Sistem Sirekap Dinilai Lemah, Layanan "Cloud" Disebut Terkoneksi Alibaba di China

JAKARTA, KOMPAS.com - Lembaga Studi dan Advokasi Masyarakat ELSAM dan Cyberity menyoroti lemahnya keamanan data pada Sistem Informasi Rekapitulasi (Sirekap) pemilihan umum (Pemilu) 2024.

Direktur Eksekutif ELSAM Wahyudi Djafar mengatakan, pihaknya menyoroti lemahnya akurasi dan daya akses aplikasi Sirekap.

Selain itu, ELSAM menyoroti ancaman dan risiko terkait dengan kerahasiaan, integritas, dan ketersediaan data yang diproses Sirekap.

"Teridentifikasi bahwa Sirekap memakai IP dengan AS (Autonomous System) detail number AS45102, yang merupakan kode yang melekat pada Alibaba Cloud Private Ltd (Aliyun) di Singapura," kata Wahyudi dalam siaran pers, Minggu (18/2/2024). 

Baca juga: PKS Minta KPU Evaluasi Sirekap Karena Data Bermasalah

Apabila dilihat dari lokasi IP tersebut, domain sirekap-web.kpu.go.id dikendalikan di datacenter Aliyun di Jakarta.

"Untuk memastikan dugaan serta simpang siurnya lokasi penyimpanan data, Komisi Pemilihan Umum (KPU) perlu melakukan mengklarifikasi serta menjelaskan pada publik, karena hal ini menyangkut penyelenggaraan pemilu yang transparan dan kepercayaan pada hasil pemilu," ujar Wahyudi.

Sejalan dengan itu, lanjut dia, ancaman serangan siber juga meningkat, khususnya setelah hari pencoblosan Pemilu 2024. 

Data ELSAM mencatat, adanya peningkatan serangan siber ke Indonesia pada 15 Februari 2024 atau sehari setelah penyelenggaraan pemilu.

"Sedikitnya terjadi 718.751 serangan (https://honeynet.bssn.go.id/). Angka ini merupakan serangan tertinggi dalam sehari pada tiga bulan terakhir, di mana tren kenaikan seperti ini terjadi juga menjelang dan pada saat Pemilu 2019," kata Wahyudi. 

Baca juga: Drone Emprit Beberkan Mengapa Suara Anies Sempat Melonjak di Sirekap, Lalu Kembali Turun

Cyberity juga menemukan bahwa sistem pemilu2024.kpu.go.id dan sirekap-web.kpu.go.id menggunakan layanan cloud yang lokasi servernya berada di China, Perancis, dan Singapura.

"Layanan cloud tersebut merupakan milik layanan penyedia internet (ISP) raksasa Alibaba," kata Ketua Cyberity Arif Kurniawan dalam keterangan tertulis, Sabtu (17/2/2024).

Posisi data dan lalu lintas email pada dua lokasi di atas, sebut Arif, berada dan diatur di luar negeri, tepatnya di China.

Selain itu, Arif juga mengatakan, terdapat celah kerawanan keamanan siber pada aplikasi pemilu2024.kpu.go.id.

"Ketidakstabilan aplikasi Sirekap, Sistem Informasi Rekapitulasi Suara, dan Manajemen Relawan terjadi justru ketika pada masa krusial, masa pemilu dan beberapa hari setelahnya," kata Arif.

Baca juga: Suara 4 Caleg Menggelembung hingga 800 Suara, KPU Lampung: Sirekap Eror

Aturan PSE

Sementara itu, Wahyudi mengatakan bahwa PSE (penyelenggara sistem elektronik) publik harus sepenuhnya merujuk pada sejumlah pra-syarat yang telah diatur dalam UU Informasi dan Transaksi Elektronik (UU ITE), juga PP No. 71/2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik (PP PSTE).

Ketentuan Pasal 15 (1) UU ITE, kata dia, setidaknya menegaskan bahwa setiap PSE harus menyelenggarakan sistem elektronik secara andal dan aman, serta bertanggung jawab terhadap beroperasinya sistem tersebut. 

"Selain itu, dalam Pasal 16 ayat (1) UU ITE, juga ditegaskan bahwa setiap PSE harus mampu menjamin keutuhan dan keotentikan informasi elektronik yang diprosesnya, dengan tujuan menjaga integritas informasinya," kata Wahyudi. 

Baca juga: CEK FAKTA: Penjelasan KPU Terkait Suara Anies Berkurang 3 Juta di Aplikasi Sirekap

"Dalam konteks ini pula, dugaan penggunaan cloud Alibaba, kemudian memunculkan perdebatan, terutama terkait dengan risiko dan ancaman terhadap integritas data yang diprosesnya," ujar dia.

Dalam upaya menjaga integritas data yang diproses PSE Publik, Pasal 20 ayat (2) PP PSTE mewajibkan seluruh PSE publik untuk melakukan pengelolaan, pemrosesan, dan penyimpanan datanya di dalam negeri.

"Kecuali teknologinya belum tersedia, sehingga dilakukan di luar negeri (Pasal 20 (3) PP PSTE)," ujar Wahyudi.

"Kriteria teknologi penyimpanan tidak tersedia di dalam negeri, harus diputuskan oleh sebuah komite antar-kementerian, yang setidaknya harus melibatkan Kominfo, BRIN, BSSN, dan KPU (Pasal 20 (4) PP PSTE)," kata dia.