ANALISIS

Mengulik UU Kamtansiber, Penjaga Baru Dunia Siber

CNN Indonesia

Rabu, 21 Agu 2019 08:14 WIB

Mengulik UU Kamtansiber, Penjaga Baru Dunia Siber — Ilustrasi. (Foto: Istockphoto/gorodenkoff)

Fauzan menyimpulkan bahwa RUU Kamtansiber perlu dikaji lebih dalam terkait aspek harmonisasi dan sinkronisasi dengan peraturan perundang-undangan lainnya, seperti UU No. 17 Tahun 2011 tentang Intelijen Negara, UU No. 34 Tahun 2004 tentang TNI, UU No. 2 Tahun 2002 tentang Kepolisian Negara Republik Indonesia, dan UU No. 19 Tahun 2016 Tentang Perubahan Atas UU No. 11 Tahun 2008

"Sebuah peraturan perundang-undangan, termasuk di dalammnya UU dikategorikan sebagai UU yang baik, di samping “kelahirannya” tidak menimbulkan disharmonisasi atau conflict of law juga harus memiliki landasan yang kuat, baik dari aspek filosofis, yuridis dan sosiologis," kata Fauzan.

Selain adanya bentrok wewenang antara BSSN dengan Polisi, BIN, TNI dan Kemenkominfo, Fauzan mengatakan BSSN juga berpotensi bisa bentrok dengan Kejaksaan Republik Indonesia.

SCROLL TO CONTINUE WITH CONTENT

Lihat juga:

BSSN Sebut Indonesia Alami Perang Tak Kasat Mata

"Pendirian lembaga baru akan berimplikasi pada kebutuhan anggaran yang tidak sedikit, oleh karena itu yang diperlukan ke depan untuk diatur dalam RUU tentang Keamanan dan Ketahanan Siber bagaimana sinergitas antara lembaga tersebut dapat terwujud, sehingga menjamin keamanan dan ketahanan siber," kata Fauzan.

Ia menyebut RUU Kamtansiber sebaiknya dikaji lebih dalam agar benar-benar merepresentasikan seluruh pemegang kepentingan dalam sistem keamanan siber nasional. Ia menyarankan agar RUU Kamtansiber tidak digeber untuk cepat diundangkan.

"Penundaan pengesahan atas RUU Kamtansiber merupakan langkah yang bijaksana, jangan sampai terulang lagi peristiwa sebuah RUU dengan cepat disahkan oleh DPR kemudian dalam hitungan hari dikeluarkan produk hukum yang menganulir keberlakuannya," katanya.

Lihat juga:

Polisi Tangkap Penjual Data Kependudukan dan Nomor Ponsel

Senada dengan Fauzan, Pratama juga mengharapkan agar RUU Kamtansiber dipaksa agar rampung sebelum purna tugas DPR periode ini. Ia juga meminta agar pemerintah mengkaji standar-standar dalam RUU Kamtansiber

"Terkait implementasi teknologi juga, ada standar yang sudah baku secara internasional. Kita mau buat baru atau bagaimana. Memang baiknya mengikuti standar keamanan yang ada," ucapnya. (jnp/evn)

Jakarta, CNN Indonesia -- Dewan Perwakilan Rakyat (DPR) pada awal Juli 2019 telah menyetujui Rancangan Undang-Undang Keamanan dan Ketahanan Siber (RUU Kamtansiber) menjadi usulan untuk dibahas sebagai peraturan inisiatif DPR. Badan Siber dan Sandi Negara (BSSN) akan menjadi lembaga yang memiliki kewenangan menjalankan peraturan ini.

Ketua DPR, Bambang Soesatyo bahkan mengatakan RUU sudah masuk prolegnas dan akan diselesaikan pada akhir September. Saat ini RUU Kamtansiber disebutnya telah dalam tahap pembahasan Badan Legislasi (Baleg).

"Seluruh fraksi sudah menyetujuinya, berbagai masukan, kerangka berpikir dari akademisi dan stakeholder sudah ada. Jadi tinggal pembahasan saja," katanya beberapa waktu lalu.

SCROLL TO CONTINUE WITH CONTENT

Akan tetapi, beleid terbaru ini dianggap memancing polemik. Bahkan UU Perlindungan Data Pribadi yang sudah antre sejak lama di prolegnas tak kunjung jelas kabarnya. Selain terkesan terburu-buru, aturan bahkan disebut melanggar beberapa standarisasi keamanan siber internasional.

Lihat juga:

Hantu Orde Baru di Era Digital Jokowi

Ketua Association Forensic Digital Indonesia (AFDI) Kombes Pol Muhammad Nuh Al-Azhar bahkan menganggap aturan juga banyak perbedaan pakem-pakem keamanan siber yang sudah tertuang dalam International Organization for Standardization (ISO).

Muhammad mengatakan perbedaan pertama berada pada judul beleid tersebut yang menggunakan kata Keamanan dan Ketahanan Siber. Padahal ISO hanya membahas kata keamanan siber. Ia tidak mengetahui dari mana asal kata ketahanan tersebut.

"Kalau kita mengacu ke literatur internasional yang ada satu kata, keamanan siber. ISO 27032 tentang panduan untuk keamanan siber cyber security. Saya juga tidak tahu kenapa muncul istilah satu kata ketahanan itu," ujarnya kepada CNNIndonesia.com.

Muhammad mengatakan draft RUU Kamtansiber tidak membahas apakah keamanan siber dalam RUU Kamtansiber itu masuk ke pre incident, incident, atau post incident.

"Kita mau masuk ke sisi mana? Karena dalam keamanan siber itu sudah ada namanya ISO 27035 tentang security insiden management. Jadi kalau nanti ada suatu insiden bagaimana me-managenya. Kalau yang 27037 itu tentang kaitannya handling process terhadap bukti digital. Jadi ada standarnya. Kita mau masuk ke mana," katanya.

Pre Incident adalah langkah-langkah pencegahan atau mengamankan sistem dan jaringan dari serangan siber. Dalam pre incident, Muhammad menjelaskan ada edukasi dan audit. Edukasi ini berbentuk literasi kepada masyarakat tentang kesadaran dalam keamanan siber.

Di sisi lain, audit dibutuhkan untuk melakukan pengecekan ulang dari sisi keamanan dan ketahanan dari sisi sistem dan jaringan yang rentan diserang.

"Audit itu mulai dari perangkat keras, perangkat lunak, termasuk dari audit ke sisi manajemen. Yang sering terlupakan itu adalah audit sisi manajemen. karena sesungguhnya tak ada keamanan siber tanpa ada campur tangan langsung dari sisi manajemen," ujarnya.

Lihat juga:

Milenial Jadi Sasaran Empuk Peretasan

Sisi manajemen resiko keamanan sering dilupakan karena orang-orang di bidang siber menganggap peranti lunak dan peranti keras keamanan siber sudah mumpuni untuk menangkal serangan.

"Seringkali orang di Indonesia atau pun dunia seakan-akan kalau sudah punya hardware dan software canggih itu sudah aman. Padahal tidak, kita butuh manajemen yang atur segala macam prosedur operasi standar," ujarnya.

Muhammad mengatakan di saat serangan terjadi, yang bisa dilakukan adalah monitoring. Hal ini dilakukan untuk mendeteksi adanya serangan siber. Selanjutnya dalam post incident, harus dilakukan investigasi dan mitigasi.

Mitigasi berkaitan dengan pemulihan sistem. Langkah apa yang harus dilakukan agar sistem bisa pulih dengan cepat.

"Investigasi itu yang dilakukan penegakkan hukum. Ini membutuhkan waktu lama, apalagi kalau berhadapan dengan peretas yang well organized, belum lagi yang disponsori oleh negara," imbuhnya.

Terkait langkah-langkah konkret mitigasi, Muhammad menilai RUU Kamtansiber belum memiliki hal tersebut. Langkah-langkah pemulihan belum dijelaskan dalam bagian kedua aturan yang berjudul "Mitigasi Risiko Ancaman Siber."

"Kemudian pasal 12 tentang mitigasi risiko. Kalau terjadi serangan dan ada sistem down, bagaimana sistem dibangkitkan kembali (recover) itu termasuk bagian dari mitigasi. Dan itu tidak disebut di dalam pasalnya," ujarnya.

Pasal 13 menyebutkan "Mitigasi risiko Ancaman Siber sebagaimana dimaksud dalam Pasal 12 dilaksanakan sesuai dengan standar khusus yang ditetapkan oleh BSSN."

Muhammad merasa keberatan dengan kata "standar khusus" BSSN ini karena artinya aturan ini tidak sesuai ISO. Selain itu ia mengatakan tidak menemukan "standar khusus" yang diminta oleh BSSN dalam aturan tersebut.

"Di pasal 13 disebutkan ada standar khusus dan penilaian, itu saya tidak temukan. ISO sudah punya standar sendiri. Apakah kita merasa lebih pintar dibanding ISO mau membuat standar lagi. Apakah kita pemain lama, lebih lama dibanding teman-teman di luar sana," ujarnya.

[Gambas:Video CNN]

Muhammad mengibaratkan standar tersebut sebagai sebuah mobil. BSSN seharusnya tak perlu membuat sebuah mobil baru, sementara sudah ada mobil yang lama.

"Kalau memang sudah ada mobilnya, ya kita adopsi saja mobilnya. Buat apa kita sibuk dengan bikin mobil baru yang kualitasnya tidak mengalahkan mobil yang sudah ada," katanya.

Pada bagian ketiga dibahas mengenai "Respon Ancaman Siber" yang tertuang dalam pasal 14 hingga pasal 16. Lagi-lagi, Muhammad mengatakan BSSN membuat standar yang berebeda dengan ISO 27035 dan ISO 27037.

"Pasal 16 tentang respon ancaman siber. Itu sudah ada di ISO 27035 sama ISO 27037. Nah saya juga bingung kenapa BSSN mau buat standar lagi. Didorong saja, profesional pelaku di dalam dunia siber itu untuk mematuhi ISO, lebih bagus itu. Bukan malah membuat standar lagi, kalau tidak sesuai standar BSSN bisa kena sanksi," ujarnya.

Lihat juga:

BSSN Tanggapi Penyadapan Tanpa UU Perlindungan Data Pribadi

Menurutnya, BSSN seharusnya mendorong agar para pelaku di dunia siber bisa mematuhi ISO. Seharusnya BSSN bisa membantu para pelaku agar bisa mematuhi ISO.

"BSSN yang mendorong, membantu, dan memfasilitasi untuk ajak masyarakat agar bisa patuhi ISO. Banyak organisasi atau lembaga yang tidak mematuhi . Nah itu tugasnya BSSN untuk membantu mematuhi, bukan malah mau bikin standar. Nanti ini kalau tidak ikut ini kena sanksi," jelasnya.

Muhammad juga mengatakan draft RUU Kamtansiber tidak membahas mengenai infrastruktur siber, yaitu jaringan. Padahal jaringan merupakan infrastruktur paling vital untuk menjaga keamanan siber.

Pasal 10 ayat 2 memang membahas infratstruktur siber nasional, tapi tidak menyebutkan jaringan. Pasal 10 ayat 2 hanya menyebut empat infrastruktur, yaitu infrastruktur informasi kritikal nasional, infrastruktur penyelenggaraan pemerintahan elektronik, infrastruktur ekonomi digital, dan infrastruktur sistem elektronik

"Jaringan itu tulang punggungnya internet exchange. Nah, infrastruktur yang paling vital itu adalah jaringan. Tapi itu enggak dibahas. Ini saya juga bingung, berbicara siber tapi kok tidak berbicara ke core siber yang merupakan jaringan," ucapnya.

Tumpang tindih wewenang

Ilustrasi (Foto: REUTERS/Kacper Pempel)

Pengamat dari Lembaga Riset Keamanan Siber dan Komunikasi CISSReC Pratama Persadha mengganggap aturan RUU Kamtansiber bisa menyebabkan disharmonisasi antara BSSN dengan Tentara Nasional Indonesia (TNI), Polisi, Badan Intelijen Negara (BIN) dan Kemenkominfo.

Pratama mengatakan RUU yang terdiri dari 77 pasal dan 13 bab ini memiliki beberapa pasal yang akan menyebabkan disharmonisasi antar lembaga pemerintahan.

"Terkait beberapa pasal yang dianggap tumpang tindih dengan kewenangan Kominfo serta Polri, terutama soal konten negatif dan juga hak penyidikan pidana terkait kejahatan siber. Hal ini perlu diperjelas, pasal 45 ayat 1 membuat BSSN nantinya tumpang tindih dengan cybercrime Polri," ucap Pratama ketika dihubungi CNNIndonesia.com.

Disharmonisasi wewenang antar lembaga terkait penapisan konten dan aplikasi elektronik berada pada pasal 38. Pasal ini berpotensi menciptakan disharmonisasi antara Kemenkominfo dengan BSSN.

Pasal 38 ayat 1 berbunyi "BSSN melakukan penapisan terhadap konten dan aplikasi elektronik yang mengandung muatan perangkat lunak berbahaya untuk mendukung upaya perlindungan terhadap masyarakat pengguna aplikasi elektronik."

"Pasal 38 RUU KKS juga bertabrakan dengan UU ITE terkait siapa yang menapis konten negatif, sekarang dilakukan oleh Kominfo," ucapnya.

Lihat juga:

UU Data Pribadi Didesak Jokowi, Kominfo Tunggu 2 Kementerian

Pakar hukum tata negara dari Universitas Jenderal Soedirman (Unsoed) Muhammad Fauzan merinci pasal tersebut bisa tumpang tindih dengan Pasal 40 ayat (2a) UU No. 19 Tahun 2016 Tentang Perubahan Atas UU No. 11 Tahun 2008 Tentang Informasi Dan Transaksi Elektronik.

Fauzan mengatakan kewenangan untuk melakukan penapisan selama ini ada pada Kemenkominfo.

"Bahkan dalam Naskah Akademik RUU tentang Keamanan dan Ketahanan Siber pada halaman 74 dinyatakan bahwa ketentuan Pasal 40 ayat (2a), (2b), (3), (4) dan (5) UU ITE tidak sesuai dengan RUU Ketahanan dan Keamanan Siber.

Analisis tersebut sangat sulit diterima, karena bagaimana mungkin sebuah RUU dijadikan "alat" uji sebuah UU yang sudah belaku dan diundangkan," kata Fauzan.

Fauzan menjelaskan potensi tumpang tindih tugas antara BSSN dengan Polisi juga ada di Pasal 39 ayat 2 huruf b. Pasal itu berbunyi "pelimpahan hasil investigasi ke pejabat yang berwenang dalam bidang penyidikan tindak pidana,".

"Ketentuan tersebut berpotensi terjadi overlapping dengan kewenangan Polri sebagaimana diatur dalam UU No. 2 Tahun 2002 tentang Kepolisian Negara Republik Indonesia, karena pada dasarnya terminologi investigasi sangat sama dengan makna penyelidikan," tulis Fauzan.

Bentrok kewenangan antara BSSN dan Polri juga berada pada pasal 45 ayat 1. Dalam pasal ini, BSSN bisa menganalisis bukti digital, memberikan keterangan ahli di bidang forensik digital dan pemberian dukungan teknis Keamanan dan Ketahan Siber dalam tahap penyelidikan dan penyidikan.

"Terkait tumpang tindih hak penyidikan pidana terkait kejahatan siber. Hal ini perlu diperjelas, pasal 45 ayat 1 membuat BSSN nantinya tumpang tindih dengan cyber crime Polri," kata Pratama.

Sementara itu, Fauzan mengatakan kewenangan tersebut sebenarnya selama ini sudah dilaksanakan oleh Polri.

"Sehingga pemberian kewenangan kepada BSSN sebagaimana tersebut dalam Pasal 45 ayat (1) RUU tentang Keamanan dan Ketahanan Siber berpotensi akan terjadi disharmonisasi antar lembaga," kata Fauzan.

Bentrok kewenangan antara BSSN dan TNI terjadi dalam pasal 52 huruf c UU Kamtansiber. Pasal tersebut berbunyi:

"Dalam rangka melaksanakan Pemantauan sebagaimana dimaksud dalam Pasal 44, BSSN melakukan kegiatan: penelaahan terhadap data dan informasi terkait Insiden Siber atau Serangan Siber untuk merumuskan strategi dan taktik terbaik dalam merespon berbagai perkembangan Ancaman Siber yang ditujukan kepada Negara Kesatuan Republik Indonesia."

Bagi Fauzan, pasal 52 huruf C UU Kamtansiber bisa menimbulkan masalah dalam implementasi aturan. Pasalnya aturan bisa tumpang tindih dengan UU Nomor 34 Tahun 2004 tentang TNI, terutama dalam Pasal 7 ayat (1) yang berbunyi:

"Tugas pokok TNI adalah menegakkan kedaulatan negara, mempertahankan keutuhan wilayah Negara Kesatuan Republik Indonesia yang berdasarkan Pancasila dan Undang- Undang Dasar Negara Republik Indonesia Tahun 1945, serta melindungi segenap bangsa dan seluruh tumpah darah Indonesia dari ancaman dan gangguan terhadap keutuhan bangsa dan negara."

"Dan tentu dalam melaksanakan tugas tersebut TNI akan melakukan analisis atau menelaah bukan hanya berkaitan dengan kekuatan persenjataan, melainkan juga kemungkinan adanya gerakan atau tindakan spionase yang menggunakan perangkat dan kecanggihan teknologi informasi yang dapat mengancam keutuhan dan kedaulatan negara, dan hal tersebut selama ini juga sudah dilakukan oleh TNI." kata Fauzan.

Lihat juga:

Polisi Usut Dua Akun Medsos Diduga Pemicu Unjuk Rasa di Papua

Fauzan juga mengatakan bentrok wewenang antar lembaga juga berada dalam Pasal 44 huruf g RUU Kamtansiber. Dalam pasal tersebut, BSSN akan bentrok dengan BIN. Pasal tersebut berbunyi:

"BSSN memiliki wewenang: melakukan asesmen, pengujian, penetrasi keamanan akses sistem elektronik, dan/atau audit Keamanan dan Ketahanan Siber"

Ketentuan tersebut berpotensi menimbulkan disharmonisasi hubungan dengan BIN. Ketentuan Pasal 31 UU No. 17 Tahun 2011 tentang Intelijen Negara berisi wewenang BIN untuk melakukan penyadapan, pemeriksaan aliran dana, dan penggalian informasi terhadap sasaran yang mengancam kepentingan nasional.

"Penyadapan, pemeriksaan aliran dana dan penggalian informasi yang dilakukan oleh BIN merupakan tugas atau kewenangan yang akan bersinggungan dengan dunia siber, oleh karena itu kewenangan BSSN dalam RUU tersebut juga berpotensi terjadinya overlapping dengan tugas dan kewenangan yang telah dimiliki BIN," kata Fauzan.

Perlu sinkronisasi dan harmonisasi

Ilustrasi. (Foto: Istockphoto/gorodenkoff)

Lihat juga:

BSSN Sebut Indonesia Alami Perang Tak Kasat Mata

Dalam Pasal 7 ayat (2) dan (3) RUU tentang Keamanan dan Ketahanan Siber diatur mengenai eksistensi BSSN sebagai Penyelenggara Keamanan dan Ketahanan Siber pada Pemerintah Pusat dan dimungkinkan dibentuknya Penyelenggara Keamanan dan Ketahanan Siber di tingkat Daerah.

Padahal kondisi selama ini institusi atau lembaga yang menangan siber telah ada, seperti Siber pada TNI; Siber pada Polisi; Siber pada Kejaksaan Republik Indonesia; dan Siber pada BIN.

"Pendirian lembaga baru akan berimplikasi pada kebutuhan anggaran yang tidak sedikit, oleh karena itu yang diperlukan ke depan untuk diatur dalam RUU tentang Keamanan dan Ketahanan Siber bagaimana sinergitas antara lembaga tersebut dapat terwujud, sehingga menjamin keamanan dan ketahanan siber," kata Fauzan.

Ia menyebut RUU Kamtansiber sebaiknya dikaji lebih dalam agar benar-benar merepresentasikan seluruh pemegang kepentingan dalam sistem keamanan siber nasional. Ia menyarankan agar RUU Kamtansiber tidak digeber untuk cepat diundangkan.

"Penundaan pengesahan atas RUU Kamtansiber merupakan langkah yang bijaksana, jangan sampai terulang lagi peristiwa sebuah RUU dengan cepat disahkan oleh DPR kemudian dalam hitungan hari dikeluarkan produk hukum yang menganulir keberlakuannya," katanya.