Kebocoran data yang terjadi lembaga negara telah disebabkan oleh para pengelola lembaga yang masih abai pada pentingnya keamanan siber. Pemerintah harus sudah mengetatkan tata kelola sejak melakukan tender.
Oleh Romualdus San Udika
Dalam beberapa tahun ini terjadi perubahan mendasar dalam kehidupan manusia terutama dalam bidang perekonomian. Sumber daya yang diperebutkan banyak pihak pun bergeser, dari minyak bumi menjadi data.
Akan tetapi para pengelola perusahaan negara dan banyak pejabat di Indonesia tampaknya masih mengabaikan komoditas yang sekarang disebut “new oil” tersebut. Buktinya keamanan data masih menjadi sesuatu yang kerapkali dilupakan.
Bukti shahih yang bisa diihat publik adalah ketika muncul dua kejadian yang mengganggu masyarakat jasa layanan yang terkoneksi secara digital. Pertama adalah kejadian pada Mei 2021 ketika BPJS Kesehatan mengalami pembobolan data. Diduga sebanyak 279 juta data penduduk Indonesia yang berasal dari lembaga tersebut bocor dan dijual di sebuah forum yang diisi oleh para peretas. Data yang bocor tersebut mencakup data kependudukan anggota TNI dan Polri. Data yang dijual itu terdiri dari nama lengkap, KTP, nomor telepon, email, NIP dan alamat. Polisi pun turun tangan melakukan penyelidikan terkait dengan kasus tersebut dengan memeriksa berbagai pihak terkait, terutama vendor penyedia teknologi BPSJ Kesehatan.
Kejadian kedua, adalah dugaan kebocoran data dari aplikasi Indonesia Health Alert Card atau eHAC yang digagas Kementrian Kesehatan. Aplikasi tersebut harus diunduh oleh wisatawan jika ingin berkunjung ke Indonesia sebagai verifikasi penumpang selama bepergian. Aplikasi ini wajib untuk setiap wisatawan dari negara atau wilayah tertentu yang terkena penyakit, misalnya Covid-19.
Pemerintah Indonesia mewajibkan masyarakat untuk mengisi data di aplikasi eHAC sebagai upaya untuk mendeteksi, mencegah, dan mengendalikan Kedaruratan Kesehatan Masyarakat melalui Titik Masuk (Bandara, Pelabuhan, dan Pos Perbatasan Daratan).
Kasus pembobolan eHAC ini diungkapkan pertama kali oleh tim peneliti dari vpnMentor, pada 15 Juli lalu. Lembaga TI berbasis situs itu terdiri dari tim ahli VPN asli yang memiliki pengalaman gabungan selama 73 tahun dalam anonimitas web dan privasi online. Website itu memperkirakan data yang bocor dari aplikasi itu mencapai 2 Gigabyte. Jumlah data warga Indonesia dan warga asing yang menginstal eHAC dan bocor diperkirakan mencapai lebih dari 1,4 juta orang. Kebocoran jenis data eHAC yang diungkap vpnMentor adalah hasil tes Covid-19 termasuk nama orang yang melakukan tes, rumah sakit, nomor antrian, tipe tes hingga waktu dan tempat tes.
Kebocoran data eHAC juga mengungkap data 226 rumah sakit di Indonesia, meliputi nama, alamat hingga kapasitas rumah sakit. Kemudian data eHAC yang bocor juga meliputi data penumpang yang isinya identitas, nomor dan foto paspor, nomor E-KTP.
Untuk itu, vpnMentor telah berusaha menghubungi Kemenkes terkait kebocoran data tersebut namun tidak mendapat tanggapan. Baru pada 22 Agustus laporan vpnMentor mendapat tanggapan dari Badan Siber dan Sandi Negara (BSSN). Alhasil pada 24 Agustus, BSSN memutuskan mengambil tindakan dengan menonaktifkan peladen eHAC versi lama. Belakangan kebocoran data tersebut dibantal oleh Kementran Kominfo, setelah mendapat penjelasan dari Kemenkes.
Abai Risiko Siber
Dari dua pembobolan di atas, sejumah pengamat menyoroti keamanan aplikasi internal maupun mobile apps yang dimiliki pemerintah, lembaga, hingga BUMN. Tren digitalisasi sistem dalam semua layanan publik dan birokrasi, risiko siber harus menjadi perhatian utama. Sebab, setiap lembaga pemerintah tentu mengandung data pribadi warga negara bahkan hingga ke sistem penyelengaraan Negara.
Sekadar informasi, untuk mendukung Sistem Informasi Manajemen Kepesertaan, BPJS Kesehatan memiliki 6 aplikasi, yaitu Mobile JKN, Aplikasi BPJS Checking, Aplikasi e-Dabu, Aplikasi BPJS Admin, Aplikasi Registrasi Badan Usaha, Portal Bersama.
Sementara untuk mendukung Sistem Informasi Layanan Publik, BPJS Kesehatan memiliki 6 Aplikasi yaitu Website BPJS Kesehatan, Aplikasi Mudik BPJS Kesehatan, Portal Jamkesnews, Aplikasi Aplicares, dan Web Screening (skrining Kesehatan peserta).
BPJS Kesehatan pun memiliki Sistem Informasi Manajemen Penjaminan Pelayanan Kesehatan yang terdiri dari 8 Aplikasi yaitu Aplikasi Health Facilities Information System (HFIS), Aplikasi Pcare-Eclaim, Aplikasi vClaim, Aplikasi Sidik Jari BPJS Kesehatan, Aplikasi Antrean Faskes, Aplikasi Luar paket INACBGs (LUPIS), Aplikasi Apotek Online, dan Aplikasi Klaim Covid-19.
Koordinator Advokasi BPJS Watch Timboel Siregar menenggarai dugaan kebocoran data BPJS Kesehatan ini akibat lemahnya manajemen pengawasan dari lembaga itu, mengingat banyaknya aplikasi yang dimiliki. “Bila dikaitkan dengan banyaknya aplikasi di BPJS Kesehatan, maka kebocoran data tersebut kemungkinan bisa disebabkan diretasnya aplikasi-aplikasi tersebut khususnya Aplikasi Sistem Informasi Manajemen Kepesertaan dan Aplikasi pelayanan Kesehatan,” ujar Timboel dalam sebuah pernyataan resmi.
Menurutnya, dugaan peretasan aplikasi itu mengndikasikan relatif lemahnya pengamanan aplikasi TI yang dimiliki BPJS Kesehatan. Lembaga itu tidak bisa memastikan beberapa framework dan standar tata Kelola TI yang diimplementasikan BPJS Kesehatan untuk menjamin keamanan aplikasi-aplikasi di BPJS Kesehatan. Maka sebaiknya aplikasi yang ada di BPJS Kesehatan disederhanakan jumlahnya sehingga bisa lebih efektif dan efisien dalam mengelola program JKN, imbunya.
Sementara Pengamat Keamanan Siber, Ardi Sutedja memperkirakan kebocoran ini telah dimulai sejak lama. Ada kelalaian sumber daya manusia dalam pengelolaan sistem keamanan data nasabah dalam sebuah lembaga. Karena menurutnya, tidak mungkin lembaga pemerintah atau swasta, sengaja membocorkan data pribadi nasabahnya, mengingat hal ini menurut Ardi bisa merugikan lembaga itu sendiri.
Verifikasi Vendor Lemah
Perihal kasus kebocoran data ini, Direktur Umum BPJS Kesehatan, Ali Ghufron mengatakan pihaknya menduga ada pelanggaran hukum terkait dugaan peretasan itu. Sebab pengelolaan sistem data dan informasi di BPJS Kesehatan telah sesuai dengan ketentuan perundang-undangan yang berlaku. Selain itu, Ali pun mengklaim pihaknya telah mendapatkan sertifikasi ISO 27001.
Standar ISO 27001 merupakan standar dalam sistem manajemen keamanan informasi yang memberikan gambaran mengenai apa yang harus dilakukan sebuah pemangku kepentingan usaha dalam mengimplementasikan konsep keamanan informasi.
Terkait potensi pelanggaran hukum, maka yang menjadi target adalah para vendor yang menyediakan berjubel aplikasi BPJS Kesehatan tersebut. Sebanyak lima vendor BPJS Kesehatan diperiksa Bareskrim Polri, untuk mengetahui bagaimana sistem kemanan dari aplikasi tersebut. Dari situ juga bisa diketahui sejauh mana pengawasan BPJS Kesehatan terhadap aplikasi vendor tersebut. Apakah vendor sudah memenuhi standar ISO 27001 atau tidak.
Hal ini menjadi sangat penting mengingat ketika kembali muncul kasus serupa di lingkungan BUMN dan Pemerintah, akan menegasikan klaim lembaga negara dan BUMN akan sistem IT yang memenui standar ISO. Sebut saja ketika pemerintah kembali mendapat kritik tajam dari sejumlah pengamat terkait kasus dugaan kebocoran data lagi yakni dari 1,3 juta data pengguna Electronic Health Alert Card (eHAC) Kemenkes.
Pemerntah terkesan abai dan tidak melakukan pengamanan data yang layak terhadap data pribadi yang tersimpan di sistem informasi, sebagaimana yang digunakan untuk menyelenggarakan eHAC. “Mana tanggung jawabnya kalian sebagai pengumpul data pribadi lebih dari sejuta pengunduh eHAC?” ujar Direktur Eksekutif Southeast Asia Freedom of Expression Network (SAFEnet), Damar Juniarto melalui akun Twitternya, akhir Agustus lalu.
Maka dari itu, banyak pengamat menyebut semestinya pemerintah lebih hati-hati dalam memilih vendor untuk penyelenggaraan sistem informasi. Dalam hal ini, pihak TI Kemenkes harus menyadari siapapun vendor yang mereka pilih, tanggung jawab terakhir tetap di tangan mereka kalau terjadi kebocoran data. Sebab pemilik datanya adalah Kemenkes.
- Baca juga: Simfoni Integritas dari Yogyakarta
Kepala Pusat Data dan Informasi Kemenkes Anas Maruf menyebut data keamanan yang diduga bocor itu merupakan data rekanan atau vendor aplikasi eHAC, namun Anas tak menyebutkan secara gamblang terkait perusahaan vendor dari aplikasi eHAC tersebut.
Sementara itu, sejak tahun 2019 hingga 31 agustus 2021 lalu, Kemkominfo telah menangani dugaan kebocoran data terhadap 36 Pengadaan Secara Elektronik (PSE) untuk menjaga data masyarakat. Dari jumlah tersebut, 31 kasus tekah selesai dilakukan investigasi. Dari 31 kasus yang telah dilakukan investigasi ada 4 PSE dikenai sanksi teguran tertulis, 18 PSE diberikan rekomendasi teknis peningkatan tata kelola data dan sistem elektronik, dan 9 PSE lainnya sedang dalam proses pengambil kepuusan akhir terkait pemberian sanksi.***
