Pratama Persadha Soroti Risiko Penyalahgunaan Sistem LIMS

Pengawasan internal sistem penyadapan menjadi perhatian setelah muncul dugaan penyadapan ilegal terhadap Presiden Prabowo Subianto dan sejumlah tokoh jenderal sepanjang 2025 hingga 2026. Chairman Lembaga Riset Keamanan Siber Indonesia (CISSReC) Pratama Persadha menilai lemahnya pengendalian akses dapat membuka peluang penyalahgunaan kewenangan, termasuk oleh orang dalam. Dilansir dari Detik iNET, dugaan tersebut berkaitan dengan sejumlah nomor telepon yang disebut dimasukkan ke server Lawful Interception Management System (LIMS) tanpa verifikasi maupun dasar penyelidikan atau penyidikan yang sah.

Informasi itu merujuk pada keterangan Bareskrim Polri pada 3 November 2026. Pratama menjelaskan bahwa ancaman terhadap sistem penyadapan tidak terbatas pada serangan peretas dari luar organisasi. Administrator, operator, hingga pejabat yang memiliki kewenangan resmi juga berpotensi menyalahgunakan akses apabila tidak disertai pembatasan yang memadai.

"Ancaman tidak selalu datang dari peretas luar. Ancaman juga muncul dari dalam organisasi, dari orang yang punya legitimasi dan kewenangan atas sistem. Inilah yang disebut ancaman orang dalam," jelas Pratama kepada Detik iNET, Rabu (4/11/2026).

Untuk mengurangi risiko tersebut, Pratama menyoroti penerapan pemisahan kewenangan atau separation of duties. Prinsip ini mengharuskan pembagian tugas agar satu orang tidak menguasai seluruh proses penyadapan. Dengan mekanisme tersebut, penentuan target, persetujuan permintaan, pelaksanaan penyadapan, serta pengelolaan hasil harus berada dalam kewenangan yang terpisah. Pembagian tanggung jawab diperlukan agar tidak ada satu pihak yang dapat mengendalikan seluruh tahapan tanpa pengawasan.

Selain pemisahan kewenangan, pembatasan hak akses atau least privilege juga dinilai penting. Setiap pengguna hanya boleh memperoleh akses sesuai pekerjaan dan tanggung jawabnya. Pratama mencontohkan administrator sistem yang tidak semestinya otomatis memiliki kewenangan menentukan target penyadapan ataupun menghapus rekaman operasional. Pembatasan tersebut menjadi bagian dari pengendalian terhadap pengguna yang memiliki akses resmi.

Langkah berikutnya adalah penerapan immutable audit log atau pencatatan aktivitas yang tidak dapat diubah. Menurut Pratama, seluruh aktivitas sistem harus direkam secara otomatis, termasuk penambahan nomor target, perubahan konfigurasi, pengaktifan penyadapan, dan penghapusan data. Pencatatan tersebut diperlukan agar aktivitas pengguna dapat ditelusuri dan diperiksa.

Operator tidak boleh memiliki kemampuan untuk mengubah atau menghapus catatan aktivitas yang menjadi bagian dari mekanisme audit. Pratama juga menekankan bahwa perlindungan LIMS harus mencakup pengawasan internal dan audit independen. Ketahanan terhadap serangan eksternal saja tidak cukup untuk menjamin penggunaan sistem sesuai ketentuan hukum.

"Keamanan LIMS tidak cukup diukur dari ketahanannya menghadapi serangan luar, tetapi juga dari kemampuannya mencegah penyalahgunaan oleh administrator, operator, dan pejabat tertinggi," tegas Pratama.

Ia menilai besarnya kewenangan seseorang dalam mengawasi komunikasi masyarakat harus diimbangi dengan mekanisme pengawasan yang semakin kuat. Pengendalian tersebut diperlukan untuk mencegah penggunaan kewenangan penyadapan di luar ketentuan hukum.