Cybersecurity Indonesia menghadapi tantangan yang semakin mengkhawatirkan. Pada tahun 2023 saja, terjadi lebih dari 1,2 miliar upaya serangan siber di Indonesia. Angka ini sangat mengejutkan dan menunjukkan betapa seriusnya ancaman yang kita hadapi saat ini.
Perkembangan keamanan siber di Indonesia tidak sebanding dengan pertumbuhan pengguna internet. Bahkan, porsi pengguna internet di dunia telah meningkat dari hanya sekitar 6,7 persen pada tahun 2000 menjadi 64,2 persen pada kuartal pertama tahun 2021. Sayangnya, masalah cyber security di Indonesia terus bertambah dengan BSSN mencatat lonjakan serangan dari 12,8 juta pada tahun 2018 menjadi 98,2 juta serangan pada tahun 2019. Terlebih lagi, potensi kerugian ekonomi akibat cyber attack di Indonesia mencapai Rp 478,8 triliun atau 34,2 miliar dolar AS.
Salah satu tantangan utama dalam cybersecurity di Indonesia 2023 adalah keterbatasan sumber daya, baik dalam hal anggaran maupun personel untuk melaksanakan program keamanan cyber yang komprehensif. Selain itu, kurangnya kesadaran dan pelatihan karyawan tentang praktik keamanan cyber juga meningkatkan risiko serangan. Dalam artikel ini, kita akan membahas berbagai ancaman siber yang sering diabaikan oleh para CEO di Indonesia dan langkah-langkah proaktif yang dapat diambil untuk melindungi perusahaan mereka.
Fakta Mengejutkan Tentang Ancaman Siber di Indonesia 2025
Tahun 2025 telah menjadi titik kritis dalam lanskap keamanan siber Indonesia. Ancaman yang semakin kompleks dan masif menunjukkan bahwa kita berada pada situasi yang memerlukan perhatian serius dari semua pihak, terutama para pemimpin perusahaan.
Lonjakan serangan siber di sektor publik dan swasta
Data terbaru menunjukkan bahwa pada kuartal pertama 2025 saja, lebih dari 3,2 juta serangan siber berbasis web telah dideteksi dan diblokir di Indonesia. Angka ini menempatkan Indonesia sebagai negara kedua dengan jumlah serangan tertinggi di Asia Tenggara, hanya di bawah Malaysia yang mencatatkan 19,6 juta serangan. Bahkan, baru-baru ini Pusat Data Nasional (PDN) berhasil dilumpuhkan oleh serangan ransomware, mengungkapkan kerentanan dalam infrastruktur penting nasional.
Sektor pemerintahan menjadi sasaran utama dengan 186 insiden siber tercatat sepanjang 2023. Selanjutnya, sektor keuangan menduduki posisi kedua dengan 38 insiden, diikuti oleh sektor transportasi (24 insiden), dan energi dan mineral (18 insiden). Kasus-kasus ini memperlihatkan bahwa tidak ada sektor yang benar-benar aman dari serangan.
Statistik terbaru dari BSSN dan lembaga global
Badan Siber dan Sandi Negara (BSSN) mencatat pada periode Januari-Agustus 2024, serangan siber di Indonesia mencapai 122,79 juta. Serangan tersebut didominasi oleh malware (59,26% atau 72,77 juta serangan), trojan activity (18,20% atau 22,35 juta serangan), dan unauthorized access (8,28% atau 10,16 juta serangan).
Selain itu, telemetri Kaspersky untuk Q1 2025 mendeteksi bahwa 15,5% pengguna di Indonesia terdampak ancaman online. Meskipun angka serangan menunjukkan penurunan 44,25% dibandingkan periode yang sama tahun 2024, Indonesia tetap berada di posisi ke-95 secara global dalam hal bahaya yang terkait dengan penjelajahan web.
Mengapa CEO Indonesia belum menyadari skala ancaman ini
Meskipun ancaman siber semakin meningkat, kesadaran di tingkat manajemen puncak masih rendah. Studi dari Cisco mengungkapkan bahwa hanya 39% organisasi di Indonesia yang memiliki kesiapan matang dalam menghadapi risiko keamanan siber modern. Ironisnya, 93% perusahaan merasa percaya diri dengan kemampuan mereka, padahal infrastruktur keamanan siber mereka belum memadai.
Salah satu tantangan utama adalah kurangnya pemahaman top management terhadap risiko siber, sehingga investasi keamanan sering kali dianggap tidak mendesak. Akibatnya, proposal keamanan dari manajer IT sering ditolak karena dianggap sebagai beban biaya daripada kebutuhan strategis. Padahal, Indonesia hanya memiliki sekitar 500 ahli siber bersertifikasi, jauh di bawah kebutuhan ideal yang mencapai 20.000 profesional.
Dengan prediksi bahwa tahun 2025 akan menjadi puncak krisis keamanan digital Indonesia dengan estimasi 2 miliar serangan per tahun, sudah saatnya para CEO di Indonesia membuka mata terhadap ancaman yang ada di depan mata.
Jenis Ancaman Siber yang Sering Diabaikan CEO
Para CEO di Indonesia sering kali hanya fokus pada ancaman siber yang sudah dikenal luas, sementara mengabaikan beberapa jenis serangan yang justru lebih berbahaya. Berikut adalah delapan ancaman siber yang sering luput dari perhatian namun berpotensi menimbulkan kerugian besar.
1. Insider threats dari karyawan internal
Ancaman dari dalam atau insider threat terjadi ketika individu dalam perusahaan, baik karyawan aktif, mantan karyawan, maupun vendor menyalahgunakan akses yang mereka miliki. Akses internal membuat mereka lebih leluasa dalam mengeksekusi serangan siber tanpa langsung terdeteksi. Karyawan yang tidak puas, tertekan secara finansial, atau direkrut oleh pihak eksternal dapat dengan mudah mengakses informasi sensitif dan menyebabkan kebocoran data.
2. Serangan zero-day yang belum terdeteksi
Eksploitasi zero-day adalah serangan siber yang memanfaatkan kelemahan keamanan yang belum diketahui dalam perangkat lunak atau perangkat keras. Vendor perangkat lunak memiliki “waktu nol hari” untuk memperbaiki cacat karena pelaku jahat sudah dapat menggunakannya. Tim IBM X-Force Threat Intelligence mencatat 7.327 kerentanan zero-day sejak tahun 1988, yang jumlahnya hanya 3% dari semua kerentanan keamanan yang tercatat.
3. Typosquatting dan domain palsu
Typosquatting adalah praktik kejahatan siber di mana peretas mendaftarkan domain dengan nama situs web terkenal yang sengaja salah eja. Tujuannya memancing pengunjung yang tidak menaruh curiga ke situs web alternatif. Contohnya, alih-alih “google.com”, peretas membuat “gogle.com” atau “go0gle.com”. Serangan ini dapat menyebabkan pencurian data sensitif atau instalasi malware melalui unduhan otomatis (drive-by download).
4. Serangan rantai pasokan (supply chain attack)
Serangan rantai pasokan menargetkan sistem atau perangkat lunak dalam rantai pasokan suatu produk. Penyerang mengeksploitasi kepercayaan antara vendor dan pelanggannya. Contoh terkenal adalah serangan terhadap SolarWinds yang berhasil mengkompromikan software yang digunakan oleh ratusan perusahaan dan lembaga pemerintah.
5. Social engineering tingkat lanjut
Rekayasa sosial melibatkan manipulasi psikologis agar korban mau memberikan informasi sensitif dengan sukarela. Menurut penelitian, 88% perusahaan kecil percaya bahwa mereka setidaknya menjadi target “agak mungkin” bagi penjahat dunia maya. Pelaku sekarang menggunakan AI untuk analisis data korban, menyusun pesan meyakinkan, dan memalsukan suara maupun wajah dengan tingkat kemiripan tinggi.
6. Serangan terhadap cloud dan IoT
Perangkat IoT sering dirancang lebih mengutamakan fungsionalitas dibanding keamanan. Menurut laporan Kaspersky, lebih dari 1,5 miliar serangan siber menargetkan perangkat IoT terjadi pada 2023. Kerentanan seperti password default yang lemah dan komunikasi tidak terenkripsi membuat perangkat ini menjadi sasaran empuk.
7. Phishing yang menyasar eksekutif (spear phishing)
Spear phishing adalah serangan phishing yang menargetkan individu atau organisasi tertentu dengan pesan yang dipersonalisasi. Menurut laporan dari Barracuda, phishing tombak hanya menyumbang kurang dari 0,1% dari email yang ada, tetapi menyebabkan 66% pelanggaran yang berhasil dilakukan. Sementara rata-rata pelanggaran yang disebabkan oleh phishing menelan biaya USD 4,76 juta, serangan phishing tombak dapat meningkat hingga USD 100 juta.
8. Malware yang menyamar sebagai software legal
Trojan Horse merupakan malware yang menyamar menjadi program yang sah untuk mengelabui pengguna. Malware ini akan terus bersembunyi di komputer sampai program tersebut dibuka. Setelah aktif, pelaku dapat mengintai aktivitas, mencuri data sensitif, bahkan mengakses sistem komputer secara penuh. Trojan biasanya berasal dari aktivitas phishing melalui email atau website yang dikunjungi.
Mengapa Strategi Keamanan Siber Gagal di Banyak Perusahaan
Meskipun banyak perusahaan di Indonesia telah mengalokasikan dana untuk keamanan siber, sebagian besar strategi mereka masih gagal dalam menghadapi ancaman yang semakin kompleks. Beberapa faktor fundamental berikut menjadi penyebab utama kegagalan tersebut.
Kurangnya pelatihan dan kesadaran karyawan
Karyawan seharusnya menjadi garda terdepan dalam pertahanan keamanan siber organisasi. Namun, hampir 70% responden survei meyakini bahwa karyawan mereka kurang memiliki pengetahuan keamanan siber yang penting. Banyak karyawan, terutama yang tidak memiliki latar belakang teknologi, menganggap ancaman siber sebagai sesuatu yang abstrak dan jauh dari kehidupan sehari-hari.
Sebagian besar karyawan masih beranggapan bahwa keamanan siber adalah tanggung jawab tim IT semata. Akibatnya, ketika dihadapkan dengan deadline yang mendesak, prosedur keamanan sering diabaikan demi menyelesaikan tugas lebih cepat. Meskipun begitu, 86% pimpinan menyatakan karyawan mereka memandang pelatihan keamanan secara positif.
Investasi keamanan yang tidak sebanding dengan risiko
Banyak eksekutif keamanan lebih fokus pada aspek kepuasan pelanggan, kecepatan waktu ke pasar, dan efisiensi biaya daripada pelatihan keamanan menyeluruh. Terlebih lagi, distribusi pelatihan keamanan sering tidak berdasarkan pertimbangan yang jelas, sehingga hanya diberikan kepada sebagian kecil staf.
BSSN melaporkan lebih dari 350 juta serangan siber di Indonesia hingga akhir tahun 2023, dengan sebagian besar serangan menyasar perusahaan swasta dan lembaga pemerintahan. Meskipun ancaman terus meningkat, investasi keamanan masih belum sebanding dengan risiko yang dihadapi.
Ketiadaan rencana tanggap insiden yang jelas
Hanya sekitar 45% organisasi yang memiliki rencana tanggap insiden yang terdokumentasi dengan baik. Padahal, rencana respons insiden (Incident Response Plan/IRP) sangat penting untuk memastikan organisasi dapat bereaksi efektif saat menghadapi insiden keamanan siber.
Tanpa rencana yang jelas, respons terhadap kejadian bisa terhambat oleh kebingungan dan ketidakjelasan peran. Oleh karena itu, IRP yang baik harus mencakup prosedur deteksi, tanggap, komunikasi, dan evaluasi pasca-insiden.
Ketergantungan pada solusi lama yang tidak relevan
Banyak perusahaan masih mengandalkan solusi keamanan pasif seperti firewall dan antivirus sebagai satu-satunya bentuk perlindungan. Sebenarnya, alat-alat tersebut tidak cukup untuk menghadapi kompleksitas ancaman siber modern yang terus berevolusi.
Hampir semua situs pemerintah yang dibuat sejak akhir 1990-an atau awal 2000-an tidak dilengkapi dengan sistem pengamanan siber yang memadai. Sistem IT sering kali tidak melalui proses evaluasi keamanan secara berkala, sehingga infrastruktur yang menggunakan perangkat lama (legacy systems) menjadi rentan terhadap eksploitasi.
Langkah Proaktif yang Harus Diambil CEO Mulai Sekarang
Menghadapi ancaman siber yang semakin canggih, CEO perlu mengambil langkah proaktif daripada hanya bersikap reaktif. Berikut lima strategi penting yang harus segera diterapkan untuk memperkuat pertahanan siber perusahaan.
Audit keamanan siber menyeluruh
Cybersecurity audit merupakan proses sistematis untuk mengevaluasi seluruh kebijakan keamanan, kontrol sistem, dan kepatuhan terhadap regulasi. Dengan audit yang tepat, perusahaan dapat mengidentifikasi celah tersembunyi dan memastikan sistem telah memenuhi standar. Audit tidak hanya memeriksa sistem, tetapi juga mencakup kebijakan internal, arsitektur IT, jaringan, hingga kontrol akses.
Untuk praktik terbaik, lakukan audit keamanan siber minimal satu kali dalam setahun, atau lebih sering jika terjadi perubahan besar pada sistem IT. Menurut data, perusahaan rata-rata mengalami kerugian mencapai Rp 63.420,46 juta akibat tidak menerapkan cybersecurity audit.
Implementasi Zero Trust Architecture
Zero Trust Architecture (ZTA) adalah pendekatan keamanan yang beroperasi dengan prinsip “jangan percaya, selalu verifikasi” alih-alih memberikan kepercayaan implisit kepada pengguna di dalam jaringan. Menurut laporan TechTarget Enterprise Strategy Group tahun 2024, lebih dari dua pertiga organisasi telah menerapkan kebijakan zero trust di seluruh perusahaan mereka.
Strategi ini memindahkan fokus dari perimeter jaringan dan menempatkan kontrol keamanan di sekitar sumber daya individual. Setiap titik akhir, pengguna, dan permintaan koneksi harus diautentikasi dan diotorisasi setiap kali mereka terhubung ke sumber daya baru.
Kolaborasi dengan BSSN dan penyedia keamanan
Sinergi dengan Badan Siber dan Sandi Negara (BSSN) menjadi langkah strategis dalam memperkuat ketahanan siber perusahaan. BSSN berperan aktif mendorong pembentukan Cyber Security and Incident Response Team (CSIRT) di lingkungan Informasi Infrastruktur Vital (IIV).
Dalam kunjungan ke kantor BSSN di Jakarta Selatan, Dewan Pertahanan Nasional (DPN) membahas penguatan kerja sama antarlembaga untuk menghadapi tantangan keamanan siber. BSSN bahkan menekankan pentingnya dukungan untuk percepatan terwujudnya Undang-Undang Keamanan dan Ketahanan Siber (KKS).
Penerapan AI untuk deteksi ancaman real-time
Kecerdasan Buatan (AI) memainkan peran penting dalam melindungi data dan sistem di era digital. Dengan algoritma canggih, AI dapat mengidentifikasi pola serangan, mengotomatisasi respons keamanan, dan memperkuat sistem secara keseluruhan.
IBM Security menawarkan solusi yang didukung AI untuk mempercepat deteksi ancaman, mempercepat respons, dan melindungi identitas pengguna serta kumpulan data. Teknologi ini memungkinkan sistem untuk mendeteksi ancaman secara real-time dan memberikan peringatan dini.
Pelatihan rutin dan simulasi serangan internal
Pelatihan cyber security bagi karyawan adalah program edukasi yang dirancang untuk membekali staf dengan pengetahuan dan keterampilan guna mengidentifikasi, mencegah, dan merespons ancaman siber. Program pelatihan harus mencakup simulasi serangan siber untuk memberikan pengalaman langsung dalam menangani ancaman.
Dengan mengikuti pelatihan keamanan siber, perusahaan dapat mengurangi risiko kebocoran data, meningkatkan kepatuhan terhadap regulasi, membangun budaya keamanan digital, dan meningkatkan kepercayaan mitra bisnis dan pelanggan.
Kesimpulan
Keamanan Siber Bukan Lagi Pilihan, Tetapi Keharusan
Setelah melihat data yang mengkhawatirkan tentang ancaman siber di Indonesia, kesimpulan yang dapat kita tarik sangatlah jelas. Keamanan siber telah berubah dari sekedar komponen teknologi menjadi prioritas bisnis strategis. Pertumbuhan serangan siber dari 12,8 juta pada 2018 menjadi lebih dari 1,2 miliar pada 2023 menunjukkan betapa krusialnya masalah ini.
Para CEO di Indonesia harus mulai memandang keamanan siber sebagai investasi, bukan beban biaya. Fakta bahwa hanya 39% organisasi yang memiliki kesiapan matang dalam menghadapi risiko siber modern seharusnya menjadi alarm bagi semua pemimpin perusahaan. Ironisnya, meskipun ancaman terus meningkat, kesadaran di tingkat manajemen puncak masih rendah.
Berbagai jenis serangan seperti insider threats, zero-day exploits, dan supply chain attacks terus berkembang menjadi lebih canggih. Akibatnya, strategi keamanan tradisional menjadi semakin tidak efektif. Perusahaan perlu beradaptasi dengan cepat dan mengembangkan pendekatan keamanan yang lebih komprehensif.
Selain itu, kurangnya pelatihan karyawan dan ketiadaan rencana tanggap insiden yang jelas menjadi faktor utama kegagalan banyak strategi keamanan siber. Oleh karena itu, pelatihan rutin dan simulasi serangan internal harus menjadi bagian integral dari setiap strategi keamanan.
Langkah proaktif seperti audit keamanan menyeluruh, implementasi Zero Trust Architecture, dan pemanfaatan AI untuk deteksi ancaman real-time tidak boleh ditunda lagi. Terlebih lagi, kolaborasi dengan BSSN dan penyedia keamanan profesional akan memperkuat pertahanan siber perusahaan secara signifikan.
Tantangan keamanan siber di Indonesia memang besar, tetapi dengan pemahaman yang tepat dan langkah-langkah proaktif, perusahaan dapat melindungi aset digital mereka dengan lebih efektif. Masa depan bisnis kita bergantung pada kemampuan adaptasi terhadap lanskap ancaman siber yang terus berubah.
Sudah saatnya para CEO Indonesia menyadari bahwa keamanan siber bukan lagi pilihan, melainkan keharusan yang akan menentukan kelangsungan bisnis di era digital ini. Persiapan terbaik dilakukan sebelum serangan terjadi, bukan setelahnya.