Seorang perawat di sebuah klinik pratama membuka email yang tampak berasal dari BPJS Kesehatan, berisi lampiran “pembaruan tarif klaim.” Ia mengekliknya karena terburu-buru menyelesaikan antrean pasien pagi itu. Beberapa jam kemudian, layar komputer pendaftaran berubah hitam dengan tulisan permintaan tebusan. Sistem antrean lumpuh, rekam medis elektronik tidak bisa diakses, dan staf kembali menulis di kertas seperti dua dekade lalu.
Skenario ini bukan fiksi. Ia adalah pola serangan yang berulang di fasilitas pelayanan kesehatan (fasyankes) di seluruh dunia, termasuk Indonesia — dan yang paling menyakitkan, fasyankes kecil sering menjadi sasaran justru karena dianggap paling lemah pertahanannya, bukan paling kaya datanya.
Ancaman yang Nyata, Anggaran yang Tidak Selalu Ada
Rumah sakit dan klinik menyimpan data yang sangat bernilai di pasar gelap. Data medis pasien bisa dijual hingga 250 dolar Amerika Serikat per rekam, dan rumah sakit maupun platform kesehatan digital sering menjadi sasaran ransomware karena sistem keamanannya masih lemah. Skala masalah ini bukan teori: sekitar 89 persen rumah sakit menjadi target ransomware pada 2024, dengan rata-rata waktu pemulihan (downtime) mencapai 21 hari setelah serangan terjadi, dan penelitian yang dipublikasikan di World Journal of Advanced Engineering Technology and Science menunjukkan institusi kesehatan di Indonesia memiliki probabilitas hingga 38 persen menjadi korban ransomware setiap tahunnya.
Indonesia sendiri sudah mencatat beberapa insiden besar. RS Harapan Kita dan RS Dharmais di Jakarta pernah menjadi korban ransomware WannaCry yang berskala global, yang melumpuhkan sistem layanan dan sempat memutus akses ke data pasien. Di skala nasional, data 279 juta peserta BPJS Kesehatan bocor ke publik pada Agustus 2021 — jumlah yang hampir menyamai seluruh populasi Indonesia.
Yang membuat situasi ini ironis: penyebab utamanya bukan teknologi canggih dari penyerang. Menurut data Badan Siber dan Sandi Negara (BSSN), 95 persen serangan siber berhasil karena kesalahan manusia. Artinya, sebagian besar pertahanan yang benar-benar berpengaruh tidak memerlukan investasi mahal — ia memerlukan kebiasaan yang benar.
Prinsip Utama: Keamanan adalah Kebiasaan, Bukan Sekadar Perangkat
Sebelum masuk ke langkah teknis, satu pergeseran cara pandang perlu ditegaskan: fasyankes kecil tidak perlu meniru arsitektur keamanan rumah sakit besar. Kerangka kerja keamanan siber yang diterbitkan National Institute of Standards and Technology (NIST) justru menekankan bahwa langkah paling awal dan paling murah adalah mewajibkan autentikasi multi-faktor pada semua akun yang mendukungnya, menggunakan kata sandi yang kuat atau pengelola kata sandi, mencadangkan data secara rutin, dan mengganti kata sandi bawaan pabrik perangkat dengan kata sandi unik. Tidak satu pun dari langkah ini memerlukan pembelian perangkat lunak mahal.
Panduan khusus sektor kesehatan pun disusun dengan kesadaran yang sama. Health Industry Cybersecurity Practices (HICP) yang diterbitkan bersama oleh task group sektor kesehatan Amerika Serikat secara eksplisit memisahkan rekomendasi untuk entitas kecil (Technical Volume 1) dari entitas menengah dan besar (Technical Volume 2), dengan sepuluh praktik inti yang dapat diterapkan untuk melawan lima ancaman utama sektor kesehatan. Filosofinya jelas: keamanan yang baik harus bisa diskalakan ke bawah, bukan hanya ke atas.
Delapan Langkah Prioritas Tanpa Anggaran Besar
1. Kelola Akun dan Kata Sandi dengan Benar
Setiap tenaga kesehatan sebaiknya memiliki akun login sendiri di komputer bersama — bukan satu akun “admin” yang dipakai bergantian. Kata sandi yang kuat (kombinasi panjang, bukan sekadar kompleks) jauh lebih penting daripada kata sandi rumit yang akhirnya ditempel di monitor dengan kertas tempel. Untuk fasyankes dengan banyak akun (SIMRS, BPJS, email), password manager gratis seperti Bitwarden versi dasar dapat menggantikan kebiasaan menuliskan kata sandi di buku catatan.
2. Aktifkan Autentikasi Dua Faktor (Two-Factor Authentication/2FA)
Untuk akun email, cloud storage, atau portal BPJS yang mendukungnya, aktifkan 2FA. Ini adalah satu tindakan tunggal dengan biaya nol rupiah yang paling menyulitkan pelaku kejahatan siber, karena pencurian kata sandi saja tidak lagi cukup untuk membobol akun.
3. Perbarui Sistem, Jangan Ditunda
Banyak insiden ransomware — termasuk WannaCry yang menghantam RS Harapan Kita dan RS Dharmais — mengeksploitasi celah keamanan yang sebenarnya sudah ada tambalannya (patch), namun belum dipasang. Aktifkan pembaruan otomatis untuk sistem operasi Windows, aplikasi kantor, dan peramban (browser). Jika ada komputer yang masih menjalankan Windows 7 atau versi yang sudah tidak lagi disokong vendor, prioritaskan penggantian sistem operasinya di atas semua pengeluaran IT lain — perangkat lunak tanpa dukungan keamanan adalah pintu terbuka yang tidak bisa ditambal dengan cara lain.
4. Manfaatkan Proteksi Bawaan Sistem Operasi
Klinik dan puskesmas tidak selalu perlu membeli lisensi antivirus mahal. Windows Defender yang sudah terpasang di setiap Windows 10/11 — jika aktif dan diperbarui — memberikan proteksi dasar yang memadai untuk skala fasyankes kecil. Yang jauh lebih penting daripada merek antivirus adalah memastikan fiturnya benar-benar menyala dan tidak dimatikan staf karena dianggap “memperlambat komputer.”
5. Cadangkan Data dengan Kaidah 3-2-1
Simpan data penting (rekam medis, data keuangan, jadwal) dalam tiga salinan, di dua jenis media berbeda, dengan satu salinan tersimpan terpisah dari jaringan utama (offline). Cadangan data idealnya terenkripsi dan disimpan secara offline agar proses pemulihan dapat berjalan cepat tanpa bergantung pada sistem utama yang mungkin sudah terenkripsi ransomware. Cukup dengan hard disk eksternal murah yang dicabut dan disimpan di lemari terkunci setelah proses pencadangan selesai, fasyankes kecil sudah mengurangi risiko kehilangan data secara drastis — inilah kontrol berbiaya rendah dengan dampak terbesar terhadap kelangsungan pelayanan pasien.
6. Batasi Hak Akses (Prinsip Least Privilege)
Tidak semua staf perlu hak akses “administrator” pada komputer kerja hariannya. Akun harian sebaiknya berupa akun standar (standard user), sementara instalasi aplikasi baru memerlukan kata sandi administrator yang dipegang penanggung jawab IT atau manajer fasilitas. Ini mencegah malware yang tidak sengaja terunduh mendapat kendali penuh atas sistem.
7. Amankan Fisik Perangkat
Keamanan siber sering dibayangkan sebagai persoalan digital semata, padahal pencurian laptop atau login yang tidak dikunci saat ditinggal ke ruang periksa sama berbahayanya dengan serangan dari luar. Kunci layar otomatis setelah beberapa menit tidak aktif, kabel pengunci (cable lock) murah untuk komputer di area terbuka seperti pendaftaran, dan penyimpanan laptop di lemari terkunci di luar jam kerja adalah langkah sederhana yang sering terlupakan.
8. Pisahkan Jaringan Wi-Fi
Jika fasyankes menyediakan Wi-Fi untuk pengunjung atau keluarga pasien, pastikan jaringan tersebut terpisah sepenuhnya dari jaringan yang menghubungkan komputer SIMRS dan rekam medis elektronik. Sebagian besar router modern — bahkan yang harganya terjangkau — sudah menyediakan fitur guest network bawaan tanpa biaya tambahan. Segmentasi jaringan menjadi salah satu langkah kunci untuk mencegah penyebaran serangan jika satu perangkat berhasil disusupi, dan langkah ini tidak memerlukan investasi besar di fasyankes berskala kecil.
Faktor Manusia: Ancaman Terbesar yang Paling Murah Diatasi
Karena mayoritas serangan siber berhasil akibat kesalahan manusia, pelatihan singkat dan berkala jauh lebih menentukan daripada perangkat lunak apa pun. Fasyankes tidak perlu program pelatihan formal yang mahal — cukup sesi 15 menit setiap bulan yang membahas:
- Cara mengenali email phishing (tautan mencurigakan, permintaan mendesak, lampiran tidak terduga)
- Kebiasaan tidak berbagi kata sandi antarstaf
- Prosedur sederhana jika layar tiba-tiba terkunci atau muncul pesan aneh: cabut kabel jaringan, jangan panik menekan tombol apa pun, segera laporkan
- Kewaspadaan terhadap permintaan transfer data pasien melalui saluran komunikasi pribadi (WhatsApp pribadi, bukan sistem resmi)
Untuk fasyankes kecil, praktik perlindungan email dibagi menjadi tiga sub-praktik yang saling melengkapi: konfigurasi sistem email, edukasi staf, dan simulasi phishing sederhana — ketiganya bisa dijalankan tanpa anggaran IT khusus, menggunakan waktu rapat rutin yang sudah ada.
Payung Regulasi: Permenkes tentang Rekam Medis dan UU PDP
Langkah-langkah di atas bukan sekadar anjuran teknis, tetapi juga kewajiban hukum. Peraturan Menteri Kesehatan Nomor 24 Tahun 2022 tentang Rekam Medis mewajibkan setiap fasyankes menjamin keamanan, keutuhan, kerahasiaan, dan ketersediaan data rekam medis elektronik, serta secara tegas mewajibkan fasyankes memiliki sistem cadangan data (backup system). Prinsip ini diperkuat lebih rinci: Pasal 29 Permenkes tersebut mengatur bahwa rekam medis elektronik harus memenuhi prinsip keamanan data dan informasi yang meliputi kerahasiaan, integritas, dan ketersediaan, dengan implementasi keamanan data yang berlaku sejak pasien datang hingga pasien pulang, dirujuk, atau meninggal dunia.
Di sisi perlindungan data pribadi, Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan setiap pengendali data — termasuk fasyankes — menerapkan langkah teknis dan organisasi yang wajar untuk mencegah kebocoran data pribadi, dengan potensi sanksi administratif hingga pidana jika kelalaian terbukti menyebabkan kebocoran. Bagi manajer fasilitas, ini berarti kontrol-kontrol sederhana di atas bukan sekadar praktik baik, melainkan bagian dari kepatuhan regulasi yang dapat diperiksa saat survei akreditasi maupun investigasi insiden.
Kapan Perlu Mendatangkan Bantuan Eksternal
Delapan langkah di atas dapat dikerjakan sendiri oleh staf IT internal atau bahkan manajer fasilitas yang melek teknologi, tanpa kontrak dengan vendor keamanan siber. Namun ada beberapa situasi yang sebaiknya melibatkan bantuan eksternal, meski hanya konsultasi sesekali:
- Migrasi dari sistem operasi yang sudah tidak didukung vendor (misalnya Windows 7 atau Windows Server versi lama)
- Penyusunan kebijakan tertulis (SPO/Perdir) terkait penggunaan perangkat dan akses data, agar sesuai format regulasi internal rumah sakit
- Insiden yang sudah terjadi — jangan mencoba memulihkan sistem yang terkena ransomware tanpa pendampingan, karena tindakan yang salah dapat memperparah kehilangan data
Bantuan eksternal ini tidak harus berupa kontrak managed security service yang mahal; banyak konsultan IT lokal atau bahkan mahasiswa/lulusan informatika di sekitar wilayah kerja dapat membantu proses migrasi atau audit dasar dengan biaya jauh lebih terjangkau.
Penutup
Keterbatasan anggaran memang nyata di banyak rumah sakit, klinik, dan puskesmas di Indonesia. Namun sebagian besar kontrol keamanan yang paling berdampak — kata sandi yang dikelola dengan benar, autentikasi dua faktor, pembaruan sistem yang rutin, cadangan data yang terpisah dari jaringan utama, serta staf yang terlatih mengenali phishing — tidak memerlukan investasi besar. Yang diperlukan adalah kedisiplinan menjalankannya secara konsisten, karena satu klik yang keliru di satu komputer pendaftaran sudah cukup untuk melumpuhkan pelayanan pasien selama berminggu-minggu.
Catatan transparansi: Sebagian data insiden dan statistik dalam artikel ini dikutip secara sekunder dari media dan platform keamanan siber (Sibermate, Helios, Nusa Network, Temika), bukan langsung dari laporan resmi BSSN atau penerbit riset asli. Pembaca yang memerlukan data primer disarankan merujuk langsung ke publikasi BSSN, HHS 405(d), atau NIST yang dicantumkan di bawah.
Referensi
Badan Siber dan Sandi Negara, dikutip dalam CyberHub. (2025). Ransomware di sektor kesehatan: Ancaman nyata bagi pasien. https://cyberhub.id/berita/ransomware-di-sektor-kesehatan
Federal Trade Commission. (2026). Cybersecurity for small business. https://www.ftc.gov/business-guidance/small-businesses/cybersecurity
Health Sector Coordinating Council & U.S. Department of Health and Human Services. (2023). Health Industry Cybersecurity Practices: Managing threats and protecting patients (HICP 2023 Edition). https://405d.hhs.gov/cornerstone/hicp
Helios (CTI Group). (2026). Sejauh mana keamanan siber rumah sakit siap menghadapi serangan ransomware? https://www.helios.id/id/blog-id/detail/sejauh-mana-keamanan-siber-rumah-sakit-siap-menghadapi-serangan-ransomware/
National Institute of Standards and Technology. (2026). Cybersecurity basics. https://www.nist.gov/itl/smallbusinesscyber/cybersecurity-basics
Nusa Network Prakarsa. (2025). 6 serangan siber di Indonesia yang menggemparkan publik. https://www.nusanetwork.com/blog/read/serangan-siber-di-indonesia/
Peraturan Menteri Kesehatan Republik Indonesia Nomor 24 Tahun 2022 tentang Rekam Medis.
Sibermate. (2025). Ransomware dan krisis kebocoran data di sektor kesehatan. https://sibermate.com/id/hrmi/ransomware-dan-krisis-kebocoran-data-di-sektor-kesehatan
Temika. (2024). 10 kasus serangan siber yang pernah terjadi di Indonesia dalam 5 tahun terakhir. https://temika.co.id/10-kasus-serangan-siber-yang-pernah-terjadi-di-indonesia-dalam-5-tahun-terakhir/
Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.
IT Proxsis Group. (2025). Tren ancaman siber di Indonesia meningkat? Berikut fakta yang harus diketahui. https://it.proxsisgroup.com/tren-ancaman-siber-di-indonesia-meningkat-berikut-fakta-yang-harus-diketahui/
Tinggalkan Balasan