Pakar keamanan siber merilis cetak biru proteksi untuk sistem kontrol industri (ICS) yang berada di bawah naungan badan usaha milik negara (BUMN), menyusul serangkaian publikasi terkait arsitektur nasional dan penanganan insiden. Dokumen pemetaan ini disusun sebagai daftar periksa internal bagi operator infrastruktur kritis agar tidak sekadar mengamankan aset berdasarkan nilai teknologi, melainkan berdasarkan dampak kompromi terhadap keselamatan publik.
Matriks implementasi tersebut memuat 11 kendali utama yang harus dimiliki setiap entitas penyedia layanan esensial, mulai dari pengelolaan identitas hingga pemulihan pasca-insiden. Pendekatan ini lahir dari kebutuhan mendesak untuk menyelaraskan batas antara jaringan korporat (IT) dan jaringan operasional (OT) yang selama ini kerap menyatu tanpa pengawasan ketat.
Latar belakang penyusunan matriks ini bermula dari seri artikel sebelumnya yang membahas risiko nasional, lanskap ancaman, serta arsitektur target untuk lingkungan IT, OT, komputasi awan, dan jaringan listrik. Setelah memetakan alat, teknologi, dan katalog implementasi kontrol, fokus beralih pada tahap eksekusi nyata di lapangan.
Kendali pertama dalam dokumen tersebut mewajibkan identifikasi proses nasional dan fisik di mana kompromi siber dapat menciptakan dampak besar bagi publik, keselamatan, ekonomi, atau keamanan negara. Hal ini krusial karena banyak organisasi masih berorientasi pada keamanan sistem berdasarkan pentingnya teknologi, bukan berdasarkan konsekuensi nasional jika sistem tersebut lumpuh.
Selanjutnya, kendali kedua hingga ketiga menuntut pencatatan inventaris aset OT yang akurat serta pemisahan tegas antara jaringan perusahaan dan sistem kontrol. Inventaris harus mencakup versi, pemilik, zona, alur komunikasi, dan status cadangan, termasuk perangkat serial serta laptop rekayasa luring yang kerap terlupakan dalam pendataan rutin.
Bagi Indonesia, kehadiran matriks ini relevan dengan kondisi infrastruktur strategis seperti pembangkit listrik, sektor energi, dan transportasi publik yang dikelola oleh BUMN. Badan Siber dan Sandi Negara (BSSN) telah menetapkan pedoman proteksi infrastruktur informasi vital nasional, namun implementasi di tingkat operasional kerap menemui kendala akibat kompleksitas sistem warisan.
Salah satu titik rawan yang disebut dalam cetak biru tersebut adalah akses jarak jauh vendor. Di banyak fasilitas lokal, koneksi VPN pihak ketiga sering kali langsung masuk ke Level 2 atau Level 1 dengan akses subnet yang luas, tanpa pembatasan waktu atau autentikasi multifaktor. Praktik ini menjadi jembatan empuk bagi penyerang untuk memodifikasi pengontrol di dalam pabrik atau pembangkit.
Di sisi lain, pemantauan dan deteksi anomali pada jaringan OT juga menjadi tantangan tersendiri. Banyak sistem pendeteksi yang dipasang justru menghasilkan tingkat kebisingan data tinggi, namun gagal menangkap perilaku rekayasa yang menyimpang atau kegagalan segmentasi jaringan. Ketergantungan pada skor kerentanan CVSS versi perusahaan juga dinilai salah sasaran jika tidak mempertimbangkan paparan dan konsekuensi tinggi pada lingkungan OT.
Dokumen tersebut secara tegas mencatat sejumlah mode kegagalan yang sering terjadi di lapangan. Workstation rekayasa, misalnya, kerap menjadi jembatan antara akses penyerang dan modifikasi pengontrol karena kurangnya pembatasan admin lokal serta kontrol port USB. Sementara itu, cadangan data sering kali ada, tetapi tidak dapat dipulihkan dalam kondisi insiden sesungguhnya karena tidak pernah diuji melalui latihan pemulihan.
Kendali kesembilan hingga kesebelas menekankan manajemen kerentanan berbasis konsekuensi, pemulihan dari cadangan tepercaya, serta respons insiden yang tidak memicu perilaku proses fisik yang tidak aman. Setiap kontrol wajib memiliki pemilik, titik penegakan, bukti kepatuhan, frekuensi tinjauan, dan pernyataan risiko residual agar dapat diaudit secara berkala.
Ke depan, peta jalan nasional 180 hari yang digagas dalam seri sebelumnya akan menuntut BUMN untuk segera mengeksekusi matriks ini melalui latihan ketahanan berkala. Penggunaan platform penemuan pasif dan manajemen akses privilegiated diproyeksikan menjadi standar minimum bagi sektor yang mengelola grid kelistrikan dan utilitas publik.
Transformasi keamanan siber di sektor infrastruktur negara tidak lagi bisa ditunda. Tanpa pemisahan identitas OT yang ketat dan perlindungan khusus pada relay serta pengontrol fisik, ancaman siber tidak hanya akan menghentikan layanan digital, tetapi berpotensi mematikan lampu kota dan menghentikan pasokan energi secara massal.