Website Publik Tidak Hanya Butuh Online, Website Publik Butuh Terawat

The Core Update

Dua peneliti keamanan di Polandia memindai kondisi web publik negaranya dan menemukan masalah yang cukup besar. Mereka menemukan lebih dari 10.000 entitas publik terdampak, dengan sekitar 250.000 website yang memiliki celah keamanan.

Yang termasuk di dalamnya bukan hanya website kecil yang jarang dibuka. Ada bandara, rumah sakit, kantor pemerintah, dan pengadilan.

Salah satu temuan penting datang dari Pad CMS, sebuah content management system yang dipakai luas. Celah kritis di sistem ini memungkinkan akses ke lebih dari 300 website publik tanpa password. Masalahnya, software tersebut sudah end of life, sehingga developer tidak lagi memberi patch.

Temuan lain bahkan memungkinkan akses ke website sekitar dua pertiga sistem peradilan Polandia, atau sekitar 245 pengadilan.

Para peneliti melaporkan temuan mereka lewat beberapa kanal resmi pemerintah. Mereka menyebut prosesnya tidak selalu mudah, tetapi hasil akhirnya membuat kondisi sedikit lebih aman.

The Reality Check

Berita seperti ini sering dibaca sebagai cerita tentang hacker, celah teknis, atau software yang buruk. Itu benar, tetapi belum lengkap.

Masalah yang lebih besar adalah website publik sering diperlakukan seperti proyek yang selesai setelah launching.

Website dibuat, dipasang di server, dipakai bertahun-tahun, lalu mulai bergantung pada asumsi bahwa semuanya masih aman karena masih bisa dibuka. Padahal website yang masih online belum tentu masih sehat.

Ada beberapa lapisan masalah di sini.

Pertama, software yang sudah tidak didukung tetap dipakai. Ini sering terjadi karena sistem masih berjalan, migrasi terasa merepotkan, dan tidak ada satu pihak yang merasa cukup mendesak untuk menggantinya.

Kedua, vendor kadang melihat laporan bug sebagai gangguan, bukan sinyal risiko. Padahal bagi layanan publik, celah kecil bisa berubah menjadi pintu masuk ke sistem yang lebih penting.

Ketiga, kanal pelaporan keamanan sering tidak jelas. Jika peneliti atau warga menemukan celah, mereka tidak selalu tahu harus melapor ke siapa, formatnya seperti apa, dan apakah laporan itu akan ditangani dengan serius.

Keempat, tidak semua organisasi punya daftar aset digital yang rapi. Banyak institusi tahu mereka punya website utama, tetapi tidak selalu tahu subdomain lama, microsite, aplikasi event, portal lama, atau sistem vendor yang masih aktif.

Di sinilah masalahnya menjadi operasional, bukan hanya teknis.

Cybersecurity sering dibayangkan sebagai firewall, antivirus, SOC, penetration test, atau dashboard monitoring. Semua itu penting. Tetapi keamanan dasar sering gagal di hal yang lebih membosankan: siapa yang bertanggung jawab, software apa yang dipakai, kapan terakhir diperbarui, dan apa yang terjadi kalau ada laporan celah.

Untuk institusi publik, dampaknya lebih serius. Website rumah sakit bukan sekadar halaman informasi. Website pengadilan bukan sekadar profil lembaga. Website bandara bukan sekadar papan pengumuman digital. Di baliknya ada kepercayaan, akses layanan, dan kadang hubungan ke sistem lain yang lebih sensitif.

Ketika website seperti ini tidak dirawat, risikonya bukan hanya deface atau halaman diganti. Risiko yang lebih besar adalah akses ilegal, manipulasi informasi, pengambilalihan akun, penyalahgunaan data, dan hilangnya kepercayaan publik.

The Havedev Way

Dari sudut pandang Havedev, pelajaran utama dari kasus ini sederhana: website tidak boleh hanya punya status online. Website juga harus punya status perawatan.

Banyak organisasi sudah punya daftar proyek digital, tetapi belum punya daftar kesehatan aset digital. Akibatnya, keputusan keamanan sering reaktif. Baru bergerak setelah ada insiden, laporan media, komplain pengguna, atau audit besar.

Pendekatan yang lebih sehat dimulai dari inventaris sederhana.

Organisasi perlu tahu:

• domain dan subdomain apa saja yang aktif
• CMS, framework, plugin, dan server apa yang dipakai
• siapa vendor atau pemilik teknisnya
• kapan terakhir update dilakukan
• apakah software masih didukung
• di mana laporan keamanan harus dikirim
• siapa yang wajib merespons laporan tersebut

Daftar ini terdengar administratif, tetapi justru di sana fondasi keamanan dimulai.

Setelah itu, setiap website sebaiknya punya status yang jelas. Misalnya:

• aktif dan terawat
• aktif tetapi perlu update
• memakai software end of life
• menunggu vendor
• perlu migrasi
• perlu dimatikan
• sedang ditinjau karena laporan keamanan

Status seperti ini membantu tim melihat risiko tanpa harus menunggu insiden. Website yang memakai software end of life tidak boleh disamakan dengan website yang hanya butuh update minor. Website yang tidak punya pemilik teknis tidak boleh dibiarkan menjadi aset yatim.

Untuk organisasi yang bekerja dengan vendor, kontrak juga perlu lebih jelas. Bukan hanya soal fitur dan tampilan, tetapi juga soal patch, respons bug, backup, akses admin, dokumentasi, dan masa dukungan.

Jika software sudah end of life, jawabannya bukan berharap celahnya tidak ditemukan. Jawabannya adalah membuat rencana migrasi, membatasi risiko sementara, atau mematikan sistem yang tidak lagi layak dipakai.

Bug bounty juga tidak harus langsung besar dan kompleks. Untuk banyak organisasi, langkah awal yang lebih realistis adalah membuat security contact yang jelas, halaman disclosure sederhana, dan proses internal untuk menilai laporan.

Tanpa itu, orang yang menemukan celah bisa bingung. Laporan bisa masuk ke email umum. Email bisa diteruskan tanpa konteks. Vendor bisa menunda. Tim internal bisa menganggapnya bukan tanggung jawab mereka. Pada akhirnya, celah tetap terbuka.

Kasus Polandia menunjukkan bahwa risiko digital skala nasional bisa dimulai dari hal yang sangat biasa: CMS lama, vendor yang tidak lagi mendukung, bug yang diremehkan, dan aset web yang tidak terpantau.

Ini bukan hanya pelajaran untuk pemerintah. Bisnis juga punya pola yang sama.

Website company profile lama masih aktif. Landing page campaign lama masih bisa diakses. Plugin tidak pernah di-update. Form kontak masuk ke email orang yang sudah resign. Subdomain staging terbuka. Dashboard internal memakai password yang tidak pernah diganti.

Semua terlihat kecil sampai ada yang memanfaatkannya.

Karena itu, sebelum menambah fitur baru, organisasi perlu menanyakan hal yang lebih dasar: aset digital yang sudah ada masih aman, masih dirawat, dan masih punya pemilik yang jelas atau tidak?

Website yang baik bukan hanya website yang terlihat profesional. Website yang baik juga bisa dipelihara, diaudit, diperbarui, dan dimatikan dengan tertib ketika waktunya selesai.

Teknologi publik dan bisnis tidak kekurangan tampilan. Yang sering kurang adalah disiplin perawatan setelah sistem berjalan.

Kalau website sudah menjadi pintu depan layanan, maka perawatannya bukan pekerjaan tambahan. Ia bagian dari layanan itu sendiri.

Dapatkan Audit Teknis Gratis untuk meninjau website, aset digital, dan titik risiko teknis yang mungkin masih aktif tetapi belum terawat dengan jelas.

---

Sumber referensi berita: TechCrunch