Status Keamanan Air 2026: Kesiapan & Tantangan Keamanan Siber Sektor Air Indonesia

Bab 1: Paradigma Baru Keamanan Air Nasional di Era Siber-Fisik

1.1 Pendahuluan: Redefinisi Kedaulatan Air

Memasuki tahun 2026, diskursus “keamanan air” (water security) telah bergeser dari isu hidrologi menuju pertahanan siber-fisik. Transformasi digital agresif yang dilakukan oleh PDAM demi efisiensi dan penurunan NRW telah menciptakan permukaan serangan baru yang luas. Laporan ini menyajikan evaluasi forensik menyeluruh terhadap insiden dan tren keamanan siber 2024-2025, serta memberikan proyeksi strategis untuk tahun 2026, memposisikan PDAM bukan sekadar penyedia layanan, melainkan simpul kritis pertahanan nasional.

1.2 Konteks Strategis: Warisan Krisis 2024-2025

Tahun 2024-2025 tercatat sebagai periode “Keterbukaan Besar” (The Great Exposure). Serangan ransomware terhadap Pusat Data Nasional Sementara (PDNS) pada Juni 2024 menjadi titik balik yang menelanjangi kelemahan tata kelola data negara. Bagi sektor air, insiden ini menegaskan bahwa integrasi data “Smart City” tanpa strategi pencadangan mandiri (offline backup) adalah risiko fatal. Di kancah global, serangan terhadap PLC Unitronics oleh kelompok yang terafiliasi dengan aktor negara menunjukkan bahwa perangkat keras operasional air kini menjadi target spesifik perang hibrida.

Dalam konteks domestik, implementasi penuh UU Perlindungan Data Pribadi (UU PDP) sejak Oktober 2024 menciptakan tekanan hukum baru bagi direksi BUMD. Manajemen kini harus menyeimbangkan anggaran antara perbaikan pipa bocor dan investasi firewall di tengah ancaman sanksi pidana.

1.3 Metodologi Evaluasi

Analisis ini mensintesis penasihat keamanan lembaga pemerintah (CISA dan mitranya), basis data kerentanan publik (CVE dan NVD), laporan intelijen ancaman nasional, serta teks peraturan Indonesia yang berlaku, mencakup tiga dimensi:

1. Dimensi Teknis: Kerentanan lapisan SCADA dan IoT.
2. Dimensi Regulasi: Dampak UU PDP dan standar IEC 62443.
3. Dimensi Ancaman: Profil aktor ancaman dari sindikat kriminal hingga aktor negara.

Bab 2: Evaluasi Forensik Insiden 2024-2025

2.1 Pembelajaran dari Ransomware PDNS (Juni 2024)

Serangan varian LockBit 3.0 (Brain Cipher) terhadap PDNS 2 di Surabaya pada 20 Juni 2024 mengganggu 282 layanan publik, mulai dari keimigrasian dan layanan bandara sampai pendaftaran siswa daring. Pemerintah menolak membayar tebusan 8 juta dolar AS, dan pelaku justru melepas kunci dekripsi cuma-cuma pada 3 Juli 2024. Tiga pelajaran brutal bagi BUMD air minum:

1. Sentralisasi Tanpa Redundansi: Mengandalkan pusat data pemerintah daerah tanpa backup mandiri adalah kesalahan strategis.
2. Keterbatasan Dukungan Pusat: Saat krisis nasional terjadi, utilitas air daerah bukan prioritas utama pemulihan pusat, menuntut kemandirian respons insiden.
3. Ancaman Data Pribadi: Enkripsi data pelanggan (NIK, alamat) di PDAM dapat memicu tuntutan hukum masif di bawah UU PDP.

2.2 Serangan Global Sektor Air: Unitronics & Volt Typhoon

Eksploitasi PLC Unitronics: Kelompok CyberAv3ngers, yang oleh CISA dinilai terafiliasi dengan IRGC Iran, menyerang PLC Unitronics seri Vision antara November 2023 dan Januari 2024. CISA mencatat sedikitnya 75 perangkat dikompromikan, 34 di antaranya di sektor air dan air limbah Amerika Serikat. Vektornya bukan celah canggih: perangkat terhubung langsung ke internet pada porta bawaan TCP 20256, memakai kata sandi bawaan atau tanpa kata sandi sama sekali.

Kata sandi bawaan “1111” pada mode informasi Unitronics baru tercatat resmi sebagai CVE-2024-1480 (penyimpanan kata sandi dalam format yang dapat dipulihkan, temuan tim riset Dragos, terbit April 2024). Ini perlu ditegaskan agar tidak salah kaprah: kampanye November 2023 itu sendiri tidak mengeksploitasi CVE mana pun, melainkan konfigurasi yang lalai. Riset forensik Claroty atas protokol komunikasi PCOM milik Unitronics datang sesudahnya, sebagai upaya memungkinkan penarikan bukti dari PLC yang telanjur diserang.

Relevansinya bagi Indonesia bukan pada merek perangkatnya, melainkan pada polanya: pengendali logika kelas terjangkau, terpapar internet, kata sandi bawaan tidak pernah diganti. Tiga syarat itu tidak mengenal batas negara.

Ancaman Persisten Volt Typhoon: Berbeda dengan serangan destruktif, Volt Typhoon melakukan pre-positioning senyap di jaringan infrastruktur kritis menggunakan taktik Living off the Land, yaitu memakai alat administrasi bawaan sistem sehingga tidak meninggalkan berkas asing yang mudah dikenali. Penasihat gabungan CISA, NSA, dan FBI (Februari 2024) menyebut sektor yang terdampak mencakup komunikasi, energi, transportasi, dan air serta air limbah, dengan sebagian korban justru organisasi kecil berkapasitas keamanan terbatas. Penilaian mereka dengan keyakinan tinggi: aktor Volt Typhoon memosisikan diri lebih dulu di jaringan TI untuk membuka jalan bergerak menyamping ke aset OT dan mengganggu fungsinya. Laporan tahunan Departemen Pertahanan Amerika Serikat kepada Kongres edisi 2025 menyatakan hal senada tentang pemosisian awal lewat aktor seperti Volt Typhoon.

2.3 Statistik Serangan Semester I 2025

Angka yang paling sering dikutip untuk 2025 sebenarnya berasal dari satu laporan enam bulanan, dan itu penting disebut apa adanya. Platform intelijen ancaman AwanPintar.id, dalam laporan “Indonesia Waspada: Laporan Ancaman Digital di Indonesia Semester 1 Tahun 2025”, mencatat 133,4 juta upaya serangan siber pada periode Januari sampai Juni 2025. Ini bukan angka setahun penuh.

Yang menarik justru arah tren dan komposisinya:

• Jumlah itu turun drastis dari 2,49 miliar serangan pada semester I 2024, lonjakan yang saat itu dikaitkan dengan Pemilihan Umum Presiden.
• Mayoritas serangan (68,37 persen) berjenis Generic Protocol Command Decode, indikasi awal peretas sedang menguji kerentanan sistem, bukan serangan matang.
• Jakarta menanggung 58,83 persen dari total serangan nasional.

Penurunan volume karenanya tidak boleh dibaca sebagai kabar baik. Sifat serangan menjadi lebih terarah, dan kebangkitan Botnet Mirai yang memanen perangkat IoT lemah seperti kamera pengawas dan perute menjadi ancaman serius bagi BUMD air minum yang mengadopsi smart metering secara masif tanpa pengamanan memadai.

Bab 3: Lanskap Ancaman Indonesia 2026

Tahun 2026 menandai evolusi ancaman menuju otomatisasi AI dan motif strategis.

3.1 Ancaman AI-Agen dan Ransomware Otonom

Kita kini menghadapi “Agen AI” (Agentic AI) yang mampu melakukan pengintaian dan eksploitasi celah keamanan secara otonom dalam hitungan menit setelah kerentanan baru diumumkan. Serangan phishing menjadi sangat kontekstual dan meyakinkan (berbahasa Indonesia sempurna), serta ransomware mulai menargetkan rantai pasok (supply chain) vendor SCADA.

3.2 Sabotase Siber-Fisik (Killware)

Ancaman eksistensial bagi sektor air adalah “Killware”, serangan yang bertujuan membahayakan nyawa.

• Manipulasi Kimia: Mengubah dosis bahan kimia pengolahan ke tingkat berbahaya. Rujukan yang paling sering dipakai adalah insiden Oldsmar, Florida, 5 Februari 2021: kadar natrium hidroksida (soda api) di instalasi pengolahan sempat diubah dari 100 bagian per juta menjadi 11.100 bagian per juta lewat perangkat lunak akses jarak jauh, sebelum operator mengembalikannya. Dua koreksi penting terhadap cara kasus ini biasa diceritakan. Pertama, bahan yang dimanipulasi adalah soda api, bukan klorin. Kedua, statusnya tidak sekukuh yang beredar: FBI menyatakan tidak dapat memastikan insiden itu berawal dari penyusupan siber yang ditargetkan, dan bekas pejabat kota belakangan menyebutnya kekeliruan operator. Nilainya sebagai skenario risiko tetap sah, nilainya sebagai bukti serangan tidak.
• Water Hammering: Memanipulasi katup untuk membuka-tutup cepat guna memecahkan pipa distribusi utama melalui tekanan hidrolik ekstrem.

3.3 Ancaman Orang Dalam & Hacktivism

Tekanan ekonomi meningkatkan risiko karyawan menjual data pelanggan atau melakukan sabotase. Di sisi lain, situs web PDAM tetap menjadi sasaran defacement bermuatan politis dan penyebaran disinformasi krisis air yang dapat memicu kepanikan publik.

Bab 4: Profil Kerentanan Struktural PDAM

4.1 Dilema Otonomi & Disparitas

Desentralisasi menciptakan kesenjangan keamanan ekstrem. PDAM kecil beroperasi tanpa staf keamanan siber, sementara anggaran selalu memprioritaskan perbaikan fisik daripada digital. Keamanan siber sering dianggap sunk cost hingga insiden terjadi.

4.2 Perangkap Konvergensi IT/OT

• Sistem Warisan: Sistem SCADA berbasis Windows XP/7 yang usang kini dipaksa terkoneksi ke jaringan korporat demi dashboard manajemen, menghilangkan “air gap” pelindung.
• Shadow OT: Pemasangan sensor IoT liar oleh tim operasional tanpa sepengetahuan tim IT menciptakan backdoor tak terawasi.
• Jaringan Datar: Ketiadaan segmentasi jaringan memungkinkan malware dari laptop admin HRD menyebar bebas hingga ke server kontrol pompa.

4.3 Ketergantungan Vendor

Praktik akses jarak jauh vendor yang tidak aman (TeamViewer dengan password statis yang dibagikan) menjadi vektor serangan utama yang sering diabaikan.

Bab 5: Kerangka Regulasi & Tekanan Kepatuhan

5.1 Implementasi UU PDP: Risiko Hukum Direksi

UU No. 27 Tahun 2022 (PDP) membawa konsekuensi nyata:

• Denda: Pasal 57 ayat (3) menetapkan denda administratif paling tinggi 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran. Frasa terakhir itu sering hilang saat dikutip, padahal ia yang membatasi basis perhitungan; tata caranya sendiri diserahkan pada Peraturan Pemerintah. Penjelasan undang-undang menegaskan “pendapatan” berarti arus masuk bruto, bukan laba, sehingga eksposurnya tetap jauh lebih besar daripada yang diperkirakan manajemen.
• Pidana: Direksi dapat dituntut pidana atau digugat perdata (fiduciary duty) jika terbukti lalai menyediakan pengamanan data yang layak.

5.2 Lembaga Pengawas yang Belum Ada dan Sektor yang Belum Ditetapkan

Satu fakta harus diletakkan lebih dulu sebelum bicara penegakan: lembaga pengawas PDP belum berdiri. UU PDP diundangkan 17 Oktober 2022 dengan masa transisi dua tahun, sehingga lembaganya semestinya sudah ada sejak 17 Oktober 2024. Sampai Oktober 2025 lembaga itu belum terbentuk, dan belum ada satu pun kasus kebocoran data yang ditindak memakai sanksi administratif UU PDP. Artinya tekanan hukum yang nyata hari ini datang dari jalur pidana dan gugatan perdata, bukan dari regulator sektoral. Begitu lembaga itu berdiri, wajar bila ia mencari kasus preseden, dan BUMD dengan basis data pelanggan besar serta pertahanan tipis adalah sasaran yang mudah. Itu proyeksi, bukan keadaan yang sudah berjalan.

Di jalur keamanan siber, kerangkanya juga bukan peraturan BSSN melainkan Peraturan Presiden No. 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital, yang mengatur Tim Tanggap Insiden Siber di tiga tingkat: nasional, sektoral, dan organisasi. Di sinilah satu hal penting biasanya terlewat. Perpres itu menetapkan delapan sektor IIV: administrasi pemerintahan, energi dan sumber daya mineral, transportasi, keuangan, kesehatan, teknologi informasi dan komunikasi, pangan, serta pertahanan. Air minum tidak termasuk di dalamnya. Presiden memang berwenang menetapkan sektor lain, tetapi selama itu belum terjadi, kewajiban CSIRT sektoral tidak otomatis mengikat BUMD air minum.

Konsekuensinya berjalan dua arah. Beban kepatuhan memang lebih ringan, tetapi tidak ada pula payung sektoral yang memaksa kesiapan, tidak ada CSIRT sektoral tempat melapor, dan tidak ada latihan bersama yang dijadwalkan negara. Membangun tim tanggap insiden dan rencana kontinjensi yang benar-benar diuji, bukan sekadar dokumen di atas kertas, karenanya menjadi keputusan direksi, bukan perintah regulator.

Bab 6: Transformasi Teknologi & Strategi Pertahanan

6.1 Adopsi Standar IEC 62443

Adopsi standar global ini harus fokus pada konsep Zona dan Saluran. Jaringan IT dan OT harus dipisahkan oleh DMZ Industrial. Aset kritis (pompa, klorinasi) harus ditempatkan pada level keamanan tertinggi (SL-3/SL-4).

6.2 AI untuk Pertahanan & Digital Twins

• Deteksi Anomali AI: Menggunakan Deep Learning untuk mempelajari pola operasi normal, sehingga dapat membedakan manuver pompa sah vs serangan peretas.
• Digital Twins: Simulasi serangan siber pada kembaran digital sistem distribusi untuk menguji respons prosedur darurat tanpa risiko operasional.

6.3 Visibilitas Aset

Menggunakan alat passive monitoring untuk menginventarisasi aset OT secara otomatis dan menerapkan strategi “Penambalan Berbasis Risiko” (memperbaiki celah paling kritis saja) untuk menghindari downtime berlebih.

Bab 7: Rekomendasi Strategis & Peta Jalan

7.1 Rekomendasi Kebijakan

1. Tetapkan air minum sebagai sektor IIV, lalu bangun CSIRT sektornya. Ini langkah paling konkret dan paling murah dari seluruh daftar, karena mekanismenya sudah tersedia: Perpres 82/2022 memberi Presiden wewenang menambah sektor Infrastruktur Informasi Vital tanpa perlu undang-undang baru. Begitu air minum masuk, Tim Tanggap Insiden Siber sektoral berdiri dengan sendirinya di bawah kementerian pembina, dan Kementerian Pekerjaan Umum bersama PERPAMSI punya dasar hukum untuk mewajibkannya, bukan sekadar mengimbau.
2. Mandatori Anggaran: Regulasi Kemendagri yang mewajibkan alokasi khusus (5-8% Capex) untuk keamanan siber.
3. Sertifikasi Direksi: Kompetensi manajemen risiko digital sebagai syarat uji kepatutan Direksi BUMD air minum.

7.2 Peta Jalan Teknis (2026-2028)

• Fase 1 (Dasar): Inventarisasi aset otomatis, segmentasi jaringan dasar (IT/OT separation), MFA untuk akses jarak jauh.
• Fase 2 (Menengah): Deteksi anomali AI, Offline Disaster Recovery Site, audit IEC 62443.
• Fase 3 (Maju): Arsitektur Zero Trust, integrasi Digital Twins, pertukaran intelijen ancaman nasional.

Kesimpulan

Sektor air Indonesia menghadapi kerentanan asimetris: ancaman tumbuh eksponensial, pertahanan tumbuh linear. Namun, dengan memanfaatkan momentum UU PDP dan teknologi AI, serta perubahan mindset bahwa keamanan siber adalah tanggung jawab Direksi, kedaulatan air digital dapat dicapai.