Pelajaran dari Ransomware PDNS untuk Keamanan Data Pemerintah Menurut Praktisi

Siapa yang berbicara dan apa yang dikatakan

Menurut Bisnis.com pada 6 Oktober 2026, Ardi Sutedja dari ICSF menyampaikan kritik terhadap RUU Satu Data. Ia menilai ancaman pidana 15 tahun bukan pertahanan siber utama, dan mengingatkan pada ransomware PDNS di Surabaya.

Ini adalah pendapat praktisi, bukan rumusan pasal dan bukan putusan lembaga. Kami memakainya sebagai sudut pandang yang layak dipertimbangkan, bukan sebagai kebenaran hukum.

Kutipan seperti ini berguna karena mengingatkan pembuat kebijakan agar tidak hanya berfokus pada hukuman. Namun pendapat lain tentu ada. Sebagian ahli hukum menilai ancaman pidana tetap penting untuk memberi kepastian. Kedua pandangan tidak harus saling meniadakan.

Apa itu ransomware

Ransomware adalah perangkat lunak jahat yang mengunci atau mengenkripsi data sehingga pemilik tidak bisa memakainya. Pelaku lalu meminta tebusan untuk membuka kembali. Dampaknya bisa melumpuhkan layanan karena data dan aplikasi tidak dapat diakses.

Serangan seperti ini sering masuk lewat celah sederhana, seperti surel palsu, akun yang bocor, atau perangkat lunak yang belum diperbarui. Karena itu, pertahanan yang baik bertumpu pada banyak lapis, bukan satu tindakan.

Secara umum, serangan ransomware biasanya melewati tahap pengintaian, masuk ke jaringan, bergerak ke sistem lain, lalu mengunci data. Pada tahap bergerak itulah segregasi jaringan dan pemantauan dapat menghentikan penyebaran sebelum semuanya terkunci.

Mengapa pidana saja tidak cukup

Menurut praktisi tadi, ancaman penjara bagi penyerang bukan pertahanan siber utama. Alasannya masuk akal secara umum: penyerang sering berada di luar jangkauan penegak hukum, dan hukuman baru datang setelah kerugian terjadi.

Sanksi pidana tetap punya fungsi sebagai pencegah dan penegakan. Namun pertahanan harus dibangun sebelum serangan. Pidana adalah lapisan terakhir, bukan pengganti sistem yang kuat.

Pidana juga punya keterbatasan praktis. Pelaku dapat memakai identitas samar dan berada lintas negara. Karena itu, kerja sama internasional dan kemampuan forensik digital diperlukan, bukan hanya pasal. Hal itu tidak disebut sumber kami dan merupakan penjelasan umum.

Tiga fokus yang disarankan

Menurut Bisnis.com, praktisi menyarankan perhatian pada deteksi anomali, incident response atau respons insiden, dan audit arsitektur. Uraian berikut menjelaskan arti umum masing-masing.

Deteksi anomali bekerja dengan mengetahui apa yang normal. Bila pegawai biasanya mengakses sepuluh berkas sehari lalu tiba-tiba seribu berkas pada tengah malam, sistem memberi peringatan. Tanpa pencatatan yang baik, peringatan seperti ini tidak mungkin dibuat.

• Deteksi anomali: mengenali perilaku tidak wajar, misalnya akses di jam ganjil atau perpindahan data besar.
• Respons insiden: rencana dan tim yang siap menahan serangan, memulihkan, dan melapor.
• Audit arsitektur: memeriksa rancangan sistem agar tidak ada titik tunggal yang melumpuhkan semuanya.

Saran tambahan praktisi

Praktisi tersebut juga mengusulkan prinsip zero trust, segregasi jaringan, dan enkripsi. Segregasi berarti memisahkan bagian jaringan supaya serangan di satu bagian tidak langsung menjalar ke bagian lain.

Usulan lain adalah dana kompensasi atau penjamin risiko siber bagi korban kebocoran data. Ini juga pendapat praktisi, bukan isi UU SDI. Pembahasan lebih rinci ada pada artikel lain di klaster ini.

Dana kompensasi yang diusulkan praktisi dimaksudkan membantu korban kebocoran. Bagaimana pendanaan dan pengelolaannya tidak dijelaskan sumber, sehingga ini masih gagasan. Jangan menganggapnya sudah menjadi hak korban menurut UU SDI.

Apa yang tidak kami ketahui

Kami tidak menemukan dalam sumber kronologi, penyebab teknis, atau dampak rinci insiden PDNS. Maka artikel ini tidak menilai siapa yang salah dan tidak membuat kesimpulan tentang kejadian tersebut.

Pembaca yang ingin mengetahui rincian sebaiknya merujuk laporan resmi pemerintah atau media tepercaya. Kehati-hatian ini penting agar informasi tidak bercampur dengan dugaan.

Bila Anda ingin mengikuti perkembangan, baca laporan resmi pemerintah dan lembaga berwenang tentang insiden itu. Cocokkan dengan kutipan praktisi agar mampu membedakan fakta kejadian dan opini tentang kebijakan.

Pelajaran untuk instansi dan usaha

Apa pun detail insidennya, pelajaran umumnya jelas. Siapkan cadangan yang terpisah dan teruji, batasi akses, pantau aktivitas aneh, dan latih tim menangani serangan. Layanan publik yang bergantung pada satu pusat data perlu rencana cadangan.

Bagi pembaca awam, pesan terpentingnya adalah bahwa keamanan data adalah proses berkelanjutan. Aturan hukum membantu, tetapi kesiapan teknis dan manusia yang menentukan seberapa cepat layanan pulih.

Pada akhirnya, pelajaran terbaik dari insiden besar adalah memperbaiki kebiasaan sehari-hari: pembaruan perangkat lunak, kata sandi kuat, verifikasi dua langkah, dan cadangan yang rutin diuji.

Ingat pula bahwa kutipan di atas hanya sebagian dari pembahasan panjang di DPR dan media.

Contoh kasus

Contoh: Sebuah dinas daerah menyimpan seluruh data layanan di satu pusat data tanpa cadangan terpisah. Setelah membaca kritik praktisi, dinas itu memisahkan jaringan layanan penting, menambah pemantauan akses, menyiapkan cadangan di lokasi lain, dan melatih petugas menjalankan rencana pemulihan sehingga satu serangan tidak lagi melumpuhkan semua layanan sekaligus.

Hal yang sering keliru

• Mengira sanksi pidana yang berat otomatis mencegah serangan.
• Mengira kritik praktisi sama dengan isi UU SDI.
• Mengira kronologi dan penyebab insiden PDNS sudah dijelaskan dalam artikel ini.

Dasar hukum

• Undang-Undang Satu Data Indonesia (disahkan DPR 6 Oktober 2026; nomor menyusul)
• Undang-Undang tentang Informasi dan Transaksi Elektronik (untuk tindak pidana siber secara umum)

Dalam kategori yang sama

• Pelatihan Karyawan tentang Pelindungan Data Pribadi: Materi, Jadwal, dan Bukti Pelaksanaan
• Pemasaran Langsung: WhatsApp Blast, SMS Promosi, dan Persetujuan Penerima menurut Prinsip UU PDP
• Pemberatan Pidana bagi Pejabat dalam UU Satu Data: Apa Isi Pasal 134?

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.