Keamanan siber kini bukan lagi sekadar isu khusus, melainkan pilar kritis dalam strategi organisasi modern. Di era transformasi digital yang mendorong inovasi, risiko ancaman siber meningkat secara eksponensial. Dalam sebuah seminar baru-baru ini, Gildas Deograt Lumi, seorang pakar keamanan siber dengan pengalaman lebih dari 25 tahun dan pendiri Formasi (Forum for Cybersecurity and Information Security), menyampaikan presentasi yang penuh dengan wawasan, analogi, dan pelajaran praktis. Artikel ini merangkum poin-poin utama dari presentasinya menjadi panduan komprehensif bagi organisasi dan individu yang ingin memperkuat postur keamanan siber mereka. Dengan panjang lebih dari 2000 kata, artikel ini menggali pola pikir, strategi, dan contoh dunia nyata yang dibagikan Gildas, menggunakan bahasa yang mudah dipahami dan relevan dengan konteks Indonesia.

Pendahuluan: Mengapa Keamanan Siber Penting?

Gildas memulai presentasinya dengan nada yang provokatif namun penuh humor, menekankan bahwa keamanan siber bukan hanya tentang teknologi, tetapi juga tentang pola pikir dan perilaku. Dengan pengalaman mendirikan Formasi pada 2005, menjabat sebagai pakar keamanan siber untuk Kementerian Pertahanan, dan memimpin lebih dari 100 proyek di 15 negara, Gildas membawa perspektif global yang kaya. Ia menegaskan bahwa di tengah “nebula digital” yang penuh ancaman dan inovasi, keamanan siber adalah kunci untuk melindungi ekosistem digital kita.

Salah satu poin awal Gildas adalah pentingnya memahami bahwa rasa aman bisa berbahaya. “Rasa aman membuat kita lengah,” katanya, menggunakan analogi survei di hotel: “Siapa yang merasa aman di hotel ini?” Ia menjelaskan bahwa perasaan aman sering kali tidak didukung oleh substansi keamanan yang nyata. Dalam bukunya, Hacker Secrets for CEOs, Gildas mengungkapkan cara-cara sederhana untuk membobol kamar hotel tanpa meretas sistem, tetapi dengan memanipulasi orang—orang di dalamnya. Ini menjadi pengantar untuk tesis utamanya: amatir meretas sistem, tetapi profesional meretas orang.

Pola Pikir Keamanan Siber: Secure by Design

1. Copy-Paste Pola Pikir Dunia Nyata ke Dunia Siber

Gildas menekankan bahwa keamanan siber tidak perlu rumit. Ia mengusulkan pendekatan sederhana: tiru pola pikir dan perilaku keamanan dari dunia nyata ke dunia digital. Misalnya, saat membangun rumah, kita mempertimbangkan keamanan terhadap bencana alam atau kriminalitas sebelum membeli tanah. Kita merancang alur lalu lintas (traffic flow) di rumah—pintu utama mengarah ke ruang tamu, bukan langsung ke kamar tidur utama. Bahkan toilet pun diberi pintu untuk melindungi privasi, bukan dipasang saat darurat.

Namun, dalam transformasi digital, banyak organisasi gagal menerapkan pola pikir ini. “Kita membeli teknologi, membuat sistem, tapi lupa memikirkan keamanan sejak awal,” ujar Gildas. Ia mencontohkan kasus transformasi digital yang “digaspol” tanpa mempertimbangkan keamanan, mirip seperti sopir yang ngebut demi mengejar pesawat, mengabaikan keselamatan. Akibatnya, banyak sistem yang rentan karena tidak dirancang dengan prinsip secure by design.

2. Risiko Manusia: Pengguna dan Administrator

Gildas menyoroti bahwa 80% masalah keamanan siber berasal dari pengguna, terutama mereka yang memiliki hak akses tinggi, seperti admin sistem (sysadmin) atau petugas keamanan siber. Ia menggunakan analogi lucu tentang penggunaan laptop: “Kalau sysadmin Anda hanya pakai satu laptop untuk semua aktivitas, baik sebagai pengguna biasa maupun admin, tingkat keamanannya cuma 2 dari 10. Pakai doa!” Sebaliknya, jika admin menggunakan dua laptop—satu untuk tugas biasa dan satu khusus untuk tugas admin—keamanan meningkat minimal ke level 5.

Ia juga menyinggung budaya pengguna yang mengklik “lanjutkan” saat muncul peringatan keamanan (security warning). Dalam dunia nyata, jika ada peringatan bahwa jembatan di depan rubuh, kita akan berhenti. Namun di dunia siber, 99,9% pengguna memilih “lanjutkan”. “Ini menunjukkan kita punya dua kepribadian: satu di dunia nyata, satu di dunia maya. Kalau mau aman, harus satu pola pikir,” tegasnya.

Ancaman Siber Modern: Dari Ransomware hingga Social Engineering

1. Ransomware: Ancaman yang Berulang

Gildas menggambarkan ransomware sebagai ancaman yang tidak muncul tiba-tiba. Ia mengenang diskusinya dengan Menteri Komunikasi dan Informatika pada 2018, yang sudah memperingatkan bahaya ransomware. Namun, banyak organisasi mengabaikan peringatan ini, mengklaim mereka sudah aman karena memiliki firewall, VPN, atau antivirus. Akibatnya, banyak yang menjadi korban, bahkan hingga berulang kali—ada yang terkena ransomware hingga tiga atau empat kali.

Gildas menekankan dua solusi untuk ransomware: membayar tebusan atau memiliki offline backup yang benar-benar tidak terhubung ke jaringan. “Kalau tidak punya backup offline, mulai berdoa sekarang,” candanya. Ia juga menyinggung kasus Bank Syariah Indonesia yang terkena ransomware, menyebabkan sistem mati selama empat hari, sebagai contoh nyata pentingnya manajemen risiko.

2. Social Engineering dan Clickjacking

Gildas menjelaskan bahwa penjahat siber profesional lebih fokus pada social engineering—memanipulasi manusia—daripada meretas sistem. Salah satu teknik yang ia soroti adalah clickjacking, yang ia analogikan sebagai tombol tersembunyi di balik gambar. “Bayangkan Anda mengklik hidung di aplikasi, tapi di belakangnya ada tombol yang memicu ledakan,” katanya. Dalam konteks digital, clickjacking memungkinkan penjahat mencuri data atau mengarahkan pengguna ke situs berbahaya hanya dengan satu klik.

Ia juga memperingatkan tentang homograph attack, di mana penjahat menggunakan karakter Unicode yang mirip huruf Latin (misalnya, “a” Latin vs. “a” Sirilik) untuk membuat domain palsu seperti “xn-ple43d.com” yang sekilas tampak seperti “apple.com”. “Jangan percaya meski sudah melihat,” ujarnya, menegaskan bahwa mata tidak bisa diandalkan di internet.

3. Kebocoran Data dan Biometrik

Gildas menyentuh isu kebocoran data yang masif, termasuk data kependudukan di Indonesia. Ia menceritakan pengalamannya mencari nama “Gildas” di dark web dan menemukan puluhan entri, menunjukkan betapa mudahnya data pribadi bocor. Ia juga memperingatkan tentang penggunaan biometrik sebagai autentikasi. “Biometrik itu seperti kata sandi yang tidak bisa diganti seumur hidup,” katanya, menyoroti risiko database biometrik yang tersebar di internet.

Transformasi Digital dan Risiko Cloud

1. Transformasi Digital yang Mengabaikan Keamanan

Gildas mengkritik pendekatan “gaspol” dalam transformasi digital, di mana kecepatan sering mengorbankan keamanan. Ia menceritakan kasus tim pengembangan perangkat lunak yang mempersingkat jadwal peluncuran dari 10 bulan menjadi 6 bulan hanya karena kompetitor melakukannya lebih cepat. “Apa yang diabaikan? Keamanan,” tegasnya. Akibatnya, banyak sistem diluncurkan dengan celah keamanan yang mudah dieksploitasi.

2. Cloud: Motel Digital

Gildas menggunakan analogi motel untuk menggambarkan keamanan cloud publik. “Buka pintu, langsung parkiran,” katanya, menyoroti kerentanan cloud jika tidak dikonfigurasi dengan benar. Ia menjelaskan bahwa banyak organisasi, termasuk Pentagon dan Microsoft, melakukan kesalahan konfigurasi sederhana, seperti membuka database ke publik. “Di motel, ada orang baik dan jahat. Pengelola punya akses penuh, bahkan ke brankas Anda,” tambahnya.

Ia juga memperingatkan tentang kontrak cloud yang sering tidak menjamin kerahasiaan atau integritas data, hanya ketersediaan (availability). “Kalau cloud diretas, penyedia bilang, ‘Bukan tanggung jawab saya.’ Yang dimaki pelanggan siapa? Anda, bukan penyedia cloud,” ujarnya.

Solusi Praktis untuk Keamanan Siber

1. Secure by Design dan Arsitektur Keamanan

Gildas menekankan pentingnya merancang sistem dengan keamanan sejak awal. Ia mengusulkan pendekatan seperti bandara internasional, bukan terminal bus Kampung Rambutan. “Di bandara, alur terkontrol, ada pemeriksaan ketat. Di terminal, semua bisa masuk,” katanya. Ini mencakup desain, pengembangan, implementasi, konfigurasi, dan operasi yang konsisten dengan keamanan.

Ia juga menyarankan arsitektur yang memisahkan komponen sistem seperti kartu domino. “Jika satu jatuh, yang lain tidak ikut runtuh,” ujarnya. Contohnya, memisahkan database, middleware, dan frontend pada cloud dengan aturan akses ketat.

2. Manajemen Risiko dan Klasifikasi Aset

Gildas menyarankan organisasi untuk melakukan analisis risiko yang holistik, termasuk mengidentifikasi threat agent—pihak yang berpotensi menyerang sistem. “90% analisis risiko yang saya baca tidak menyebutkan siapa threat agent-nya. Tanpa itu, analisisnya tidak valid,” tegasnya.

Ia juga menekankan pentingnya klasifikasi aset, mirip seperti di rumah tangga. “Di rumah, kamar utama hanya boleh diakses dalam kondisi tertentu. Begitu juga data sensitif di sistem Anda,” katanya. Ini mencakup kebijakan akses dan pengecualian (exception management).

3. Budaya Keamanan

Gildas menyerukan revolusi pola pikir untuk menciptakan budaya keamanan. Ia menggunakan analogi anak yang diajarkan memakai baju setelah mandi. “Di dunia nyata, kita tidak keluar telanjang. Tapi di internet, banyak yang ‘telanjang’ karena merasa tidak kelihatan,” katanya. Budaya ini harus dipaksakan, seperti penggunaan sabun pengaman (seatbelt) atau helm, yang awalnya tidak nyaman tetapi menjadi kebiasaan.

Tantangan Kedaulatan Siber Indonesia

Gildas menyentuh isu kedaulatan siber, menyatakan bahwa Indonesia belum berdaulat di ranah digital. “90% otak kita ada di luar,” katanya, merujuk pada ketergantungan pada platform asing seperti WhatsApp, Google, dan Facebook. Ia menceritakan rencana pemblokiran WhatsApp pada 2022 yang gagal karena pejabat Kominfo sendiri bergantung pada platform tersebut untuk komunikasi. “Kedaulatan itu soal menegakkan hukum. Kalau tidak bisa, kita tidak berdaulat,” tegasnya.

Ia juga menyinggung undang-undang seperti Cloud Act di Amerika, yang mewajibkan perusahaan teknologi AS menyerahkan data di mana pun lokasinya. “Ini membuat cloud justru lebih berbahaya, bukan lebih aman,” ujarnya.

Doa Saja Tidak Cukup

Gildas menutup presentasinya dengan pesan yang kuat: keamanan siber membutuhkan pola pikir proaktif, bukan sekadar doa. “Kalau Anda belum jadi korban, mungkin karena Anda orang beriman dan rajin berdoa,” candanya. Namun, ia menegaskan bahwa doa harus diimbangi dengan tindakan nyata: desain aman sejak awal, manajemen risiko yang holistik, dan budaya keamanan yang kuat.

Dengan analogi yang relatable dan wawasan mendalam, Gildas Deograt Lumi memberikan panduan praktis sekaligus peringatan keras tentang realitas keamanan siber. Di tengah ancaman yang terus berevolusi, organisasi dan individu harus bergerak cepat untuk merevolusi pendekatan mereka. Seperti yang Gildas katakan, “Keamanan siber itu sederhana: copy-paste pola pikir dunia nyata ke dunia siber. Yang sulit adalah melakukannya secara konsisten.”