Koordinasi dan Komunikasi

Insiden siber di utilitas air tidak pernah hanya urusan TI. Di dalam organisasi, ia melibatkan operasi instalasi, TI, pimpinan, humas, hukum, dan keuangan. Di luar, daftarnya lebih panjang. Tabel 6.4 menyusun pihak luar yang perlu ada di daftar kontak darurat, dengan alasan dan waktunya.

Tabel 6.4 Pihak luar dalam daftar kontak darurat, alasan tiap pihak dihubungi, dan kapan; aparat dihubungi pada kesempatan pertama sesudah insiden dipastikan, dan pemilik utilitas pada hari yang sama.

Pihak Mengapa dihubungi Kapan
Aparat penegak hukum dan kementerian atau lembaga terkait (pengawas PSE: Kementerian Komunikasi dan Digital; koordinasi insiden: BSSN; penetapan akhirnya oleh penasihat hukum) Kewajiban melapor menurut PP 71/2019 Pasal 24 ayat (3) bila gangguan berdampak serius akibat perbuatan pihak lain (penerapannya pada sistem kendali masih terbuka, lihat Bab 5); penyelidikan Pada kesempatan pertama sesudah insiden dipastikan
BSSN Bantuan penanganan dan koordinasi insiden siber nasional. Bila sistem utilitas teridentifikasi sebagai Infrastruktur Informasi Vital (Bab 5), Perpres 82/2022 Pasal 13 mewajibkan laporan paling lambat 1x24 jam kepada tim tanggap insiden siber sektoral dengan tembusan ke tim nasional yang dibentuk BSSN, atau kepada kementerian atau lembaga sektornya bila tim sektoral belum dibentuk Pada kesempatan pertama; bagi penyelenggara IIV, paling lambat 1x24 jam
Pemerintah daerah pemilik utilitas Pemilik perlu mendapat kabar dari utilitas lebih dulu, sebelum kabar itu sampai lewat media Hari yang sama
Vendor sistem kendali dan TI Bantuan teknis; vendor bisa juga menjadi jalan masuk Segera, lewat jalur yang disepakati di kontrak
Penanggung asuransi Polis dapat mensyaratkan pemberitahuan cepat dan penyedia jasa tertentu Segera, sebelum memilih penyedia jasa forensik
Instansi kesehatan yang mengawasi kualitas air Mode manual mengubah cara kualitas air dipantau Bila mode manual berlangsung lama atau hasil uji lapangan menyimpang
Pelanggan dan masyarakat Kepercayaan; kewajiban pemberitahuan menurut Bab 5 bila data bocor atau layanan terganggu Segera setelah ada informasi yang bisa dipertanggungjawabkan

Daftar itu harus bisa dibuka tanpa jaringan yang sedang diserang: dicetak, disimpan di ruang kontrol dan di rumah pemimpin tim, dan diperiksa ulang setiap kali prosedur ditinjau. Dasar kewajiban melapor kepada instansi kesehatan bila mutu air menyimpang tidak ditelusuri buku ini dan perlu diperiksa penasihat hukum (Bab 5). Buku ini sengaja tidak mencetak nomor telepon atau alamat surel pelaporan BSSN. Kanal semacam itu bisa berubah, dan yang berlaku diumumkan di situs resmi BSSN (bssn.go.id). Salin kanal yang berlaku ke daftar kontak Anda, dan periksa ulang secara berkala. Untuk aparat penegak hukum, unit nasional yang menangani kejahatan siber adalah Direktorat Tindak Pidana Siber Bareskrim Polri, yang menerima laporan lewat patrolisiber.id; tanyakan juga kepolisian daerah setempat dan catat kanalnya dengan cara yang sama. Bila pemerintah daerah pemilik utilitas Anda sudah memiliki tim tanggap insiden siber sendiri, masukkan juga ke daftar itu.

Komunikasi kepada publik layak dipelajari dari Arkansas City. Pesan pertamanya pendek dan memuat tiga hal: apa yang terjadi, apa yang sedang dilakukan, dan apakah air aman. Ia tidak menyebut pelaku yang belum diketahui, tidak menjanjikan waktu pemulihan, dan tidak menunggu investigasi selesai. Pesan semacam itu bisa disiapkan dalam bentuk templat sejak sekarang, bersama templat surat pemberitahuan kebocoran data dari Bab 5, sehingga pada hari kejadian yang perlu diisi hanya rinciannya.

Prosedur Minimal dan Latihan Meja

Prosedur tanggap insiden tidak perlu panjang agar berguna. Prosedur yang baik untuk utilitas kecil bisa muat di beberapa halaman, asal menjawab tujuh hal: kejadian apa yang memicu prosedur ini; siapa dihubungi pertama, kedua, dan ketiga, lengkap dengan nomor telepon; siapa berwenang memutus jaringan dan menghentikan sistem, seperti di Tabel 6.1; kapan instalasi beralih ke operasi manual dan prosedur mana yang dipakai; siapa pihak luar yang dihubungi, seperti di Tabel 6.4; bagaimana kronologi dicatat selama insiden; dan kapan prosedur itu sendiri ditinjau ulang, idealnya setiap kali dipakai, baik dalam latihan maupun kejadian nyata.

Prosedur yang belum pernah dilatih menyimpan kelemahan yang baru terlihat ketika dipakai. Latihan meja (tabletop) adalah cara murah untuk menemukannya. Tim berkumpul di satu ruangan, seorang fasilitator membacakan perkembangan situasi, dan tim menjawab apa yang akan dilakukan tanpa menyentuh sistem produksi. Skenarionya sebaiknya realistis dan dekat dengan keadaan utilitas sendiri. Kasus di awal bab ini bisa langsung dipakai: Minggu pukul 05.30, operator jaga menelepon karena layar komputer di ruang kontrol menampilkan pesan yang meminta dikirimi surel. Apa yang dilakukan operator dalam lima menit pertama? Siapa yang ia telepon, dan bagaimana bila orang itu tidak menjawab? Siapa memutuskan mematikan SCADA? Kapan pemerintah daerah diberi tahu? Siapa yang menulis pengumuman kepada pelanggan, dan apa isinya? Tiga jam kemudian, fasilitator menambahkan kabar bahwa pelaku mengaku sudah mengambil data pelanggan. Apa yang berubah?

Yang dicari dari latihan ini adalah titik macet, misalnya saat tim bingung siapa yang memutuskan, nomor telepon yang ternyata sudah tidak aktif, atau prosedur yang ternyata belum ada. Setiap titik macet dicatat dan menjadi perbaikan prosedur. Latihan 60-90 menit sudah cukup untuk memulai. Di peta jalan Bab 8, latihan meja pertama dijadwalkan di Bulan 6-12, sesudah Tim Tanggap Insiden terbentuk, lalu diulang sekali setahun di Tahun 2 dan dua kali setahun di Tahun 3. Pimpinan sebaiknya ikut serta, karena banyak keputusan di Tabel 6.1 dan seluruh pertanyaan di Tabel 6.3 adalah wewenangnya.

Roda katup tangan berjari-jari di atas pipa air mendatar berflensa. Selotip di pipa bertulisan spidol merah: hari yang sama. Di kaki gambar tertulis bahwa hasil sebuah insiden siber ditentukan oleh keputusan yang diambil sebelum insiden.

Ilustrasi 6.2 Keputusan penting diambil sebelum insiden. Roda katup tangan mewakili operasi manual.

Ringkasan Bab

Hasil sebuah insiden siber ditentukan oleh keputusan yang diambil sebelum insiden (Ilustrasi 6.2). Arkansas City beralih ke operasi manual sebagai langkah hati-hati, melibatkan penyelidik sejak hari Minggu itu, dan berbicara kepada warga dengan jelas. Sumber yang dikutip hanya memastikan satu persiapan yang sudah ada sebelum kejadian, yaitu asuransi siber; menurut simpulan penulis, kemampuan lainnya juga harus sudah ada agar keputusan pada hari itu bisa diambil. Empat fase penanggulangan insiden membentuk siklus, dan fase persiapan adalah yang paling menentukan. Kewenangan untuk memutus jaringan, beralih ke operasi manual, dan kembali ke operasi otomatis perlu ditetapkan pemiliknya lebih dulu, lengkap dengan penggantinya. Bukti diamankan sebelum sistem dibersihkan, tanpa mengorbankan keselamatan proses. Operasi manual adalah bagian dari rencana dan bisa berlangsung jauh lebih lama dari satu shift. FBI dan CISA tidak menganjurkan pembayaran tebusan, membayar tidak menarik kembali data yang sudah dicuri, dan sikap organisasi terhadap tebusan sebaiknya diputuskan di masa tenang. Menurut penulis, cadangan yang terpisah dan pernah diuji pulih adalah persiapan paling berguna untuk pertanyaan itu, meskipun tidak menjawab ancaman penyebaran data yang sudah dicuri.

Langkah Pertama Minggu Ini

Untuk Pengambil Keputusan

  1. Tetapkan pemilik setiap keputusan di Tabel 6.1, lengkap dengan penggantinya, dan umumkan kepada semua yang bertugas malam dan akhir pekan.
  2. Jadwalkan satu rapat untuk menjawab Tabel 6.3, bersama penasihat hukum dan fungsi keuangan, sebelum ada pesan tebusan.

Untuk Manajer TI

  1. Cetak daftar kontak darurat berisi pihak-pihak di Tabel 6.4 dan simpan di ruang kontrol serta di luar kantor.
  2. Tuliskan aturan satu kalimat untuk teknisi. Komputer yang terinfeksi dicabut dari jaringan, diberi label, dan tidak diformat ulang sampai ada izin.
  3. Periksa apakah log firewall dan akses jarak jauh tersimpan di tempat yang tidak ikut terenkripsi bila server utama diserang.

Untuk Teknisi dan Operator

  1. Pastikan Anda tahu siapa yang harus ditelepon bila layar menampilkan pesan aneh pada Minggu subuh, dan siapa penggantinya.
  2. Periksa alat uji lapangan untuk kekeruhan, pH, dan sisa klor: ada, berfungsi, dan terkalibrasi.
  3. Catat unit mana yang belum pernah Anda jalankan secara manual, dan sampaikan kepada kepala instalasi.

Pertanyaan untuk Direnungkan

  1. Bila pesan tebusan muncul di layar ruang kontrol pada Minggu pukul 05.30, siapa yang pertama kali ditelepon operator jaga, dan apa yang terjadi bila orang itu tidak menjawab?
  2. Berapa hari instalasi Anda sanggup berjalan manual dengan tenaga dan stok bahan kimia yang ada sekarang?
  3. Kapan terakhir kali utilitas Anda benar-benar memulihkan sebuah sistem dari cadangan, dan berapa lama waktu yang dibutuhkan?
  4. Bila besok ada pesan tebusan, apakah sikap organisasi Anda sudah diputuskan, atau baru akan dirumuskan saat itu?

Jembatan ke Tetralogi Ketahanan Air

Tabel keputusan jam pertama di bab ini hanya bekerja bila pembagian wewenangnya sudah disepakati jauh sebelum insiden. Menjinakkan Kotak Hitam, Bab 6 "Orkestrasi Peran: Mengakhiri Tradisi Lempar Tanggung Jawab", subbab 6.4 "Matriks RACI: Menetapkan Tanggung Jawab" memberi alat untuk menyepakatinya. Matriks RACI memisahkan siapa yang mengerjakan, siapa yang bertanggung jawab akhir, siapa yang wajib diajak bicara, dan siapa yang cukup diberi informasi. Keputusan memutus server billing atau mematikan SCADA dapat dipetakan dengan cara yang sama, sehingga staf TI dan operator tidak perlu menunggu pimpinan yang sedang tidak bisa dihubungi.

Kesiapan menjalankan instalasi secara manual dibahas Amanah yang Bocor, Bab 12 "Sistem Kendali Digital dan SCADA", subbab 12.1 "Digital sebagai Alat Bantu, Bukan Pengganti Dasar Operasi" dari arah lain. Subbab itu memperingatkan agar sistem digital tidak dipasang sebagai pengganti dasar operasi yang belum beres. Utilitas yang dasar operasinya kuat masih punya operator yang tahu cara menjalankan instalasi tanpa layar, dan kemampuan itu membuat sistem kendali aman diputus saat insiden.

Bab ini membahas apa yang dilakukan ketika insiden terjadi. Bab 7 membahas alat-alat yang membuat pekerjaan itu bisa dijalankan, karena tiga alasan.

Pertama, beberapa langkah di bab ini bergantung pada teknologi yang harus dipasang lebih dulu: cadangan yang terpisah dari jaringan, log yang tersimpan di luar server yang diserang, dan akses jarak jauh yang bisa dimatikan dengan satu keputusan. Kedua, deteksi di utilitas kecil hari ini masih bergantung pada kejelian pegawai, dan Bab 7 membahas alat yang bisa membantu mereka tanpa anggaran besar. Ketiga, tidak semua alat sama pentingnya, dan urutan membelinya menentukan apakah anggaran yang terbatas benar-benar mengurangi risiko.

Lanjutkan ke Bab 7: Teknologi Konkret - 10 Teknologi Kritis.

Rujukan Bab

Disclaimer: Tulisan ini adalah pandangan pribadi penulis dan tidak mewakili pandangan organisasi mana pun. Isi bab ini disajikan untuk tujuan edukasi, bukan nasihat keamanan siber, hukum, atau teknis resmi. Penerapan pada sistem yang sedang beroperasi tetap memerlukan verifikasi dan penyesuaian oleh pihak yang berwenang di organisasi masing-masing.