Kesadaran terhadap cyber security (keamanan siber) sudah menjadi keharusan di era modern sekarang ini. Berbagai fitur mutakhir dikembangkan supaya setiap orang dapat terhubung satu sama lain menggunakan jaringan komputer terbesar di dunia, Internet. Berbagai aktivitas yang dahulu dikerjakan secara manual yang membutuhkan aktivitas fisik, kini dapat dengan mudah dilakukan, seperti transaksi perbankan serta berbagai keperluan terkait pengiriman data dan informasi.
Fasilitas modern ini tidak hanya membawa kebaikan bagi umat manusia, tetapi juga ancaman. Protokol Internet sedari awal tidak didesain untuk digunakan dalam skala sebesar sekarang ini, dengan demikian fitur keamanan tidak pernah tersemat dengan baik. Metode-metode keamanan yang sekarang merupakan add-on ke dalam protokol komunikasi existing yang tidak aman.
Prinsip-prinsip keamanan siber telah dikembangkan, misalnya dalam bidang software security, Microsoft membuat panduan Security Development Lifecycle (SDL) yang memasukkan unsur-unsur keamanan siber dalam pengembangan perangkat lunak. Dalam SDL milik Microsoft ini, proses audit keamanan siber terintegrasi sepanjang proses pengembangan aplikasi mulai dari titik awal hingga ke titik akhir proses. Untuk keperluan pemodelan ancaman (threat), Microsoft mengembangkan model STRIDE, yakni pengelompokan ancaman menjadi 6 bagian:
– Spoofing identity (pencurian identitas)
– Tampering with data (pengubahan data secara tidak sah)
– Repudiation (transaksi yang tidak disetujui oleh pihak asal)
– Information disclosure (pembocoran informasi)
– Denial of service (penghentian layanan)
– Elevation of privilage (peningkatan hak akses secara tidak sah)
Namun demikian, isu keamanan siber seolah tak pernah berakhir. Bahkan secara konsep, ancaman keamanan siber tidak akan pernah berakhir. Hal ini disebabkan karena ruang lingkup pertahanan keamanan yang seolah tanpa batas. Dalam audit keamanan siber, perlu dipastikan bahwa seluruh aplikasi TIDAK melakukan apa yang BUKAN menjadi tujuannya. Berbeda halnya dengan audit prosedural yang dikerjakan untuk memastikan bahwa aplikasi MELAKUKAN apa yang MENJADI tujuan dan fungsinya. Ruang lingkup keamanan siber dapat terlihat dalam gambar berikut.
Dalam dunia keamanan siber, dikenal istilah Zero Day Exploit. Istilah ini merujuk pada teknik-teknik eksploitasi celah keamanan yang sama sekali baru dan belum ada penangkalnya. Zero Day Exploit ini adalah salah satu bukti “the unknown unknown” (ketidaktahuan atas hal-hal yang tidak diketahui). Akan selalu ada jaminan bahwa kita terlambat mengetahui celah keamanan dalam sistem kita, karena kita tidak tahu apa yang kita tidak tahu. Semua hal yang ada di luar jangkauan pengetahuan kita, sayangnya, menjadi ancaman. Pihak-pihak tertentu yang termotivasi untuk mengeksploitasi ruangan seluas angkasa di luar jangkauan kita seolah-olah menjadi jaminan bahwa insiden keamanan hanya menunggu waktu untuk terjadi, dan pasti akan terjadi.
Ransomware WannaCrypt tidak akan menjadi puncak serangan siber dunia. Ini baru permulaan atas era Internet yang semakin kejam. Sayangnya seberapapun kesiapan kita menghadapi tantangan ini di masa depan, kita tidak akan pernah siap menghadapi gelombang serangan baru keamanan siber, dan harus pontang-panting menambal celah yang dimanfaatkan oleh serangan tersebut. Ini adalah potensi sekaligus kutukan bagi mereka yang berkecimpung dalam dunia cyber security. Bagi para pengguna teknologi, security awareness adalah hal mutlak yang harus dimiliki, sebagaimana yang telah saya singgung pada bagian pertama tulisan ini. Bagi pemerintah, peran koordinasi harus diambil untuk mempertahankan dan menyelamatkan ekonomi berbasis digital dari hantaman serangan siber. Bersama-sama semua pihak, maka meskipun serangan terus berdatangan, dampak dan kerugian atas serangan siber harus bisa ditekan serendah mungkin.