Situs .go.id di Ujung Tanduk: Membedah Risiko Siber Portal Layanan Publik

Portal Bukan Sekadar Halaman Web

Dalam kerangka keamanan informasi, sebuah situs kementerian jarang berdiri sendiri. Ia biasanya terhubung ke sistem autentikasi terpusat, basis data internal, aplikasi turunan untuk lelang atau pelaporan, serta layanan pihak ketiga seperti penyedia hosting, plugin, dan gerbang pembayaran. Setiap sambungan itu menambah permukaan serangan (attack surface). Artinya, satu komponen usang di pinggiran dapat menjadi pintu masuk ke inti.

Pola gangguan pada domain .go.id di Indonesia sudah dikenal publik dan berulang: perusakan tampilan halaman (defacement), penyisipan tautan judi online pada subdomain yang terlupakan, pengambilalihan akun administrator, hingga pencurian basis data yang kemudian dijual di forum gelap. Badan Siber dan Sandi Negara dalam laporan tahunannya secara konsisten mencatat anomali trafik di ruang siber nasional dalam skala ratusan juta hingga miliaran per tahun, dengan aktivitas bermotif ransomware dan pencurian kredensial sebagai tren yang menguat.

Pelajaran dari Juni 2024

Gangguan pada Pusat Data Nasional Sementara (PDNS) pada Juni 2024 menjadi rujukan paling terang. Serangan ransomware yang diidentifikasi berasal dari keluarga Brain Cipher melumpuhkan layanan ratusan instansi pusat dan daerah sekaligus, termasuk layanan keimigrasian. Peristiwa itu menyingkap dua kelemahan struktural: konsolidasi tanpa redundansi dan cadangan data yang tidak teruji. Konsolidasi infrastruktur menekan biaya, tetapi tanpa salinan terpisah yang benar-benar bisa dipulihkan, efisiensi berubah menjadi titik kegagalan tunggal.

Analisis: Risiko yang Sering Diabaikan

Tiga risiko paling sering luput dari perhatian pengelola portal pemerintah:

• ●Aset digital tak bertuan. Subdomain sisa proyek lama, aplikasi kegiatan yang sudah usai, dan server uji coba yang lupa dimatikan. Inilah yang paling sering dibajak untuk konten judi.
• ●Ketergantungan vendor. Pengembangan yang di-outsource tanpa klausul keamanan membuat instansi kehilangan visibilitas atas kode dan kredensial sistemnya sendiri.
• ●Faktor manusia. Rekayasa sosial dan phishing tetap menjadi jalur masuk termurah bagi penyerang, jauh lebih efektif daripada eksploitasi teknis rumit.

"Transformasi digital bukan sekadar soal teknologi, tetapi tentang bagaimana manusia beradaptasi dengan perubahan fundamental," ujar seorang pakar teknologi informasi.

Konteks hukumnya juga berubah. UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang masa transisinya berakhir pada Oktober 2024, menempatkan instansi publik sebagai pengendali data dengan kewajiban memberitahukan kebocoran kepada subjek data. Risiko insiden kini bukan hanya reputasi, tetapi akuntabilitas hukum.

Mitigasi yang Layak Diprioritaskan

Langkah paling berdampak justru bersifat mendasar: inventarisasi seluruh aset digital secara berkala, penerapan autentikasi berlapis untuk semua akun administratif, uji penetrasi dan pemindaian kerentanan rutin, serta strategi pencadangan 3-2-1 dengan setidaknya satu salinan terisolasi. Yang paling sering dilewatkan adalah simulasi pemulihan: rencana kontinuitas yang belum pernah diuji pada praktiknya belum bisa disebut rencana.