaian eksternal dapat memperkuat akuntabilitas sekaligus memberikan rekomendasi objektif.

Keamanan siber juga membutuhkan latihan. Pemerintah telah terbiasa melakukan simulasi bencana alam. Pendekatan serupa dapat diterapkan melalui simulasi krisis digital yang melibatkan pimpinan lembaga, tim teknis, humas, aparat penegak hukum, dan pengelola layanan publik.

Dalam simulasi tersebut, tim komunikasi harus diuji menghadapi pertanyaan masyarakat, tekanan media, informasi palsu, serta perubahan keadaan. Banyak institusi memiliki kemampuan teknis yang baik, tetapi belum tentu siap berbicara di tengah krisis.

Pada akhirnya, keamanan digital tidak hanya dibangun dengan pusat data, enkripsi, dan perangkat lunak. Ia juga dibangun melalui kejujuran, keterbukaan, dan penghormatan terhadap hak masyarakat untuk memperoleh informasi.

Serangan siber mungkin merusak sistem dalam hitungan menit. Namun komunikasi yang buruk dapat merusak kepercayaan selama bertahun-tahun. Karena itu, kemampuan menjelaskan krisis harus ditempatkan setara pentingnya dengan kemampuan mengatasi serangan. Negara digital yang kuat bukan negara yang mengaku tidak pernah diserang, melainkan negara yang mampu melindungi masyarakat, pulih dengan cepat, dan tetap dipercaya ketika serangan terjadi.