Keamanan Siber BUMN dan Infrastruktur Kritis di Era Serba Terhubung

Badan Usaha Milik Negara (BUMN) dan operator infrastruktur kritis Indonesia menopang ekonomi nasional, sementara attack surface digitalnya terus meluas. Mereka menjalankan jaringan listrik, pasokan BBM, tulang punggung telekomunikasi, dan rantai logistik nasional. Karena mereka sering menjadi sasaran serangan, membangun ketahanan siber BUMN kini menyangkut kepentingan nasional.

Dalam Digital Resilience Summit 2025, Wakil Menteri BUMN Kartika Wirjoatmodjo mengingatkan bahwa pesatnya pertumbuhan digital Indonesia dibarengi risiko yang makin besar. Risiko itu terutama berupa serangan siber terhadap sektor strategis.

Pesan itu mencerminkan kenyataan struktural: konektivitas tinggi yang membuat operasional BUMN makin efisien sekaligus membuatnya makin rentan.

Mengapa BUMN dan infrastruktur kritis jadi sasaran bernilai tinggi

Logika di balik serangan terhadap infrastruktur kritis nasional (CNI) sebenarnya sederhana. Mengganggu perusahaan energi nasional, bank milik negara, atau penyedia telekomunikasi menimbulkan kerugian operasional, finansial, dan reputasi dalam skala besar. Serangan seperti itu juga menciptakan tekanan. Penyerang paham bahwa organisasi penyedia layanan esensial menghadapi tekanan besar untuk segera memulihkan operasional, sehingga peluang tuntutan tebusan dituruti makin besar.

Menurut Eurasia Review, pembobolan besar menimpa Pusat Data Nasional pada Juni 2024 dan mengganggu sistem imigrasi serta layanan pemerintah di lebih dari 200 instansi. Penyerang yang memakai ransomware LockBit 3.0 meminta tebusan USD 8 juta. Insiden itu menyingkap kelemahan serius dalam kesiapan keamanan siber nasional. PLN, BUMN kelistrikan, juga dilaporkan mengalami kebocoran data yang berdampak pada lebih dari 17 juta warga. Semua ini menunjukkan betapa mendesaknya memperkuat ketahanan BUMN terhadap serangan siber.

Pembobolan itu tidak menyasar perusahaan swasta. Yang disasar adalah aset publik milik negara. Dampak lanjutannya: proses imigrasi terganggu dan layanan pemerintah di lebih dari 200 instansi terhenti. Contoh ini memperlihatkan dengan jelas mengapa profil risiko infrastruktur kritis berbeda dari perusahaan komersial.

Entitas BUMN sudah pernah dibobol. PLN, BUMN kelistrikan, dilaporkan mengalami kebocoran data yang berdampak pada lebih dari 17 juta warga. Data yang bocor, mulai dari nama, nomor identitas, alamat, hingga catatan pemakaian listrik, dilaporkan dijual di forum gelap.

Lanskap ancaman sudah berubah

Jumlah dan kecanggihan serangan yang menyasar Indonesia terus meningkat. Pada 2023, dilaporkan ada hampir 2,200 serangan siber anomali per menit. Ketahanan siber BUMN menuntut pertahanan terhadap tiga vektor serangan utama:

1. Ransomware

CYFIRMA melalui asesmen lanskap ancamannya menyebut LockBit3, Alphv, dan RansomHub sebagai operator ransomware paling aktif yang menyasar Indonesia. Sasaran utamanya adalah sektor keuangan, manufaktur, dan pemerintahan. Maraknya Ransomware-as-a-Service memperluas ragam penyerang, sehingga pertahanan pun makin rumit.

2. APT yang didukung negara

Kelompok yang didukung negara dan advanced persistent threat (APT) mengeksploitasi kerentanan di infrastruktur kritis dengan memakai kecerdasan buatan, machine learning, dan tool canggih lainnya. Bagi entitas BUMN di sektor energi, pertahanan, dan telekomunikasi, ini bukan risiko teoretis. Ancaman ini nyata dan sedang terjadi.

3. Risiko rantai pasok dan pihak ketiga

Menurut Business-Indonesia, Global Cybersecurity Outlook 2025 dari World Economic Forum menyoroti kompleksitas yang terus bertambah akibat rantai pasok yang makin saling terhubung. Sebanyak 54% organisasi besar menyebut tantangan rantai pasok sebagai hambatan terbesar untuk mencapai ketahanan siber. Entitas BUMN yang terhubung dengan ratusan kontraktor, vendor, dan system integrator ikut mewarisi postur keamanan setiap pihak dalam rantai itu.

Apa yang berubah di era serba terhubung

Dulu infrastruktur kritis berjalan di jaringan yang terisolasi, tapi batas itu kini nyaris hilang. Transformasi digital memunculkan risiko besar dari konvergensi IT-OT: pembobolan di jaringan IT korporat bisa menjalar langsung ke sistem operasional. Seiring meluasnya IoT dan konektivitas, attack surface ikut membesar. Kini satu kredensial yang jatuh ke tangan penyerang bisa mengganggu distribusi listrik atau jaringan penyelesaian transaksi keuangan.

Letak celah keamanannya

Hasil survei 2024 menunjukkan hanya 12% organisasi di Indonesia yang kesiapan keamanan sibernya sudah matang. Bagi BUMN, kesenjangan ini adalah titik rawan keamanan nasional. Celah struktural yang umum ditemukan antara lain:

1. OT dan ICS yang tidak dipantau: perlindungan sistem siber-fisik sering terabaikan. Sistem industri lawas dibiarkan tanpa patch dan tanpa pemantauan.
2. Penanganan insiden (IR) yang belum memadai: banyak organisasi punya dokumen prosedur, tetapi belum pernah mengujinya dalam kondisi yang realistis.
3. Bergantung pada perimeter: mengandalkan firewall tanpa segmentasi internal atau kontrol identitas membuat penyerang leluasa bergerak lateral setelah berhasil masuk.
4. Karyawan kurang terlatih: dengan lebih dari 315,000 akun Indonesia yang kredensialnya bocor pada awal 2024, karyawan tetap menjadi pintu masuk utama bagi social engineering.

Ciri program keamanan siber BUMN yang matang

Bagi BUMN dan operator infrastruktur kritis, kematangan keamanan tidak diukur dari jumlah tool. Ukurannya adalah kemampuan organisasi mendeteksi ancaman sejak dini, mengisolasinya sebelum mencapai sistem operasional, dan pulih tanpa gangguan berkepanjangan.

1. Pemantauan berkelanjutan di IT dan OT: visibilitas terpadu atas IT dan OT kini menjadi kebutuhan dasar. Event keamanan OT harus sampai ke analis yang juga memantau alert IT, beserta konteks tentang apa saja yang dikendalikan sistem itu.
2. Vulnerability management yang terstruktur: infrastruktur kritis tidak bisa menanggung risiko patching yang tidak terkoordinasi. Standar praktisnya adalah pendekatan berbasis risiko: kerentanan yang bisa dieksploitasi diprioritaskan menurut dampaknya pada operasional.
3. Penanganan insiden yang teruji: tabletop exercise dan simulasi pembobolan realistis mengungkap celah yang tidak terlihat dari dokumen. Regulator, termasuk Badan Siber dan Sandi Negara (BSSN) di bidang manajemen krisis siber, ingin melihat bukti kesiapan seperti ini.
4. Identitas dan kontrol akses: hak akses minimum (least privilege) dan multi-factor authentication memperkecil dampak dari satu kredensial yang jatuh ke tangan penyerang. Begitu juga pengelolaan privileged access (PAM) untuk sistem OT.
5. Tata kelola risiko pihak ketiga: setiap vendor yang punya akses ke jaringan atau sistem BUMN berpotensi menjadi pintu masuk serangan. Kontrak dan asesmen keamanan berkala adalah kebutuhan operasional, bukan formalitas pengadaan.

Membangun ketahanan siber sebelum insiden berikutnya

Digitalisasi Indonesia yang pesat memperbesar paparan terhadap kebocoran data yang berpotensi berdampak pada jutaan warga. Organisasi yang tetap beroperasi adalah mereka yang mengelola paparan itu sebagai variabel operasional, bukan risiko untuk ditunda. Pada akhirnya, masa depan digital Indonesia harus dibangun di atas keamanan siber BUMN yang tangguh.

Zentara bekerja bersama operator infrastruktur kritis di Indonesia untuk membangun dan memvalidasi program keamanan di tengah tuntutan operasional.

Hubungi pakar keamanan siber kami untuk menilai postur keamanan Anda terhadap ancaman yang kini dihadapi BUMN dan operator infrastruktur kritis.