Ancaman penyadapan tidak selalu datang dari luar
Ancaman insider threat adalah risiko penyalahgunaan akses sistem oleh orang yang memiliki kewenangan resmi, seperti administrator, operator, atau pejabat, sehingga pengamanan harus mencakup tindakan orang dalam sekaligus serangan eksternal. Dugaan penyadapan ilegal terhadap Presiden Prabowo Subianto dan sejumlah tokoh jenderal sepanjang 2025 hingga 2026 membuat risiko itu sulit diabaikan. CISSReC mengingatkan bahwa orang dengan akses sah dapat menjadi sumber ancaman jika kewenangannya tidak dibatasi dengan baik.
Menurut keterangan Bareskrim Polri pada 3 November 2026, sejumlah nomor telepon diduga dimasukkan ke server Lawful Interception Management System (LIMS) tanpa verifikasi serta tanpa dasar penyelidikan atau penyidikan yang sah. Jika dugaan tersebut terbukti, persoalannya bukan semata kemampuan pihak luar menembus sistem. Kasus ini juga mempertanyakan siapa yang dapat mengaktifkan kewenangan penyadapan dan apakah setiap langkahnya bisa diperiksa. Penyadapan presiden menjadi alarm keamanan nasional justru karena akses resmi, ketika minim kontrol, dapat berubah menjadi celah penyalahgunaan.
Kewenangan harus dibatasi dan setiap tindakan tercatat
Sistem penyadapan yang memiliki dasar hukum tetap dapat disalahgunakan bila pengendalian aksesnya lemah. Karena itu, pengawasan akses sistem perlu dibangun ke dalam cara kerja, bukan hanya dilakukan setelah muncul dugaan pelanggaran. CISSReC mendorong pemisahan kewenangan: satu orang tidak semestinya dapat sekaligus menentukan target, menyetujui permintaan, menjalankan penyadapan, dan mengelola hasilnya.
Prinsip least privilege juga harus diterapkan agar setiap pengguna hanya memiliki hak akses sesuai tugasnya. Administrator, misalnya, tidak otomatis perlu memiliki kuasa memilih target atau menghapus rekaman operasional. Seluruh aktivitas—mulai dari memasukkan nomor dan mengubah konfigurasi hingga mengaktifkan penyadapan atau menghapus data—perlu masuk ke immutable audit log yang tidak dapat diubah operator. Pengawasan internal dan audit independen sama pentingnya dengan pertahanan dari peretas luar. Semakin besar kewenangan seseorang atas komunikasi orang lain, semakin kuat pula pemeriksaan terhadap penggunaan kewenangan itu.
Keamanan jaringan dan perangkat sama-sama perlu dibenahi
Pengawasan internal tidak akan menutup seluruh risiko jika fondasi teknisnya tertinggal. Ketua Indonesia Cyber Security Forum Ardi Sutedja menyoroti potensi eksploitasi protokol komunikasi lama, termasuk 2G dan Signaling System 7 (SS7), sebagai tanda adanya persoalan dalam keamanan jaringan telekomunikasi. Operator perlu membenahi infrastruktur usang, menjalankan audit ketat, dan memperkuat pengawasan keamanan jaringan.
Dampaknya juga relevan bagi pengguna biasa. Enkripsi ujung ke ujung pada aplikasi pesan komersial tidak melindungi komunikasi jika perangkat sudah terinfeksi spyware. Serangan pada titik akhir dapat membuka isi pesan sebelum dienkripsi atau setelah pesan diterima; karena itu, memilih aplikasi terenkripsi saja bukan jaminan keamanan. Pengguna tetap perlu menjaga perangkat dan kebiasaan digital, sementara operator bertanggung jawab menutup celah pada jaringan. Pertahanan harus mencakup jaringan, perangkat, dan orang-orang yang diberi akses.
Pengawasan harus menjadi syarat, bukan formalitas
Langkah selanjutnya tidak cukup berupa janji bahwa sistem telah memiliki prosedur. Pemerintah didorong membangun jaringan komunikasi terenkripsi berdaulat, khususnya untuk pejabat tinggi negara, sedangkan operator perlu memperbarui infrastruktur dan memperketat pengawasan jaringan. Namun, teknologi baru pun tidak otomatis mencegah penyalahgunaan jika hak akses masih terpusat, aktivitas tidak tercatat, dan audit tidak independen.
Dugaan penyadapan presiden menegaskan bahwa legitimasi penyadapan bergantung pada batas kewenangan dan pertanggungjawaban yang dapat diuji. Sistem yang aman harus mencegah satu orang bertindak tanpa pemeriksaan, menyimpan jejak aktivitas yang tak bisa dimanipulasi, serta memastikan setiap penggunaan akses memiliki dasar yang sah. Kesimpulannya tegas: keamanan jaringan telekomunikasi tidak hanya diukur dari kemampuannya menahan peretas, tetapi juga dari kemampuannya mengawasi orang-orang yang dipercaya mengelolanya.
