Cyberattack Tidak Bisa Dilatih Hanya Lewat Slide

The Core Update

FBI membuka detail tentang fasilitas latihan cyber bernama Kinetic Cyber Range di Huntsville, Alabama. Bentuknya bukan sekadar lab komputer biasa, tetapi kota replika seluas sekitar 22.000 kaki persegi.

Di dalamnya ada rumah, hotel, pom bensin, grocery mart, pengadilan, rumah sakit, perusahaan listrik, jalan, dan lampu lalu lintas. Semua dibuat untuk mensimulasikan komunitas nyata yang memakai teknologi nyata.

Tujuannya jelas: melatih aparat dan investigator menghadapi cyberattack dalam lingkungan yang aman, tetapi tetap terasa dekat dengan kondisi lapangan.

Fasilitas ini dibuka pada Februari 2025 dan disebut sudah melatih lebih dari 1.400 peserta, termasuk personel FBI dan partner dari lembaga federal maupun lokal.

Yang menarik, kota replika ini tidak hanya menunjukkan bagaimana serangan terjadi di layar. Sistem di dalamnya dirancang agar peserta bisa melihat dampak fisik dan operasional dari serangan digital.

Misalnya, ransomware tidak lagi dibahas sebagai file terenkripsi di komputer. Ia bisa disimulasikan sebagai rumah sakit yang sistemnya gelap, perusahaan listrik yang terganggu, atau layanan publik yang harus mengambil keputusan cepat di bawah tekanan.

FBI juga menyiapkan data center dengan lebih dari 200 server fisik, sebagian Windows dan sebagian Linux. Ini menggambarkan lingkungan perusahaan yang sering ditemui saat investigasi breach, search warrant, atau incident response.

Konteksnya memang serius. Dalam laporan Internet Crime Report 2025, FBI mencatat kerugian cybercrime di Amerika Serikat mencapai 20,9 miliar dolar, naik 26% dari tahun sebelumnya. Ransomware disebut sebagai salah satu ancaman utama bagi infrastruktur kritis.

Dengan angka seperti itu, cyberattack tidak lagi bisa dipahami sebagai masalah IT yang jauh dari operasional. Ia sudah menjadi risiko bisnis, risiko layanan publik, dan dalam beberapa kasus, risiko keselamatan manusia.

The Reality Check

Banyak organisasi masih memperlakukan cybersecurity seperti materi awareness tahunan. Karyawan diminta menonton video, membaca policy, mengisi kuis, lalu dianggap sudah lebih siap.

Itu tidak salah. Awareness tetap penting.

Tetapi awareness bukan kesiapan.

Ketika insiden benar-benar terjadi, masalahnya jarang sesederhana mengetahui definisi phishing, ransomware, atau malware. Masalahnya adalah siapa yang harus mengambil keputusan, sistem mana yang harus dimatikan, pelanggan mana yang harus diberi tahu, data apa yang perlu diamankan, dan kapan bisnis boleh kembali berjalan.

Di titik ini, slide presentasi sering tidak cukup.

FBI membangun kota replika karena dunia nyata tidak bergerak dalam format teori yang rapi. Dalam insiden cyber, banyak hal terjadi bersamaan. Tim teknis mencari sumber masalah. Tim operasional panik karena layanan berhenti. Tim legal menanyakan kewajiban pelaporan. Tim komunikasi menunggu narasi. Manajemen bertanya berapa lama bisnis bisa bertahan.

Itulah bagian yang sering hilang dari latihan cybersecurity di bisnis.

Banyak perusahaan punya tool keamanan, tetapi belum punya latihan keputusan. Punya antivirus, firewall, backup, dan dashboard, tetapi belum pernah menguji apa yang terjadi jika sistem invoice tidak bisa diakses selama dua hari. Belum pernah mensimulasikan kalau WhatsApp bisnis diretas. Belum pernah mencoba skenario ketika akun admin marketplace diambil alih. Belum pernah menjawab siapa yang boleh memutuskan untuk mematikan akses tertentu.

Akibatnya, saat insiden terjadi, tim bukan hanya menghadapi serangan. Tim juga menghadapi kebingungan internal.

Cybersecurity yang sehat bukan hanya soal mencegah serangan. Ia juga soal kemampuan membaca situasi, mengambil keputusan, dan memulihkan operasi.

Masalahnya, kemampuan seperti itu tidak muncul hanya karena perusahaan membeli tool baru.

Tool bisa membantu mendeteksi. Tool bisa membantu membatasi akses. Tool bisa membantu membuat backup. Tetapi tool tidak otomatis membuat tim tahu apa yang harus dilakukan pada jam pertama insiden.

Jam pertama sering menentukan arah.

Apakah akun yang dicurigai langsung dinonaktifkan? Apakah perangkat diputus dari jaringan? Apakah backup terakhir bersih? Apakah pelanggan diberi informasi sekarang atau menunggu investigasi? Apakah operasional manual bisa berjalan sementara?

Tanpa latihan, semua pertanyaan ini akan dijawab dalam kondisi panik.

FBI membuat lingkungan latihan yang kompleks karena cyberattack modern memang menyentuh banyak lapisan. Bisnis tidak harus membangun kota replika. Tetapi bisnis perlu mengambil prinsip yang sama: jangan hanya belajar cybersecurity di ruang kelas. Latih skenario yang mendekati kondisi kerja sehari-hari.

Untuk bisnis, skenarionya bisa lebih sederhana:

• akun email finance diambil alih
• website tiba-tiba berubah tampilan
• database pelanggan tidak bisa diakses
• laptop admin terkena ransomware
• akun media sosial utama terkunci
• payment confirmation palsu masuk ke tim sales
• file penting di Google Drive terhapus atau dibagikan keluar

Skenario seperti ini terdengar kecil dibanding infrastruktur kritis. Tetapi bagi bisnis yang bergantung pada kanal digital, dampaknya bisa sangat nyata.

Lead berhenti masuk. Order tertunda. Kepercayaan pelanggan turun. Tim sibuk menebak-nebak. Owner baru tahu setelah kerusakan membesar.

Di sinilah pendekatan polite contrarian perlu dipakai: masalah cybersecurity di banyak bisnis bukan selalu karena kurang canggih. Sering kali, masalahnya karena belum pernah dilatih secara nyata.

The Havedev Way

Dari sudut pandang Havedev, berita tentang Kinetic Cyber Range menunjukkan satu hal penting: sistem digital harus diuji dalam konteks operasional, bukan hanya dalam konteks teknis.

Website, CRM, dashboard, automation, server, email, dan akun bisnis bukan aset yang berdiri sendiri. Semuanya terhubung dengan cara tim bekerja dan cara pelanggan berinteraksi.

Karena itu, kesiapan cyber untuk bisnis sebaiknya tidak dimulai dari pertanyaan, “tool security apa yang harus dibeli?”

Pertanyaan awal yang lebih sehat adalah:

• proses bisnis mana yang paling tergantung pada sistem digital?
• akun mana yang kalau hilang akan paling mengganggu operasional?
• data mana yang paling sensitif?
• siapa yang punya akses admin?
• bagaimana backup diuji?
• siapa yang mengambil keputusan saat insiden?
• bagaimana pelanggan diberi tahu jika layanan terganggu?

Jawaban dari pertanyaan ini membuat kebutuhan teknis menjadi lebih jelas.

Mungkin bisnis memang perlu memperbaiki konfigurasi server. Mungkin perlu backup yang lebih disiplin. Mungkin perlu membatasi akses admin. Mungkin perlu audit website. Mungkin perlu SOP incident response yang sederhana. Mungkin perlu simulasi internal satu jam setiap beberapa bulan.

Yang penting, jangan menunggu insiden besar untuk baru mengetahui bahwa tim belum punya alur respons.

Untuk banyak bisnis kecil dan menengah, latihan cyber tidak harus rumit. Bisa dimulai dari tabletop exercise sederhana: pilih satu skenario, kumpulkan orang terkait, lalu jalankan pertanyaan demi pertanyaan.

Misalnya: website tidak bisa diakses dan muncul pesan mencurigakan.

Tanyakan:

• siapa yang pertama kali harus diberi tahu?
• siapa yang mengecek hosting atau server?
• siapa yang mematikan akses sementara?
• apakah ada backup terakhir?
• kapan backup terakhir diuji?
• apakah form lead masih aman?
• bagaimana tim sales tetap menerima inquiry?
• pesan apa yang disampaikan ke pelanggan jika downtime berlangsung lama?

Latihan seperti ini sering membuka masalah yang sebelumnya tidak terlihat. Bukan karena tim tidak kompeten, tetapi karena alurnya belum pernah dipaksa untuk berjalan dalam kondisi tekanan.

Cybersecurity yang baik tidak selalu terlihat dramatis. Kadang bentuknya sederhana: akses admin lebih sedikit, password manager dipakai dengan benar, backup diuji, log mudah dibaca, form website tidak menyimpan data berlebihan, dan tim tahu siapa melakukan apa saat sesuatu rusak.

Itu bukan pekerjaan yang glamor. Tetapi justru hal-hal seperti ini yang membuat bisnis lebih tahan terhadap gangguan.

Kinetic Cyber Range milik FBI adalah versi besar dari prinsip yang sama: latihan harus mendekati kenyataan.

Bisnis tidak perlu meniru skalanya. Tetapi bisnis perlu meniru cara berpikirnya.

Jangan hanya bertanya apakah sistem aman. Tanyakan juga apakah tim siap ketika sistem tidak aman.

Jangan hanya membuat backup. Uji apakah backup bisa dipakai.

Jangan hanya memasang tool monitoring. Pastikan ada orang yang tahu apa arti alert dan tindakan berikutnya.

Jangan hanya membuat SOP. Latih SOP itu dalam skenario yang realistis.

Karena dalam insiden cyber, yang diuji bukan hanya teknologi. Yang diuji adalah koordinasi, prioritas, dan kemampuan bisnis tetap berpikir jernih saat sistem digital tidak berjalan normal.

Pada akhirnya, pelajaran terbesar dari kota replika FBI bukan bahwa semua organisasi perlu fasilitas latihan besar. Pelajarannya adalah cybersecurity perlu keluar dari ruang teori.

Serangan digital terjadi di dunia kerja yang nyata: di rumah sakit, toko, kantor, gudang, website, inbox, dashboard, dan chat pelanggan.

Maka kesiapan juga harus dilatih di sana.

Dapatkan Audit Teknis Gratis untuk meninjau risiko website, akses digital, backup, dan alur respons insiden sebelum masalah kecil berubah menjadi gangguan besar bagi operasional bisnis Anda.

---

Sumber referensi berita: TechCrunch