KEAMANAN CLOUD PUBLIK UNTUK INSTANSI PEMERINTAH

1. Pendahuluan

Komputasi awan (cloud computing) publik—layanan infrastruktur, platform, dan perangkat lunak yang disediakan oleh penyedia pihak ketiga seperti Amazon Web Services, Microsoft Azure, Google Cloud, maupun penyedia lokal—telah menjadi tulang punggung baru transformasi digital pemerintahan. Di Indonesia, dorongan ini terlihat jelas dalam agenda Sistem Pemerintahan Berbasis Elektronik (SPBE) yang diamanatkan Peraturan Presiden Nomor 95 Tahun 2018, serta pembangunan Pusat Data Nasional (PDN) yang dimaksudkan menjadi infrastruktur digital hulu untuk memastikan terselenggaranya e-government secara berkelanjutan. Betapa besarnya kesenjangan yang ingin ditutup terlihat dari data Kementerian Komunikasi dan Informatika yang mencatat dari sekitar 2.700 server data pemerintah, baru sekitar 3 persen yang telah menggunakan sistem cloud—sebuah indikasi bahwa migrasi ke cloud publik akan menjadi agenda besar dalam beberapa tahun mendatang. GovInsiderDigitaltransformation

Namun, migrasi ke cloud publik bukan sekadar memindahkan server fisik ke tempat lain. Ia mengubah secara mendasar siapa yang bertanggung jawab atas keamanan data, bagaimana akses dikontrol, dan di mana data secara hukum “berada”. Artikel ini membahas secara komprehensif kerangka keamanan cloud publik bagi instansi pemerintah: mulai dari model tanggung jawab bersama, kerangka regulasi Indonesia, ancaman-ancaman utama yang perlu diwaspadai, studi kasus nyata, hingga langkah-langkah pengamanan yang dapat diterapkan.

2. Memahami Model Tanggung Jawab Bersama (Shared Responsibility Model)

Kesalahpahaman paling umum mengenai cloud publik adalah anggapan bahwa begitu data dipindahkan ke penyedia cloud besar, keamanannya sepenuhnya menjadi tanggung jawab penyedia tersebut. Kenyataannya, keamanan cloud beroperasi berdasarkan model tanggung jawab bersama:

• Penyedia cloud (cloud provider) bertanggung jawab atas keamanan “dari” cloud—infrastruktur fisik pusat data, jaringan inti, virtualisasi, dan ketersediaan layanan.
• Instansi pengguna (cloud customer), dalam hal ini lembaga pemerintah, bertanggung jawab atas keamanan “di dalam” cloud—konfigurasi akses, manajemen identitas pengguna, enkripsi data, klasifikasi data, serta pengaturan siapa saja yang dapat mengakses sumber daya yang disewa.

Pembagian tanggung jawab ini krusial karena, sebagaimana akan ditunjukkan dalam studi kasus di bagian selanjutnya, sebagian besar insiden keamanan cloud publik justru terjadi bukan karena penyedia cloud diretas, melainkan karena pihak pengguna—termasuk lembaga pemerintah—salah mengonfigurasi sumber daya yang menjadi tanggung jawabnya sendiri.

3. Kerangka Regulasi Cloud Pemerintah di Indonesia

Pemerintah Indonesia telah membangun sejumlah instrumen kebijakan untuk mengatur penggunaan cloud oleh instansi publik:

• Peraturan Presiden Nomor 95 Tahun 2018 tentang SPBE, yang mewajibkan penyelenggara pemerintahan memanfaatkan teknologi informasi dan komunikasi dalam memberikan layanan kepada masyarakat. DCloud
• Surat Edaran Menkominfo Nomor 3 Tahun 2021 tentang pedoman penggunaan Layanan Komputasi Awan (LKA) pihak ketiga, yang mensyaratkan bahwa hal pertama dan paling mendasar ialah LKA tersebut harus menggunakan pusat data yang berlokasi di dalam wilayah Negara Republik Indonesia. Pedoman ini juga mewajibkan penyedia LKA menyediakan fitur yang memfasilitasi kementerian atau lembaga untuk dapat melakukan enkripsi, dengan server penyimpanan data dan kunci enkripsi yang tetap berada dalam yurisdiksi hukum Indonesia, serta wajib menyediakan perjanjian kerahasiaan (non-disclosure agreement) sebagai bagian dari kontrak dengan kementerian/lembaga pengguna. Aptika + 2
• Keputusan Menkominfo Nomor 519 Tahun 2024 tentang Penyelenggaraan Pusat Data Nasional (PDN), yang menggeser kebijakan PDN dari sebelumnya identik dengan pusat data milik pemerintah menjadi berbasis ekosistem, membuka peluang penyimpanan dan pemrosesan data pemerintah melalui penyelenggara pusat data atau layanan cloud swasta. Kompas
• Peraturan Menkomdigi Nomor 5 Tahun 2025, yang memandatkan klasifikasi data pemerintah, dengan pemerintah daerah diberi waktu satu tahun untuk melaksanakan klasifikasi tersebut. Kompas
• **Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP)**, yang berlaku pula terhadap data pribadi warga yang diproses melalui layanan cloud, mewajibkan pengendali data melaporkan insiden kebocoran dalam 72 jam serta menerapkan langkah teknis dan organisasional yang memadai.

Kombinasi regulasi ini menunjukkan arah kebijakan yang jelas: pemerintah boleh dan didorong menggunakan cloud publik, tetapi dengan syarat kedaulatan data (data residency), enkripsi yang dikuasai sendiri, dan klasifikasi data yang tegas sebelum data dipindahkan ke lingkungan cloud.

4. Ancaman Utama terhadap Keamanan Cloud Publik Pemerintah

4.1 Kesalahan Konfigurasi (Misconfiguration)

Ini adalah penyebab paling umum dari insiden keamanan cloud di seluruh dunia, termasuk sektor pemerintahan. Wadah penyimpanan (storage bucket) yang seharusnya bersifat privat namun secara tidak sengaja diatur agar dapat diakses publik adalah contoh klasik—dan sayangnya sangat sering terjadi.

4.2 Manajemen Identitas dan Akses yang Lemah (IAM)

Hak akses yang terlalu luas (over-privileged access), kredensial yang tidak pernah dirotasi, atau ketiadaan autentikasi multifaktor pada akun administrator cloud membuka celah besar bagi penyalahgunaan akses, baik oleh pihak luar maupun orang dalam.

4.3 Risiko Vendor dan Kontraktor Pihak Ketiga

Instansi pemerintah sering melibatkan kontraktor eksternal untuk mengelola infrastruktur cloud-nya. Ketika kontraktor tersebut memiliki standar keamanan yang lebih rendah, atau ketika pengawasan terhadap aktivitas mereka minim, risiko turut berpindah ke data pemerintah yang mereka kelola.

4.4 Isu Kedaulatan dan Residensi Data (Data Sovereignty)

Ketika data pemerintah disimpan pada infrastruktur cloud yang dioperasikan atau dimiliki entitas asing, muncul pertanyaan mengenai yurisdiksi hukum mana yang berlaku atas data tersebut, serta potensi akses oleh otoritas negara lain berdasarkan hukum di negara asal penyedia cloud. Inilah alasan utama mengapa regulasi Indonesia mensyaratkan lokasi pusat data dan kunci enkripsi tetap berada di dalam wilayah hukum nasional.

4.5 Risiko Multi-Tenancy

Pada cloud publik, sumber daya komputasi digunakan bersama oleh banyak pelanggan (multi-tenant) di atas infrastruktur fisik yang sama. Meski secara arsitektur terisolasi secara virtual, kegagalan isolasi—baik akibat kerentanan perangkat lunak virtualisasi maupun kesalahan konfigurasi—berpotensi membuka celah antar-tenant.

4.6 Ketergantungan Berlebihan pada Satu Penyedia (Vendor Lock-in)

Migrasi penuh ke satu ekosistem cloud tertentu tanpa strategi keluar (exit strategy) yang jelas dapat menyulitkan instansi pemerintah berpindah penyedia atau menarik kembali datanya secara utuh apabila terjadi sengketa kontrak atau perubahan kebijakan penyedia.

5. Studi Kasus: Kebocoran Data Intelijen Pentagon melalui Amazon S3 (2017)

Pada akhir September 2017, peneliti keamanan dari UpGuard menemukan bahwa data milik United States Army Intelligence and Security Command (INSCOM)—komando gabungan Angkatan Darat AS dan Badan Keamanan Nasional (NSA)—tersimpan dalam wadah penyimpanan Amazon S3 yang dikonfigurasi agar dapat diakses publik. Di antara data yang terekspos terdapat berkas yang diklasifikasikan sebagai Top Secret dan NOFORN, penanda bahwa informasi tersebut bahkan tidak boleh dibagikan kepada negara sekutu sekalipun. Nama subdomain wadah penyimpanan tersebut, “inscom”, membuatnya mudah dikenali oleh pihak yang berniat jahat.

Investigasi lebih lanjut menemukan bahwa sebagian data itu sebelumnya diakses dan dikelola oleh kontraktor pihak ketiga bernama Invertix, sehingga turut terekspos pula kunci privat (private keys) yang digunakan untuk mengakses sistem intelijen milik kontraktor tersebut. Kasus ini bukan satu-satunya: pada periode yang sama, UpGuard juga menemukan tiga wadah penyimpanan cloud terpisah milik operasi pengawasan media sosial Departemen Pertahanan AS—berisi lebih dari 1,8 miliar unggahan yang dikumpulkan selama delapan tahun—yang juga dapat diakses oleh siapa pun yang memiliki akun Amazon Web Services gratis.

Penting dicatat: dalam kedua insiden ini, infrastruktur Amazon Web Services sendiri tidak diretas. Kebocoran terjadi murni karena kesalahan konfigurasi akses yang menjadi tanggung jawab pengguna—persis menggambarkan bagaimana kegagalan memahami model tanggung jawab bersama dapat mengubah cloud publik yang sebenarnya aman menjadi sumber kebocoran data intelijen paling sensitif sekalipun.

Pelajaran utama: keamanan cloud publik bergantung sama besarnya—bahkan lebih besar—pada kedisiplinan konfigurasi pihak pengguna dibanding pada kekuatan keamanan infrastruktur penyedia cloud itu sendiri, serta pentingnya pengawasan ketat terhadap data yang dikelola kontraktor pihak ketiga.

6. Strategi Pengamanan Cloud Publik untuk Instansi Pemerintah

6.1 Klasifikasi Data Sebelum Migrasi

Terapkan klasifikasi data secara tegas—publik, terbatas, rahasia, sangat rahasia—sebagaimana diamanatkan Permenkomdigi Nomor 5 Tahun 2025, sebelum menentukan data mana yang boleh dipindahkan ke cloud publik dan data mana yang harus tetap berada pada infrastruktur privat atau PDN.

6.2 Manajemen Konfigurasi Berkelanjutan (Cloud Security Posture Management)

Terapkan pemindaian konfigurasi otomatis dan berkelanjutan untuk mendeteksi wadah penyimpanan atau sumber daya cloud lain yang secara tidak sengaja terekspos ke publik—persis jenis kesalahan yang menyebabkan insiden Pentagon di atas.

6.3 Manajemen Identitas dan Akses yang Ketat

• Terapkan prinsip hak akses minimum (least privilege) dan autentikasi multifaktor pada seluruh akun administrator cloud.
• Lakukan audit dan rotasi kredensial secara berkala.
• Pisahkan akses berdasarkan peran (role-based access control) sehingga tidak ada satu akun pun yang memiliki kendali penuh tanpa pengawasan.

6.4 Enkripsi dan Penguasaan Kunci Enkripsi Mandiri

Sejalan dengan pedoman SE Menkominfo 3/2021, pastikan data terenkripsi baik saat disimpan (at-rest) maupun saat dikirim (in-transit), dengan kunci enkripsi yang tetap dikuasai atau berada dalam kendali instansi pemerintah, bukan sepenuhnya diserahkan kepada penyedia cloud.

6.5 Kepatuhan terhadap Lokasi dan Kedaulatan Data

Pastikan penyedia layanan komputasi awan yang digunakan menempatkan pusat data dan kunci enkripsi di dalam wilayah hukum Indonesia, sesuai mandat regulasi, guna menjaga kendali hukum penuh atas data warga negara.

6.6 Manajemen Risiko Vendor dan Kontraktor

• Wajibkan perjanjian kerahasiaan (NDA) dan klausul keamanan yang jelas dalam setiap kontrak dengan penyedia maupun kontraktor cloud.
• Lakukan audit keamanan berkala terhadap kontraktor yang memiliki akses ke data pemerintah, termasuk pengawasan terhadap turunan akses yang mereka berikan ke pihak lain.

6.7 Strategi Keluar dan Portabilitas Data (Exit Strategy)

Rancang strategi migrasi keluar sejak awal kontrak, termasuk format data yang portabel dan mekanisme penghapusan data secara menyeluruh dari sistem penyedia lama, untuk menghindari ketergantungan berlebihan pada satu vendor.

6.8 Adopsi Standar Internasional yang Relevan

Selain ISO/IEC 27001 untuk manajemen keamanan informasi secara umum, instansi pemerintah sebaiknya juga mengacu pada ISO/IEC 27017 (kontrol keamanan khusus untuk layanan cloud) dan ISO/IEC 27018 (perlindungan data pribadi pada cloud publik) sebagai kerangka tambahan yang lebih spesifik terhadap konteks komputasi awan.

6.9 Pemantauan dan Respons Insiden Berkelanjutan

Bangun kemampuan pemantauan log akses secara real-time serta prosedur respons insiden yang teruji, sehingga aktivitas mencurigakan pada lingkungan cloud dapat terdeteksi dan direspons dalam hitungan jam, bukan setelah data terlanjur tereksploitasi dalam skala besar.

7. Kesimpulan

Cloud publik menawarkan efisiensi, skalabilitas, dan kecepatan yang sulit ditandingi infrastruktur konvensional—dan karena itulah pemerintah Indonesia secara sadar mendorong adopsinya melalui SPBE dan ekosistem PDN. Namun sebagaimana ditunjukkan oleh insiden kebocoran data intelijen Pentagon melalui Amazon S3, cloud publik yang secara teknis sangat aman sekalipun dapat berubah menjadi sumber kebocoran data paling sensitif jika pihak pengguna—termasuk lembaga pemerintah—gagal memahami dan menjalankan bagian tanggung jawabnya sendiri dalam model tanggung jawab bersama. Keamanan cloud publik bagi instansi pemerintah karenanya bukan sekadar memilih penyedia dengan sertifikasi terbaik, melainkan soal disiplin internal: klasifikasi data yang tegas, konfigurasi yang terus dipantau, kendali penuh atas kunci enkripsi, kepatuhan terhadap kedaulatan data, serta pengawasan ketat terhadap setiap pihak ketiga yang diberi akses. Dengan fondasi tata kelola yang kokoh, cloud publik dapat menjadi mitra transformasi digital pemerintahan yang aman, bukan celah baru yang mengancam kepercayaan publik.