‘The year of ransomware’, begitulah James McLeary, Associate Managing Director Kroll Company menggambarkan kondisi cyber industry di tahun 2020. Di era ini, data tak ubahnya layak senjata. Kapan saja dan dari mana saja, ancaman peretasan dan pembongkaran data ke publik menjadi hal yang penting untuk diantisipasi. Salah satu kelas malware yang belakangan ini mencuri perhatian global adalah perangkat lunak berbahaya ransomware.
Setelah terinfeksi ransomware, sistem komputer Anda akan mati fungsi. Berikutnya akan muncul pesan yang meminta sejumlah bayaran agar komputer tersebut bisa berfungsi kembali. Intinya, ransomware merupakan salah satu malware berbentuk skema penghasil uang secara kriminal yang dipasang melalui tautan dalam email, situs web, atau teknik lain yang lebih canggih.
Motif ancaman atas serangan ransomware beraneka ragam. Di antaranya bisa dilakukan untuk menjual data curian kepada pesaing, menggunakan data yang dicuri untuk menyerang mitra bisnis korban hingga bahkan mempublikasikan rahasia kotor para korban untuk dipublikasikan secara meluas kepada publik. Tak ditampik oleh James, kondisi pandemi kerap dimanfaatkan oleh kelompok operator ransomware. Sodinokibi, CLOP, Maze, DoppelPaymer dan Sekhmet dari penelusuran Hukumonline merupakan beberapa contoh ransomware yang produktif belakangan ini.
“Sekitar 15 kelompok ransomware telah mengembangkan banyak platform online untuk mempublikasikan data yang telah dicuri. Dan karena sifatnya yang begitu eksploitatif, jenis pelanggarannya kerap diklasifikasikan sebagai bentuk data breach,” ungkap James dalam sebuah diskusi tahunan Techlawfest 2020 kerjasama Singapore Academy of Law (SAL) dan Ministry of Law Singapura.
Cukup mengejutkan, sepanjang 2020 Kroll mencatat ransomware menjadi kelas malware dengan kasus terbanyak yang dilakukan kelompok peretas dibandingkan kelas malware lainnya. Berikut grafik yang ditayangkan James di sela-sela diskusi:
Berbagai kasus ransomware yang kian marak terjadi secara global telah memacu perkembangan pengaturan perlindungan data pribadi di berbagai negara, khususnya terkait bagaimana data konsumen terproteksi dengan baik. Tahun ini, Mark Parsons, Partner dari firma hukum Hogan Lovells Hongkong menyebut Kawasan Asia Pasifik (APAC) menjadi target kunci dari serangan ransomware. Lantas seberapa siapkah regulasi perlindungan data di Kawasan APAC mengantisipasi hal itu?
Sebagai informasi awal, beberapa negara di Kawasan APAC disebut Mark sebetulnya sudah mengatur lebih awal soal perlindungan data pribadi bahkan sebelum EU GDPR berlaku di tahun 2018. Sebut saja Australia yang mengatur di tahun 1988, New Zealand (1993), Hongkong (1995) dan Jepang (2003). (Baca: Kebebasan Informasi dan Perlindungan Data Pribadi Saling Memagari)
Regulasi di negara-negara itu mengacu pada OECD guidelines on the protection of privacy and transborder flows of personal data 1980. Pasca lahirnya APEC privacy framework (2004) juga berdampak pada mulai banyak lagi negara yang sadar akan pentingnya perlindungan data. Beberapa negara dimaksud seperti Singapura (2014), Filipina (2012), Taiwan (2012), Korea Selatan (2011), Malaysia (2013), China (PRC) cyber security law (2017), dan Thailand (2020).
Namun tak seperti EU, Mark menyebut regulasi terkait cybersecurity di Kawasan APAClebih terfragmentasi antar negara dengan pendekatan prioritas perlindungan yang berbeda-beda antar satu yurisdiksi dengan yurisdiksi lain. China dengan PRC Cyber Security law lebih menekankan model kedaulatan siber (cyber sovereignty) dengan aturan yang lebih terfokus pada penguatan infrastruktur keamanan siber secara spesifik dan komprehensif.
Inti dari konsep cyber sovereignty adalah bagaimana negara bisa berdaulat atas keamanan siber di negara sendiri, tak boleh ada negara lain yang mencampuri, terlibat, bahkan merusak sistem keamanan siber negara lain. Untuk itu penguatan infrastruktur negara dalam hal keamanan siber menjadi prioritas. (Baca: Mencari Konsep Ideal Otoritas Independen Perlindungan Data Pribadi)
Tak jauh berbeda dari China, titik fokus penguatan perlindungan data di Singapura juga berporos pada pengembangan infrastruktur teknologi. Melalui Singapore Cybersecurity Act, Pemerintah Singapura mendesign secara tersistem infrastruktur teknologi apa saja yang bisa dikembangkan untuk penguatan keamanan siber (memetakan mulai dari infrastruktur terpenting sebagai prioritas untuk direalisasikan).
Hongkong melalui Hongkong Monetary Authority Cyber Fortification Initiative, kata Mark, menekankan perlindungan data yang terfokus untuk mengamankan industri vital negara (key industries). Mengutip census and statisctics department Hongkong, Terdapat 4 industri vital yang paling berpengaruh terhadap pertumbuhan ekonomi negara Hongkong, termasuk jasa keuangan (financial services), pariwisata, perdagangan dan logistik serta produsen dan jasa professional. Karena sifatnya yang vital, tentu tak sedikit malicious attack yang dialamatkan terhadap keempat sektor industri ini. Berangkat dari situlah berbagai upaya penguatan keamanan cyber di Hongkong semakin diperkuat.
Ada juga beberapa negara yang menekankan pendekatan persyaratan notifikasi (pemberitahuan) kepada lembaga yang ditunjuk negara bilamana terjadi kebocoran data (incident notification requirements), khususnya di bidang industri telekomunikasi. India melalui India The Indian Computer Emergency Response team (CERT-In) memberlakukan persyaratan pemberitahuan itu secara mandatory (wajib), sementara Australia memberlakukan syarat notifikasi insiden kebocoran data secara voluntary (suka rela) kepada The Australian Cyber Security Centre (ACSC).
Dari berbagai pendekatan yang digunakan oleh kelima negara itu, tampak jelas bahwa standar compliance yang harus dipatuhi perusahaan dalam rangka perlindungan atas kejahatan cyber memang berbeda-beda di kawasan APAC. “Dan umumnya cyber security menjadi tahapan awal yang penting diperhatikan dalam implementasi konvergensi perlindungan data di negara-negara Kawasan APAC,” jelas Mark dalam diskusi yang sama dengan James.
