Bukan Cuma Hacker: Satu Klik di Kapal Bisa Menjadi Ancaman Keselamatan

 

Bekerja di Kapal dan Offshore di Era Digital: Mengapa Cyber Marine Security Kini Menjadi Bagian dari Keselamatan

Ancaman Siber Mengintai Kapal dan Pelabuhan, Kesiapsiagaan Sektor Maritim Indonesia Makin Penting

eMaritim.com — Perspektif Maritim

Selama bertahun-tahun, keselamatan kerja di kapal dan fasilitas offshore identik dengan bahaya yang terlihat: cuaca buruk, gelombang tinggi, kebakaran, ledakan, lifting operation, confined space, machinery failure hingga human error.

Namun, di tengah semakin digitalnya industri maritim, muncul satu jenis risiko yang tidak terlihat tetapi dapat memengaruhi operasi secara nyata:

cyber risk.

Masalahnya, cyber security masih sering dianggap sebagai urusan departemen IT.

Padahal kapal modern dan fasilitas offshore semakin bergantung pada teknologi informasi dan Operational Technology (OT) untuk menjalankan, memonitor, mengendalikan, dan mendukung berbagai aktivitas operasional.

IMO mendefinisikan maritime cyber risk sebagai risiko ketika suatu aset teknologi dapat terancam oleh suatu kejadian yang menyebabkan kegagalan operasional, keselamatan atau keamanan akibat informasi atau sistem yang rusak, hilang atau dikompromikan. Tujuan akhirnya bukan sekadar melindungi komputer, tetapi memastikan pelayaran tetap aman dan operasionalnya tangguh menghadapi risiko siber.

Dengan kata lain:

Cyber Security di kapal bukan hanya masalah data. Ini juga masalah safety.

Ketika Komputer Bertemu dengan Mesin

Kapal masa kini bukan lagi sekadar kumpulan mesin mekanis.

Di anjungan terdapat berbagai perangkat digital dan elektronik untuk mendukung navigasi dan komunikasi.

Di engine room terdapat sistem monitoring dan automation.

Pada kapal tertentu terdapat integrated systems yang menghubungkan berbagai perangkat.

Di pelabuhan terdapat sistem digital untuk cargo, terminal operation, gate access, dokumentasi dan pertukaran data.

Sementara pada fasilitas offshore, digitalisasi dapat menjadi lebih kompleks karena operasi melibatkan berbagai sistem komunikasi, monitoring, automation, machinery control dan koneksi dengan fasilitas di darat.

Di sinilah muncul perbedaan penting antara Information Technology (IT) dan Operational Technology (OT).

IT pada dasarnya berkaitan dengan pengelolaan informasi dan data.

OT berhubungan dengan sistem yang memonitor atau mengendalikan perangkat, proses dan kejadian fisik.

Pedoman industri tentang cyber security onboard ships menekankan bahwa meningkatnya konektivitas antara IT dan OT juga dapat meningkatkan potensi kerentanan cyber.

Karena itu, ketika seseorang mengatakan:

"Saya bukan orang IT."

jawabannya mungkin benar.

Tetapi bukan berarti orang tersebut tidak mempunyai peran dalam cyber security.

Dari Laptop ke Operational Safety

Bayangkan seorang engineer membawa laptop untuk melakukan pekerjaan maintenance.

Seorang technician menggunakan USB untuk memindahkan file.

Seorang vendor melakukan remote troubleshooting.

Seorang crew menghubungkan perangkat ke jaringan kapal.

Seorang operator menerima email yang terlihat seperti berasal dari kantor.

Semua kegiatan tersebut mungkin merupakan aktivitas normal.

Tetapi setiap perangkat, akun, media penyimpanan dan koneksi dapat menjadi bagian dari cyber attack surface apabila tidak dikelola dengan benar.

Itulah sebabnya cyber risk management tidak dapat hanya diserahkan kepada IT department.

IMO menyatakan bahwa sistem IT dan OT di kapal dapat menjadi sasaran serangan siber dan kompromi terhadap sistem tersebut berpotensi memberikan dampak serius terhadap keselamatan dan keamanan kapal, pelabuhan, fasilitas maritim serta sistem transportasi laut.

Bagaimana Risiko Siber Memengaruhi Offshore Drilling?

Persoalan ini menjadi semakin penting ketika kita berbicara mengenai offshore drilling dan offshore energy operations.

Fasilitas offshore modern semakin mengandalkan sistem digital untuk mendukung kegiatan operasi dan maintenance.

Ada sistem monitoring.

Ada automation.

Ada komunikasi.

Ada remote support.

Ada data transfer.

Ada condition monitoring.

Ada berbagai sistem yang memungkinkan informasi dari lokasi offshore dikirimkan ke shore-based operation.

Semua teknologi tersebut memberikan keuntungan besar.

Tetapi semakin banyak koneksi berarti semakin banyak pula hal yang harus diperhitungkan dalam cyber risk assessment.

Pedoman Cyber Security Onboard Ships bahkan memasukkan offshore sebagai salah satu contoh konteks yang dapat menggunakan pendekatan cyber risk management.

Maka pertanyaan penting bukan:

"Apakah offshore harus kembali menggunakan sistem manual?"

Tentu bukan.

Pertanyaannya adalah:

"Bagaimana digitalisasi offshore dapat dilakukan dengan cyber resilience yang memadai?"

Ancaman Tidak Selalu Datang dari Hacker yang Terlihat

Ketika mendengar istilah cyber attack, banyak orang langsung membayangkan seorang hacker yang sedang menyerang komputer dari tempat yang jauh.

Dalam kenyataannya, pintu masuk sebuah serangan dapat jauh lebih sederhana.

Misalnya:

Phishing

Seseorang menerima email palsu yang terlihat seperti komunikasi resmi.

Malware

Sebuah file atau perangkat membawa program berbahaya.

Compromised password

Password jatuh ke tangan pihak yang tidak berhak.

Unauthorized remote access

Seseorang mendapatkan akses yang seharusnya tidak dimiliki.

Unsafe USB

Media penyimpanan digunakan tanpa pemeriksaan yang memadai.

Uncontrolled personal device

Perangkat pribadi dihubungkan ke sistem operasional.

Human error

Seseorang melakukan tindakan yang tidak disadari dapat membuka celah keamanan.

Karena itu, cyber security tidak hanya membutuhkan teknologi.

Dibutuhkan juga manusia yang sadar risiko.

Human Factor: Titik Lemah yang Sering Dilupakan

Dalam dunia keselamatan maritim, kita sudah lama memahami konsep human factor.

Banyak kecelakaan bukan semata-mata karena mesin rusak, tetapi juga karena keputusan, komunikasi, prosedur, kelelahan, kurangnya training atau kesalahan manusia.

Prinsip yang sama berlaku pada cyber security.

Seseorang tidak harus berniat buruk untuk menyebabkan cyber incident.

Cukup:

tidak tahu → salah klik → salah koneksi → sistem terganggu.

Karena itu cyber awareness harus dibangun pada semua tingkatan organisasi.

Mulai dari:

• senior management,
• shore management,
• Master,
• Chief Engineer,
• deck officer,
• engineer,
• ETO,
• rating,
• drilling crew,
• operator,
• maintenance personnel,
• contractor,
• vendor,
• hingga personel pendukung.

IMO juga menekankan bahwa cyber risk management yang efektif perlu dimulai dari tingkat manajemen dan menjadi bagian dari budaya organisasi di berbagai level dan departemen.

"Saya Tidak Mengerti Cyber Security"

Pernyataan tersebut masih sangat sering terdengar.

Dan sebenarnya seorang pelaut tidak perlu menjadi cybersecurity engineer.

Seorang Chief Engineer tidak perlu menjadi penetration tester.

Seorang Master tidak perlu memahami seluruh konfigurasi network.

Seorang Driller tidak harus menjadi SOC analyst.

Namun setiap personel perlu mengetahui basic cyber hygiene.

Minimal memahami:

Jangan sembarang menggunakan USB

Pastikan media penyimpanan mengikuti prosedur perusahaan.

Jangan sembarang menghubungkan laptop

Perangkat pribadi atau perangkat vendor harus mengikuti prosedur akses yang berlaku.

Jangan membagikan password

Credential adalah bagian dari pengamanan akses.

Waspadai email dan attachment

Email yang terlihat resmi belum tentu benar.

Jangan mengabaikan gejala aneh

Komputer, network atau perangkat operasional yang menunjukkan perilaku tidak normal harus dilaporkan.

Jangan mencoba memperbaiki sistem kritis tanpa kewenangan

Dalam kondisi tertentu, tindakan "membantu" justru dapat memperburuk incident.

Bagaimana Jika Sistem Tiba-Tiba Bermasalah?

Bayangkan sebuah situasi:

Sebuah komputer operasional tiba-tiba menunjukkan perilaku yang tidak biasa.

Ada file yang berubah.

Koneksi tiba-tiba terputus.

Akun tidak dapat digunakan.

Muncul pesan yang tidak dikenal.

Atau perangkat yang biasanya bekerja normal tiba-tiba menunjukkan gejala aneh.

Respons pertama bukan:

"Saya coba perbaiki sendiri."

Tetapi:

STOP – ISOLATE AS REQUIRED – REPORT – FOLLOW PROCEDURE

Tindakan spesifik tentu harus mengikuti prosedur cyber incident response perusahaan dan karakteristik sistem yang terdampak.

Yang penting adalah jangan memperluas masalah dan jangan menghilangkan informasi penting yang dapat membantu investigasi.

Cyber Risk Sudah Masuk ke Safety Management

Cyber security bukan lagi isu masa depan.

IMO pada 2017 mengadopsi Resolution MSC.428(98) – Maritime Cyber Risk Management in Safety Management Systems.

Resolusi tersebut mendorong agar cyber risk ditangani dalam Safety Management System sesuai tujuan dan persyaratan ISM Code. IMO juga telah menerbitkan Guidelines on Maritime Cyber Risk Management sebagai panduan bagi industri.

Artinya, perusahaan tidak seharusnya melihat cyber risk sebagai proyek IT yang berdiri sendiri.

Cyber risk perlu dipertimbangkan dalam kerangka:

Risk Assessment → Prevention → Detection → Response → Recovery

Sama seperti risiko operasional lainnya.

Kapal yang Aman Harus Semakin Cyber-Resilient

Konsep keselamatan kapal selama ini berkembang mengikuti teknologi.

Dulu kita berbicara tentang:

SOLAS – ISM – ISPS – STCW – SMS

Kemudian berkembang dengan berbagai sistem elektronik, automation dan digitalization.

Sekarang kita memasuki fase baru:

Cyber Resilience.

Tujuannya bukan menjamin bahwa serangan siber tidak akan pernah terjadi.

Itu hampir mustahil.

Tujuan yang lebih realistis adalah memastikan bahwa ketika sebuah cyber incident terjadi:

1. ancaman dapat diketahui,
2. dampak dapat dibatasi,
3. operasi kritis dapat dipertahankan,
4. incident dapat direspons,
5. sistem dapat dipulihkan,
6. dan pelajaran dapat digunakan untuk mencegah kejadian serupa.

Itulah hakikat resilience.

Jangan Menunggu Sampai Terjadi Insiden

Salah satu masalah dalam cyber security adalah kita sering baru menyadari pentingnya keamanan setelah terjadi gangguan.

Padahal pencegahan dapat dimulai dari hal-hal sederhana.

Perusahaan dapat meningkatkan:

• cyber awareness training,
• risk assessment,
• access control,
• password management,
• network segmentation,
• backup,
• patch management,
• device control,
• remote access control,
• incident response plan,
• drills dan exercises,
• vendor management,
• serta cyber security awareness bagi crew.

Untuk pekerja kapal dan offshore, training juga harus dibuat praktis dan sesuai pekerjaan, bukan hanya teori IT.

Cyber Drill: Mengapa Tidak Seperti Fire Drill?

Di kapal kita terbiasa melakukan:

Fire Drill.

Abandon Ship Drill.

Enclosed Space Rescue Drill.

Security Drill.

Lalu mengapa tidak mulai memperkenalkan:

Cyber Incident Exercise?

Tidak harus rumit.

Skenarionya bisa sederhana:

"Laptop maintenance terindikasi malware."

Kemudian tim mendiskusikan:

• siapa yang harus diberitahu?
• siapa yang berwenang memutuskan?
• apakah perangkat harus diisolasi?
• bagaimana menjaga evidence?
• bagaimana pekerjaan tetap berlangsung?
• kapan shore management harus diberitahu?
• bagaimana sistem dipulihkan?

Latihan semacam ini dapat meningkatkan kesiapan tanpa harus menunggu serangan sungguhan.

Indonesia Tidak Bisa Mengabaikan Ancaman Ini

Indonesia merupakan negara kepulauan dengan aktivitas pelayaran, pelabuhan, terminal, offshore energy dan industri maritim yang sangat besar.

Di tengah digitalisasi tersebut, ketahanan sistem digital menjadi bagian penting dari ketahanan sektor maritim.

IMO saat ini terus mengembangkan pendekatan terhadap cyber resilience. Dalam perkembangan terbaru, Maritime Single Window juga menjadi perhatian cyber security; IMO mencatat bahwa pada FAL 50 telah disetujui rancangan amendemen yang akan memperkuat perlindungan dan resilience sistem digital yang digunakan untuk pertukaran informasi antara kapal, pelabuhan dan otoritas. Rancangan tersebut akan diajukan untuk adopsi pada FAL 51 pada 2027.

Ini menunjukkan satu hal:

Digital maritime security akan semakin menjadi bagian dari agenda keselamatan dan keamanan maritim dunia.

Dari "Safety First" Menjadi "Safety + Cyber Safety"

Sudah waktunya lingkungan maritim mulai memperluas cara pandangnya.

Ketika melakukan toolbox meeting, kita bertanya:

Apa bahaya pekerjaan hari ini?

Ke depan, dapat ditambahkan:

Apa cyber risk dari pekerjaan hari ini?

Ketika melakukan risk assessment:

Apa yang dapat menyebabkan kecelakaan?

Tambahkan:

Apakah ada sistem digital yang dapat memengaruhi risiko tersebut?

Ketika vendor datang:

Apa pekerjaan yang akan dilakukan?

Tambahkan:

Akses digital apa yang diperlukan dan bagaimana akses tersebut dikendalikan?

Ketika menggunakan perangkat:

Apakah perangkat tersebut diperlukan?

Tambahkan:

Apakah perangkat tersebut aman untuk dihubungkan ke sistem operasional?

Pertanyaan-pertanyaan sederhana seperti ini dapat mengubah budaya organisasi.

Cyber Security Adalah Tanggung Jawab Bersama

Cyber Marine Security bukan pekerjaan eksklusif IT department.

Bukan hanya tanggung jawab Master.

Bukan hanya tanggung jawab Chief Engineer.

Bukan hanya tanggung jawab ETO.

Dan bukan hanya tanggung jawab shore management.

Ini adalah tanggung jawab bersama.

Karena satu kelemahan kecil dapat menjadi pintu masuk menuju masalah yang jauh lebih besar.

Di era kapal pintar, automation, remote monitoring, digital port dan offshore operation yang semakin terkoneksi, seorang pekerja maritim harus memiliki dua kesadaran sekaligus:

Safety Awareness

dan

Cyber Awareness.

Keduanya semakin sulit dipisahkan.

Penutup: Ancaman yang Tidak Terlihat Harus Dihadapi dengan Kesadaran

Kapal mungkin terlihat aman dari luar.

Mesin mungkin bekerja normal.

Anjungan mungkin berjalan seperti biasa.

Operasi offshore mungkin berlangsung tanpa gangguan.

Tetapi di balik semua itu terdapat jaringan digital yang semakin kompleks.

Dan jaringan tersebut juga membutuhkan perlindungan.

Serangan siber tidak selalu dimulai dengan sesuatu yang spektakuler.

Kadang hanya dimulai dari:

satu klik.

Satu password.

Satu USB.

Satu laptop.

Satu koneksi remote.

Atau bahkan satu kesalahan kecil karena kurangnya awareness.

Karena itu, sudah saatnya cyber security tidak lagi dianggap sebagai istilah asing bagi pekerja maritim.

Bagi industri pelayaran dan offshore Indonesia, pesan sederhananya adalah:

CYBER SECURITY IS MARITIME SAFETY.

Semakin cepat kesadaran tersebut tumbuh di kapal, pelabuhan dan fasilitas offshore, semakin siap pula industri maritim Indonesia menghadapi era digital yang semakin terkoneksi.

eMaritim.com