Ketahanan Siber Infrastruktur Utilitas Air
Analisis mendalam ancaman, standar global, dan strategi pertahanan untuk sektor air Indonesia
DISCLAIMER
Dokumen ini adalah analisis strategis berdasarkan riset publik dan pengalaman lapangan. Bukan nasihat hukum atau teknis resmi. Baca Syarat & Ketentuan

Ringkasan Eksekutif

Dalam lanskap infrastruktur kritis global, sektor utilitas air menempati posisi yang unik dan paradoksal, ia merupakan layanan yang paling esensial bagi kelangsungan hidup manusia, namun sering kali menjadi sektor yang paling tertinggal dalam kematangan keamanan siber dibandingkan sektor energi atau keuangan.
Pergeseran Paradigma
Ancaman telah berevolusi dari vandalisme digital menjadi operasi militer siber terkoordinasi dan pemerasan kriminal berskala industri. Konvergensi IT/OT telah menghapus isolasi fisik (air gap) yang selama ini menjadi andalan pertahanan utilitas.
Analisis ini membedah insiden-insiden profil tinggi, Oldsmar, Israel, Aliquippa, Veolia, bukan sebagai studi sejarah, melainkan sebagai bukti forensik kegagalan arsitektur keamanan yang harus dipelajari.

Bab 1: Runtuhnya Mitos “Air Gap”

Paradigma Baru Konvergensi IT/OT

Secara historis, keamanan sistem utilitas air didasarkan pada prinsip “security by obscurity” dan isolasi fisik. Sistem SCADA yang mengendalikan pompa, katup, dan dosis kimia dioperasikan pada jaringan tertutup. Namun, era Industri 4.0 telah mengubah segalanya.

Konvergensi IT/OT
Tuntutan efisiensi dan data real-time memaksa integrasi mendalam antara jaringan bisnis dan sistem kontrol industri.
IIoT & Cloud
Adopsi Industrial IoT dan layanan cloud sering memintas lapisan keamanan tradisional Model Purdue.
Protokol Warisan
Modbus dan DNP3 dirancang dengan asumsi kepercayaan penuh, tanpa otentikasi atau enkripsi bawaan.
Attack Surface
Serangan dari email phishing kini memiliki jalur langsung ke PLC yang mengatur tekanan air.
Implikasi Kritis: Ketika protokol industri yang tidak aman terekspos ke jaringan terkonvergensi, setiap aktor yang berhasil masuk dapat mengirim perintah kontrol yang sah namun berbahaya, tanpa hambatan.

Taksonomi Aktor Ancaman

Kategori Aktor Motivasi Target Spesifik Taktik Dominan Contoh Insiden
Nation-State Geopolitik, Perang Asimetris ICS/SCADA, HMI Zero-day, serangan rantai pasok Israel (2020), Aliquippa (2023)
Cybercriminals Keuntungan Finansial Data pelanggan, Billing Ransomware, Double Extortion Veolia (2024), PDNS (2024)
Insider Threats Balas dendam, Kelalaian Akses jarak jauh Penyalahgunaan kredensial Oldsmar (2021, status tak dipastikan)
Hacktivists Ideologis, Politik Reputasi, Web DDoS, SQL Injection Berbagai defacement
Perbedaan motivasi menuntut strategi berbeda: menghadapi ransomware memerlukan backup kuat, sedangkan menghadapi aktor negara memerlukan pemantauan anomali proses dan fail-safes fisik.

Bab 2: Bedah Forensik Kegagalan Keamanan

Studi Kasus 1: Oldsmar, Florida (2021)

Setpoint Kimia Berubah lewat TeamViewer

Kadar Sodium Hidroksida (NaOH) di instalasi pengolahan berubah dari 100 ppm menjadi 11.100 ppm, level yang akan menyebabkan luka bakar kimia parah pada konsumen, sebelum operator mengembalikannya dalam hitungan menit. Siapa yang mengubahnya tidak pernah dipastikan.

Koreksi (September 2026): bagian ini semula menyatakan "penyerang mengakses sistem SCADA". Itu melampaui yang pernah dibuktikan. FBI menyatakan tidak dapat memastikan insiden ini berawal dari penyusupan siber yang ditargetkan, dan pada 2023 bekas pejabat kota menyebutnya kemungkinan kekeliruan operator, yaitu pegawai yang sama yang menggerakkan kursornya. Yang tetap terdokumentasi adalah kondisi sistemnya, dan justru itulah yang paling layak dipelajari di halaman ini.

Analisis Teknis:

1
Vektor Masuk
Instalasi TeamViewer yang ditinggalkan aktif dan terhubung ke internet publik tanpa kontrol keamanan.
2
Kelemahan Fatal
Workstation menggunakan Windows 7 End-of-Life. Staf menggunakan shared password untuk TeamViewer.
3
Mekanisme Perubahan
Setpoint diubah lewat antarmuka grafis TeamViewer, dengan kursor digerakkan dan nilainya diketik manual, tanpa perangkat perusak apa pun. Ketiadaan jejak malware inilah yang membuat kejadiannya tidak bisa dibedakan dari tindakan operator sendiri.
4
Deteksi
Perubahan dikembalikan oleh kewaspadaan operator manusia yang melihat kursor bergerak, bukan oleh sistem keamanan otomatis. Tidak ada satu pun kendali teknis yang menandainya.
Pelajaran: Penggunaan alat akses jarak jauh tingkat konsumen tanpa VPN korporat, MFA, atau pembatasan IP adalah risiko eksistensial. Tapi pelajaran keduanya lebih tajam, dan baru terlihat setelah statusnya diperiksa ulang: kasus siber utilitas air yang paling sering dikutip di dunia sampai hari ini tidak bisa dipastikan sebagai serangan. Penyebabnya bukan penyelidikan yang buruk, melainkan kendali akses dan pencatatan log yang begitu lemah sehingga jejaknya tidak cukup untuk membedakan penyusup dari pegawai sendiri. Kalau Anda tidak bisa membuktikan kejadian di sistem Anda bukan serangan, Anda juga tidak akan bisa membuktikan kebalikannya.

Studi Kasus 2: Infrastruktur Air Israel (2020)

Air sebagai Senjata Geopolitik

Serangkaian serangan oleh IRGC Iran menargetkan stasiun pompa, sistem saluran pembuangan, dan instalasi pengolahan di seluruh Israel, bertujuan memanipulasi kadar klorin dan mematikan pompa saat gelombang panas.

Teknik Serangan:

  • Manipulasi HMI: Penyerang mencoba menampilkan parameter “hijau” normal sementara sistem melakukan perubahan berbahaya di latar belakang
  • Eksploitasi: Perangkat kontrol terpapar internet melalui embedded web servers dan kredensial lemah
Eskalasi Konflik
Israel memandang serangan ini sebagai pelanggaran garis merah. Sebagai respon, Israel melancarkan serangan siber balasan yang melumpuhkan pelabuhan Shahid Raja'i Iran, menunjukkan bahwa serangan siber terhadap utilitas air dapat memicu eskalasi fisik atau ekonomi.

Studi Kasus 3: Aliquippa & Unitronics (2023)

Kerentanan Rantai Pasok Global

Kelompok "CyberAv3ngers" (afiliasi IRGC) menargetkan PLC Unitronics buatan Israel di Pennsylvania, serangan rantai pasok ideologis yang menargetkan komponen negara tertentu di mana pun ia dipasang.

Vektor Serangan yang Memalukan:

Eksploitasi Default: Penyerang memindai internet (Shodan) untuk menemukan Unitronics pada port TCP 20256 dan menggunakan kata sandi default: "1111"
  • Dampak: Defacement layar HMI dengan pesan “Down with Israel”, hilangnya visibilitas data tekanan
  • Kontroversi: CISA mempublikasikan detail port dan password default, dikritik karena memudahkan serangan peniru
Pelajaran: Kegagalan mengubah konfigurasi default saat instalasi adalah kelalaian fatal. Kerentanan tertanam dalam rantai pasok perangkat keras.

Studi Kasus 4: Veolia North America (2024)

Diferensiasi Dampak IT vs OT

Ransomware menginfeksi sistem TI korporat (billing, data pelanggan), namun operasi pengolahan air tetap berjalan normal berkat segmentasi jaringan yang efektif.

Yang Berhasil
Segmentasi IT/OT dengan DMZ sesuai Model Purdue mencegah ransomware merambat ke sistem kontrol.
Yang Terdampak
Sistem billing lumpuh, data pelanggan dicuri (double extortion), penundaan arus kas, kewajiban pelaporan UU Privasi.

Bab 3: Standar & Kerangka Kerja Global

Perbandingan Framework Keamanan

Fitur NIST CSF AWWA J100 IEC 62443
Fokus Manajemen Risiko Organisasi Resiliensi Operasional Air Keamanan Teknis ICS
Audiens Eksekutif, CISO Manajer Utilitas, Insinyur Insinyur Sistem Kontrol
Pendekatan Outcome-based Risk-based (RAMCAP) Prescriptive
Relevansi Kerangka payung Standar industri spesifik Standar teknis de facto

NIST CSF 2.0: Siklus Hidup Keamanan

Identify
Inventarisasi aset fisik dan digital, pemahaman konteks bisnis dan risiko rantai pasok.
Protect
Kontrol akses (MFA), pelatihan staf, pemeliharaan keamanan data, kontrol fisik ruang server.
Detect
Continuous Monitoring untuk anomali jaringan dan proses operasional.
Respond
Prosedur mitigasi, analisis, dan komunikasi saat insiden terjadi.
Recover
Disaster Recovery Planning untuk mengembalikan layanan dengan cepat.
Govern
Tata kelola keamanan siber di tingkat organisasi dan kebijakan.

IEC 62443: Zones & Security Levels

Konsep Inti IEC 62443
Di lingkungan OT, Ketersediaan (Availability) dan Keselamatan (Safety) adalah prioritas tertinggi, jauh di atas kerahasiaan yang menjadi fokus IT tradisional.

Security Levels (Target):

SL 1
Perlindungan terhadap kesalahan tidak sengaja
SL 2
Perlindungan terhadap peretas low-resource
SL 3
Perlindungan terhadap kelompok terorganisir (rekomendasi untuk utilitas kritis)
SL 4
Perlindungan terhadap serangan negara (nation-state)

Bab 4: Konteks Indonesia

Kerangka Regulasi Nasional

Perpres 82/2022
Pelindungan Infrastruktur Informasi Vital (IIV)
Mengatur delapan sektor, dan air bukan salah satunya. Penetapan penyelenggara IIV berjalan di dalam sektor-sektor itu, sehingga PDAM belum masuk cakupannya.
Perban BSSN 4/2021
Manajemen Keamanan SPBE
PDAM sebagai BUMD terikat dengan standar SPBE pemerintah daerah dalam tata kelola keamanan informasi.
Perban BSSN 7/2023
Identifikasi IIV
Metrik dampak insiden: kerugian >5% anggaran atau gangguan layanan >24 jam sebagai kriteria kekritisan, diterapkan di dalam sektor yang sudah ditetapkan.
UU PDP 27/2022
Pelindungan Data Pribadi
PDAM wajib menunjuk DPO, melaporkan kebocoran dalam 3x24 jam. Denda hingga 2% pendapatan tahunan.

Pelajaran dari Insiden PDNS (2024)

Ransomware LockBit 3.0 pada Pusat Data Nasional

Serangan ransomware Brain Cipher (varian LockBit 3.0) melumpuhkan layanan imigrasi dan ratusan layanan daerah. Masalah utama: ketiadaan backup terpisah dan immutable.

Pelajaran untuk PDAM: Banyak PDAM memigrasikan data billing ke cloud atau pusat data terpusat. Sentralisasi tanpa strategi Disaster Recovery yang kuat adalah risiko tunggal yang fatal. Pastikan vendor billing memiliki backup offline yang tidak terhubung ke jaringan utama.

Tantangan Operasional PDAM

Vendor Terfragmentasi
Beragam aplikasi billing dan pencatatan meter dari vendor berbeda dengan tingkat keamanan yang bervariasi, banyak tanpa pentest rutin.
Shadow TI dari Vendor
Vendor SCADA sering meninggalkan akses jarak jauh untuk pemeliharaan tanpa sepengetahuan tim TI PDAM, menciptakan backdoor.
Keterbatasan SDM
PDAM daerah tingkat II jarang memiliki staf keamanan siber khusus. Fungsi keamanan dirangkap oleh staf TI umum.

Bab 5: Arsitektur Teknis & Strategi Pertahanan

Model Purdue dan Industrial DMZ

Level 3.5: Industrial DMZ

Komponen paling kritis. Tidak boleh ada lalu lintas langsung dari Level 4 (Enterprise/Internet) ke Level 3/2 (OT). Semua lalu lintas harus berhenti di DMZ.

  • Jump Host: Akses jarak jauh mendarat di sini, diautentikasi ulang (MFA), baru sesi baru dibuka ke OT
  • Mencegah: Penyebaran malware berbasis sesi langsung

Data Diodes: Keamanan Fisik Mutlak

Apa itu Data Diode?

Perangkat keras yang secara fisik hanya mengizinkan data mengalir satu arah (dari OT ke IT). Menggunakan isolator optik yang secara hukum fisika tidak bisa mengirim sinyal balik.

Penerapan:

  • Dipasang di perbatasan OT/IT
  • Data status pompa, level reservoir, kualitas air dikirim keluar ke server TI
  • Jika jaringan IT terkena ransomware: Mustahil merambat ke OT melalui dioda data
  • Solusi ideal untuk Industri 4.0 tanpa mengorbankan keamanan

Zero Trust untuk OT

Micro-segmentation Overlay
Perangkat keamanan ditempatkan di depan PLC kritis, membungkus lalu lintas dalam terowongan terenkripsi. Hanya perangkat dengan identitas kriptografis yang sah yang dapat berkomunikasi dengan PLC.

Manfaat: Mencegah pergerakan lateral, jika satu workstation terinfeksi, ia tidak bisa menyerang PLC lain karena tidak memiliki kredensial overlay.

Bab 6: Peta Jalan Strategis

Fase 1: Dasar Higiene Siber (0-6 Bulan)

Quick Wins
Audit Aset: Inventarisasi total perangkat IT dan OT. Temukan Shadow IT (modem seluler vendor).
Eliminasi Akses Konsumen: Blokir TeamViewer, AnyDesk di firewall. Ganti dengan VPN korporat.
Pengerasan Perangkat: Ganti SEMUA kata sandi default pada PLC, modem, router.
Backup Offline: Data billing dan konfigurasi SCADA di-backup ke media air-gapped.

Fase 2: Arsitektur & Kepatuhan (6-18 Bulan)

Penguatan Struktur
Segmentasi Jaringan: Pemisahan tegas IT/OT dengan firewall dan DMZ sesuai Model Purdue.
Kepatuhan UU PDP: Tunjuk DPO, petakan aliran data pribadi, enkripsi database pelanggan.
Penilaian Risiko J100: Identifikasi aset fisik paling kritis untuk prioritas perlindungan.

Fase 3: Ketahanan Lanjut (18-36 Bulan)

Advanced Defense
Data Diodes: Pasang untuk semua jalur pelaporan data dari OT ke IT/Cloud.
SOC Terpadu: Integrasikan log IT dan OT ke SIEM untuk deteksi ancaman holistik.
Zero Trust Overlay: Uji coba pada segmen OT paling kritis.
CSIRT: Bentuk tim respons insiden atau bergabung dengan Gov-CSIRT/PU-CSIRT.

Kesimpulan

Keamanan siber infrastruktur air Indonesia berada di persimpangan jalan yang kritis. Ancaman telah berevolusi dari kejahatan oportunistik menjadi operasi strategis yang menargetkan fondasi kehidupan masyarakat.

Tidak ada "peluru perak" teknologi. Solusinya membutuhkan perpaduan:

  • Kepatuhan regulasi ketat (BSSN, UU PDP)
  • Arsitektur teknis defensif (IEC 62443, Data Diodes)
  • Budaya operasional sadar risiko

Langkah pertama, mengamankan akses jarak jauh dan memisahkan jaringan, harus diambil hari ini, sebelum krisis air berikutnya dipicu bukan oleh kemarau, melainkan oleh klik mouse dari belahan dunia lain.

Disusun berdasarkan riset dan pengalaman lapangan,
Ferli Deni Iskandar
Referensi & Sumber
  1. Fortinet - What Is the Purdue Model for ICS Security
  2. Claroty - Beyond the Purdue Model
  3. Zscaler - Purdue Model for ICS Security
  4. Northern Technologies Group - Zero Trust Architecture 2025
  5. Zentera - Zero Trust for Legacy OT
  6. Dragos - Implementing Zero Trust in OT
  7. CSO Online - Cyberattack on Israel Water Infrastructure
  8. Blueridge Networks - Aliquippa Water Authority Attack Analysis
  9. SC Media - Ransomware attack hits Veolia North America
  10. BPIP-CSIRT - Mengenal Ransomware LockBit 3.0 (PDNS)
  11. Nozomi Networks - Oldsmar Water Facility Cyberattack
  12. Fortinet - IEC 62443 Standard
  13. Dragos - Recommendations Following Oldsmar
  14. ISA - Florida Water Supply Incident and ICS Cybersecurity
  15. DTIC - Cyber Risk to Mission: Oldsmar Case Study
  16. Thomas Murray - Cyber Crime and Water Supply
  17. INSS - Cyber War between Israel and Iran
  18. CCDCOE - Cyber incident Pennsylvania 2023
  19. Industrial Cyber - Veolia and Southern Water Ransomware
  20. WaterISAC - Major Water Utility Ransomware Incident
  21. EPA - Guidance on Improving Cybersecurity at Water Systems
  22. Radiflow - NIST Cybersecurity Framework Explained
  23. Springbrook Software - Cybersecurity in Water Sector
  24. FWRJ - Cybersecurity Framework for Water Utilities
  25. AWWA - J100-21 Risk and Resilience Management 26-29. Berbagai sumber IEC 62443 30-35. Peraturan BSSN dan Perpres Indonesia 36-38. Regulasi UU PDP Indonesia 39-41. Liputan insiden PDNS 42-45. Sumber industri PDAM Indonesia 46-51. Sumber arsitektur keamanan OT 52-56. Sumber CSIRT dan backup strategy
Ingin Diskusi Strategi Keamanan Siber?
Mari berbagi pengalaman dalam membangun ketahanan siber infrastruktur kritis utilitas air.
Diskusi Lebih Lanjut    Coba SCADA Health Check →

Disclaimer: Tulisan ini adalah pandangan pribadi penulis dan tidak mewakili pandangan organisasi mana pun. Informasi yang disajikan bersifat edukatif dan tidak dimaksudkan sebagai nasihat profesional. Untuk keputusan strategis, konsultasikan dengan ahli yang berkompeten.