GAO: 70 Persen Sistem Air yang Diperiksa Memiliki Celah Keamanan Siber

Sistem Air Memiliki Pintu Masuk Digital

Saat membuka keran, kita jarang memikirkan komputer yang membantu menjaga sistem air tetap beroperasi. Namun, tinjauan GAO pada 2024 menemukan kelemahan keamanan siber pada sekitar 70 persen sistem air yang diperiksa EPA. Angka itu hanya berlaku untuk sistem yang diperiksa, bukan seluruh sistem di negara itu. Tanpa bukti bahwa kelompok tersebut mewakili kondisi nasional, persentase itu tidak bisa menunjukkan berapa banyak penyedia layanan air di seluruh negeri yang memiliki kelemahan serupa. (GAO)

Arti penting temuan ini bagi kebijakan bukan terletak pada upaya menyimpulkan kondisi nasional dari persentase tersebut, melainkan pada persoalan pengawasan yang diungkapnya. Pemeriksaan EPA menemukan kelemahan, sementara laporan GAO juga menelaah peran badan itu dalam menangani keamanan siber di sektor air. Pertanyaan utamanya: bagaimana risiko dikenali, apa tindak lanjut ketika kelemahan ditemukan, dan apakah ada pihak yang memastikan tindakan perbaikan telah tuntas? (GAO)

Fasilitas air bersih dan air limbah memakai perangkat digital untuk memantau serta mengoperasikan peralatan fisik, termasuk pompa dan proses pengolahan. Perangkat ini sering disebut teknologi operasional atau OT: komputer dan sistem kendali yang menjalankan mesin, bukan perangkat lunak perkantoran. Serangan siber terhadap perangkat tersebut dapat mengancam operasi fasilitas, meski dampaknya bergantung pada sistem dan perlindungan yang dimiliki masing-masing fasilitas. (NIST)

Ketergantungan itu menjadikan kesiapsiagaan bagian praktis dari persoalan infrastruktur. Jika kendali digital atau informasi yang diandalkan operator tidak lagi tersedia, petugas perlu tahu cara mengenali masalah, menjaga proses penting tetap berjalan jika memungkinkan, dan melaporkan insiden kepada pihak yang tepat. Ini menyangkut kesiapan operasional, bukan bukti bahwa setiap kelemahan keamanan siber akan mengganggu layanan. Sumber yang tersedia menunjukkan perlunya perhatian, tetapi tidak membuktikan bahwa dampaknya akan sama pada semua penyedia layanan air. (GAO; NIST)

Bukti yang ada mengarah pada satu pertanyaan konkret: bagaimana lembaga pemerintah dan penyedia layanan air dapat mengubah saran umum soal keamanan siber menjadi tindakan praktis yang terukur? Jawabannya perlu membedakan tiga tahap yang kerap tercampur dalam pembahasan publik: panduan diterbitkan, tindakan perbaikan dilakukan, dan pengurangan risiko diverifikasi. Rekomendasi hanyalah titik awal; temuan pemeriksaan menunjukkan adanya kelemahan. Masing-masing, jika berdiri sendiri, tidak membuktikan bahwa kelemahan tersebut sudah diperbaiki.

Apa yang Ditunjukkan Angka Hasil Pemeriksaan

Sistem air berbeda-beda dalam ukuran, peralatan, jumlah staf, dan kemampuan membiayai perbaikan. Penyedia layanan kecil dan penyedia regional besar mungkin menghadapi kendala praktis yang berbeda, sekalipun diminta mengikuti panduan umum yang sama. Tinjauan GAO menjadikan pengawasan federal bagian dari persoalan: otoritas perlu memahami risiko dengan lebih baik dan mengetahui apakah setiap sistem menindaklanjutinya. (GAO)

Halaman keamanan siber sektor air EPA menghimpun panduan dan sumber daya bagi penyedia layanan. Rekomendasi di dalamnya dapat menjadi titik awal, tetapi halaman web tidak bisa menunjukkan apakah fasilitas tertentu telah menyelesaikan peninjauan, memperbaiki kelemahan, atau berlatih menghadapi insiden. Kesenjangan antara saran dan tindakan yang telah diverifikasi inilah inti persoalan kebijakannya. (EPA)

Bagi warga, pertanyaan yang berguna bukan apakah penyedia layanan telah menerbitkan rencana keamanan siber, melainkan apakah penyedia itu dapat menjelaskan cara menilai risiko, siapa yang bertanggung jawab menanganinya, dan bagaimana layanan akan dikelola jika kendali digital tidak tersedia. Warga tidak perlu menilai sistem teknis untuk mengajukan pertanyaan tersebut. Pertanyaan itu membuat pelaporan publik tentang infrastruktur vital menjadi lebih konkret.

Pelajaran dari Aliquippa

Insiden nyata di Aliquippa, Pennsylvania, menunjukkan bagaimana penyusupan digital dapat berdampak pada infrastruktur air fisik. Pada November 2023, serangan siber menyasar peralatan di fasilitas air yang dioperasikan Municipal Water Authority of Aliquippa. CBS News melaporkan bahwa serangan itu tidak mengganggu layanan air, meski peralatan yang terdampak dihentikan operasinya. (CBS News)

Artinya bukan setiap penyusupan akan berakhir dengan cara yang sama. Kemampuan sistem untuk terus memberikan layanan dapat bergantung pada respons fasilitas, termasuk kemampuan operator menjaga proses tetap berjalan ketika perangkat disusupi atau dipisahkan dari sistem. Aliquippa adalah contoh insiden tertentu dengan dampak layanan yang dilaporkan, bukan bukti bahwa penyedia layanan lain menghadapi kondisi serupa. (CBS News)

Rekomendasi keamanan siber EPA untuk sektor air ditujukan untuk membantu penyedia layanan mengenali risiko dan memperkuat praktik mereka. Materi badan itu juga menguraikan langkah federal untuk mendukung sistem air. Namun, sumber publik tidak menyajikan catatan hasil yang terperinci dan dapat dibandingkan untuk setiap penyedia layanan yang menggunakan panduan tersebut. Pembaca perlu membedakan rekomendasi dan pengumuman dari perbaikan di fasilitas tertentu yang telah diverifikasi secara independen. (EPA recommendations report; EPA announcement)

Bagi pelanggan layanan air, langkah praktisnya sederhana: tanyakan apakah penyedia layanan memiliki rencana respons yang memperhitungkan kemungkinan peralatan tidak tersedia, dan apakah staf berlatih menjalankan rencana itu. Laporan tentang Aliquippa menunjukkan bahwa sebuah insiden dapat ditangani tanpa gangguan layanan yang dilaporkan. Namun, laporan tersebut tidak menjelaskan berapa banyak waktu, biaya, atau persiapan yang dibutuhkan untuk mencapai hasil itu. (CBS News)

Mengubah Panduan Menjadi Praktik

Panduan baru berguna ketika mengubah tindakan di lapangan—dan ketika ada pihak yang bisa memastikan perubahan itu benar-benar terjadi. Publikasi NIST tentang keamanan siber untuk sektor air bersih dan air limbah menyediakan panduan khusus sektor. Sasaran Kinerja Keamanan Siber CISA menawarkan praktik sukarela untuk membantu organisasi infrastruktur kritis memprioritaskan perlindungan dasar. CISA adalah badan federal yang bertanggung jawab atas keamanan siber dan keamanan infrastruktur. Namun, masing-masing sumber itu tidak dengan sendirinya membuktikan bahwa penyedia layanan tertentu telah menerapkan suatu langkah, mengurangi paparan risiko, atau memenuhi sasaran tersebut. (NIST; CISA)

Penyedia layanan dapat menunjukkan pelaksanaan langkah-langkah tersebut dengan mengidentifikasi sistem dan proses operasional yang paling penting, menilai risiko terkait, menunjuk penanggung jawab dan tenggat untuk setiap tindakan perbaikan prioritas, serta menguji kemampuan staf merespons ketika peralatan atau informasi digital tidak tersedia. Ini usulan langkah pelaporan, bukan pernyataan bahwa panduan yang dikutip mewajibkan satu daftar periksa baku. Nilainya terletak pada hubungan yang dibangun antara perencanaan teknis, keputusan manajemen, dan kesiapan operasional.

Rekomendasi Satuan Tugas Keamanan Siber Sektor Air juga dapat menjembatani prinsip umum dengan praktik penyedia layanan. Dokumen itu bertujuan menguraikan langkah-langkah untuk memperbaiki keamanan siber sektor air. Namun, rekomendasi bukanlah perbaikan yang sudah tuntas. Dokumen publik itu saja tidak membuktikan berapa banyak fasilitas yang telah menerapkan setiap langkah atau apa dampaknya. (EPA recommendations report)

Latihan siber nasional EPA yang dijadwalkan pada 2026 menawarkan bentuk pengujian berbeda: latihan kesiapsiagaan, bukan laporan tentang serangan nyata. Latihan dapat memberi kesempatan kepada organisasi peserta untuk berlatih berkoordinasi dan merespons. Keberadaan halaman EPA mengonfirmasi rencana latihan tersebut, tetapi tidak dengan sendirinya membuktikan siapa yang berpartisipasi, skenario apa yang diuji, atau pelajaran apa yang dihasilkan. (EPA 2026 National Cyber Drill)

Lembaga pemerintah perlu memperjelas bagaimana panduan berujung pada hasil. Penyedia layanan dan regulator dapat melaporkan dengan bahasa yang mudah dipahami apakah risiko utama telah dinilai, apakah latihan respons telah dilakukan, dan apakah masalah yang ditemukan sudah ditangani. Tanpa tindak lanjut semacam itu, warga sulit membedakan rekomendasi yang berguna dari perlindungan yang benar-benar diterapkan.

Pengawasan Harus Sejalan dengan Risiko

Menerbitkan satu lagi rekomendasi umum tidak akan menyelesaikan persoalan pengawasan. Tinjauan GAO mengidentifikasi sejumlah aspek yang perlu diperbaiki EPA dalam upaya keamanan sibernya. Karena itu, tindak lanjut menjadi tolok ukur penting bagi pengawasan federal: apakah kelemahan yang ditemukan memicu tindakan perbaikan, dan adakah cara untuk memastikan tindakan itu sudah tuntas? Laporan tersebut menempatkan peran EPA sebagai bagian dari persoalan, tetapi bukti yang disajikan di sini tidak mendukung klaim bahwa semua penyedia layanan menghadapi risiko yang sama atau membutuhkan solusi seragam. (GAO)

Laporan terpisah dari Kantor Inspektur Jenderal EPA menambahkan lapisan akuntabilitas dengan menelaah upaya keamanan siber badan itu di sektor air. Diterbitkan pada 2025 dan diperbaiki melalui dokumen errata, laporan tersebut membahas pekerjaan EPA—bukan penilaian terhadap setiap fasilitas di seluruh sektor air. Arti pentingnya terletak pada fakta bahwa kinerja federal juga ditinjau. Keberadaan laporan itu saja tidak membuktikan bahwa penyedia layanan tertentu telah mengatasi kelemahan tertentu. (EPA Office of Inspector General)

Sertifikat EPA OIG bertanggal Mei 2026 merupakan dokumen pengawasan resmi lainnya. Namun, sertifikat tidak sama dengan laporan terperinci yang terbuka untuk publik mengenai hasil operasional. Karena itu, sertifikat tersebut tidak dapat menggantikan bukti bahwa sistem air telah menangani risiko tertentu. Pembahasan publik perlu membedakan dengan jelas antara tindakan lembaga, temuan audit, dan perbaikan yang terdokumentasi. (EPA OIG certificate)

Kerangka akuntabilitas publik yang berguna perlu melacak rangkaian dari temuan hingga hasil, tanpa mengungkapkan informasi yang dapat membahayakan fasilitas. Lembaga pemerintah dapat melaporkan secara agregat jumlah penilaian yang diselesaikan, jumlah kekurangan prioritas yang sudah memiliki rencana perbaikan dan penanggung jawab, serta jumlah tindakan yang telah diverifikasi tuntas. Ini adalah usulan ukuran, bukan angka yang tercantum dalam dokumen-dokumen tersebut. Ukuran itu akan membantu publik membedakan “panduan diterbitkan” dari “pekerjaan diselesaikan”, sambil tetap melindungi informasi operasional yang sensitif.

Jadikan Pencegahan Bagian dari Infrastruktur

Belanja untuk keamanan siber bersaing dengan kebutuhan lain di sektor air, mulai dari pemeliharaan pipa hingga penggantian peralatan yang menua. Sumber-sumber yang tersedia tidak menghitung biaya kebutuhan-kebutuhan tersebut atau mengukur penghematan dari investasi keamanan siber tertentu. Klaim bahwa satu langkah keamanan akan mencegah gangguan layanan atau menurunkan tagihan melampaui bukti yang ada.

Bukti yang tersedia mendukung pendekatan untuk memperlakukan keamanan siber sebagai bagian dari pengoperasian dan pemeliharaan infrastruktur air, bukan proyek teknologi pilihan. Panduan EPA, publikasi sektoral NIST, dan sasaran kinerja CISA menyediakan perangkat untuk perencanaan; GAO dan inspektur jenderal EPA menawarkan sudut pandang pengawasan; sementara insiden Aliquippa menunjukkan pentingnya kemampuan merespons. Tak satu pun dari sumber tersebut, jika berdiri sendiri, membuktikan bahwa penyedia layanan tertentu terlindungi sepenuhnya. (EPA; NIST; CISA; GAO; CBS News)

Bagi penyedia layanan, langkah praktis berikutnya adalah menggunakan panduan yang tersedia untuk mengenali risiko operasional paling penting, menetapkan penanggung jawab untuk menanganinya, dan melatih respons dengan tetap mengutamakan kelangsungan layanan vital. Bagi EPA, Kongres, dan regulator negara bagian, prioritasnya ialah memperjelas tindak lanjut dan pelaporan publik, serta membedakan rekomendasi yang diterbitkan dari perbaikan yang telah diverifikasi. Langkah-langkah ini tidak akan menghapus risiko, tetapi dapat memperjelas bagian mana yang perlu ditangani dan apakah upaya perbaikan berjalan efektif.

Dalam dua tahun ke depan, nilai latihan siber nasional EPA pada 2026 akan ditentukan oleh tindak lanjut setelah latihan: pelajaran yang dipublikasikan, pembagian tanggung jawab yang jelas, dan langkah lanjutan yang terukur. EPA perlu membuka hasil tersebut kepada penyedia layanan air dan publik, sembari melindungi informasi sensitif tentang fasilitas. Tuntut tindak lanjut, agar rencana di atas kertas benar-benar menjadi perlindungan yang dapat diandalkan.