Serangan Siber ke Utilitas Air Mengingatkan Satu Hal: Sistem Kritis Butuh Visibilitas, Bukan Hanya Firewall

Serangan siber terhadap beberapa utilitas air di Amerika Serikat membuat banyak orang kembali membicarakan keamanan infrastruktur kritis. Wajar. Air bukan layanan digital biasa. Ketika sistem air terganggu, dampaknya bisa menyentuh kebutuhan paling dasar masyarakat.

Menurut laporan terbaru, serangan ini mengenai utilitas air di sejumlah negara bagian. Minnesota melaporkan lebih dari 30 komunitas terdampak. FBI kemudian menyebut insiden terjadi di setidaknya tujuh negara bagian, dengan beberapa kasus mengganggu operasi air. Ada laporan tentang penurunan tekanan, potensi risiko kontaminasi, banjir, plant yang sempat offline, sampai imbauan konservasi dan rebus air.

Dugaan utama mengarah ke aktor yang terkait Iran, meskipun atribusi resmi masih belum sepenuhnya diumumkan. CISA sebelumnya sudah memperingatkan bahwa peretas Iran menargetkan perangkat yang terhubung ke internet di sektor air dan energi. WaterISAC juga menyebut pola serangan ini selaras dengan kampanye yang sudah diperingatkan sebelumnya.

Tetapi pelajaran penting dari kasus ini bukan hanya soal siapa pelakunya.

Pelajaran yang lebih dekat dengan banyak organisasi adalah ini: sistem yang terlihat kecil, lokal, dan terpisah tetap bisa menjadi risiko besar jika asetnya terekspos, aksesnya lemah, dan status operasionalnya tidak terbaca dengan cepat.

The Core Update

Amerika Serikat memiliki lebih dari 150.000 sistem air publik. Banyak di antaranya dikelola oleh perusahaan atau otoritas lokal. Di satu sisi, struktur yang tersebar seperti ini membuat target terlihat tidak terpusat. Di sisi lain, banyak operator kecil tidak selalu punya tim keamanan siber, anggaran, atau proses monitoring yang memadai.

Di sinilah masalahnya mulai terlihat.

Forescout melaporkan ada lebih dari 2.800 controller di sistem air Amerika yang terekspos online. Perangkat yang terekspos internet tidak otomatis berarti bisa langsung diambil alih. Tetapi dalam lingkungan operasional seperti air, listrik, pabrik, atau fasilitas publik, celah kecil bisa punya efek yang lebih besar dibanding aplikasi bisnis biasa.

Kalau dashboard internal error, tim mungkin masih bisa menunggu. Kalau sistem tekanan air terganggu, risikonya masuk ke dunia fisik.

Serangan seperti ini juga tidak selalu mengejar kerusakan maksimal. Kadang tujuannya cukup membuat operator panik, warga khawatir, dan pemerintah terlihat tidak siap. Dampak psikologis bisa menjadi bagian dari serangan.

Karena itu, insiden ini perlu dibaca sebagai sinyal. Infrastruktur kritis tidak hanya perlu teknologi keamanan yang lebih kuat. Ia perlu kemampuan menjawab pertanyaan dasar dengan cepat:

• perangkat apa saja yang terhubung ke internet?
• siapa yang punya akses ke sistem itu?
• akses mana yang masih memakai password lemah atau default?
• perubahan apa yang terjadi sebelum gangguan muncul?
• status operasional mana yang normal, mana yang aneh, dan mana yang berisiko?
• siapa yang harus mengambil keputusan saat sistem mulai terganggu?

Tanpa jawaban ini, organisasi tidak sedang mengelola sistem. Organisasi sedang berharap sistem tetap aman.

The Reality Check

Banyak pembahasan keamanan siber langsung melompat ke solusi besar: platform baru, SOC, threat intelligence, zero trust, AI monitoring, atau perangkat keamanan tambahan.

Semua itu bisa penting.

Tetapi untuk banyak organisasi, masalah awal sering lebih sederhana: mereka belum punya daftar aset yang rapi, belum tahu perangkat mana yang terbuka ke internet, belum punya aturan akses yang disiplin, dan belum punya status insiden yang bisa dipahami lintas tim.

Ini bukan masalah yang hanya terjadi di utilitas air.

Banyak bisnis juga punya versi lebih kecil dari masalah yang sama. Server lama masih aktif tetapi tidak ada pemiliknya. Panel admin pernah dibuat untuk kebutuhan cepat lalu dibiarkan online. Akun mantan staf belum dicabut. Integrasi pihak ketiga masih punya akses lebih besar dari yang dibutuhkan. Backup ada, tetapi belum pernah diuji. Alert masuk, tetapi tidak jelas siapa yang harus merespons.

Di permukaan, bisnis merasa sudah punya sistem digital. Website berjalan. CRM berjalan. Dashboard berjalan. Automation berjalan.

Tetapi ketika ada gangguan, pertanyaan dasar tetap muncul lewat chat:

• ini error dari mana?
• siapa yang terakhir ubah setting?
• server mana yang dipakai?
• backup terakhir kapan?
• akses vendor masih aktif atau tidak?
• ini gangguan teknis biasa atau indikasi serangan?

Jika semua pertanyaan ini baru dijawab saat krisis, berarti sistem belum punya visibilitas yang cukup.

Keamanan siber bukan hanya soal menahan serangan. Keamanan siber juga soal membaca kondisi sistem sebelum masalah membesar.

Serangan ke utilitas air menunjukkan risiko dari perangkat operasional yang terekspos. Tetapi pesan yang lebih luas berlaku untuk banyak bisnis: aset yang tidak terlihat cenderung tidak dijaga. Akses yang tidak ditinjau cenderung melebar. Status yang tidak jelas cenderung memperlambat respons.

Dan dalam insiden keamanan, lambat sering berarti mahal.

The Havedev Way

Dari sudut pandang Havedev, respons yang sehat tidak dimulai dari membeli tool keamanan paling lengkap. Respons yang sehat dimulai dari membuat sistem lebih bisa dibaca.

Untuk bisnis, langkah pertama biasanya bukan membangun arsitektur keamanan yang kompleks. Langkah pertama adalah audit sederhana tetapi disiplin.

Mulai dari aset yang paling penting:

• website utama
• form lead dan kontak
• dashboard internal
• CRM atau spreadsheet operasional
• server aplikasi
• database
• akun email bisnis
• integrasi WhatsApp, payment, invoice, atau marketplace
• akses vendor dan freelancer
• backup dan recovery

Lalu tanyakan hal yang praktis:

• sistem ini dipakai untuk apa?
• siapa pemiliknya?
• siapa yang punya akses?
• apakah akses itu masih dibutuhkan?
• apakah sistem ini terbuka ke internet?
• apakah ada MFA?
• apakah password dan secret disimpan dengan benar?
• apakah ada backup?
• apakah backup pernah diuji?
• apa tanda sistem ini sedang bermasalah?
• siapa yang harus dihubungi pertama kali?

Pertanyaan seperti ini terlihat sederhana. Tetapi banyak insiden membesar karena organisasi tidak bisa menjawabnya dengan cepat.

Setelah aset dan akses jelas, barulah automation dan monitoring menjadi lebih berguna. Alert bisa diarahkan ke orang yang tepat. Log bisa dibaca dengan konteks. Dashboard bisa menunjukkan status yang benar. Backup bisa menjadi rencana pemulihan, bukan sekadar file yang disimpan entah di mana.

Prinsipnya sama seperti operasional bisnis lain: jangan otomatisasi kekacauan. Jangan pasang monitoring di atas sistem yang belum dipetakan. Jangan membeli tool baru untuk menutupi status yang belum jelas.

Untuk bisnis yang mengandalkan website, lead, dan sistem internal, keamanan perlu masuk ke proses kerja sehari-hari. Bukan sebagai proyek besar yang hanya muncul setelah ada insiden, tetapi sebagai kebiasaan dasar:

• cek akses secara berkala
• matikan akun yang tidak dipakai
• batasi panel admin dari publik jika tidak perlu
• gunakan MFA untuk akun penting
• simpan secret di tempat yang tepat
• dokumentasikan pemilik sistem
• uji backup sebelum dibutuhkan
• buat alur respons jika terjadi gangguan

Serangan terhadap utilitas air di Amerika memang berada di level infrastruktur kritis. Tetapi pelajarannya relevan untuk organisasi yang jauh lebih kecil.

Semakin digital sebuah bisnis, semakin penting kemampuan melihat sistemnya sendiri.

Bukan semua bisnis perlu tim keamanan besar. Bukan semua bisnis perlu platform mahal. Tetapi setiap bisnis perlu tahu aset digital apa yang dimiliki, siapa yang punya akses, dan apa yang harus dilakukan saat status sistem berubah dari normal menjadi berisiko.

Karena ketika sistem tidak terlihat, risiko tidak hilang. Risiko hanya menunggu waktu untuk muncul sebagai gangguan.

Dapatkan Audit Teknis Gratis untuk meninjau website, akses, integrasi, dan alur digital bisnis sebelum celah kecil berubah menjadi masalah operasional yang mahal.

---

Sumber referensi berita: TechCrunch