Selama puluhan tahun PLC hidup nyaman di dalam panel. Kabelnya jelas, jangkauannya terbatas, dan orang yang bisa menyentuhnya cuma yang pegang kunci panel. Keamanan waktu itu urusan gembok, bukan urusan firewall.
Lalu datang kebutuhan monitoring jarak jauh. Modbus RTU yang tadinya jalan di kabel serial dipindah ke Modbus TCP/IP. HMI disambung, lalu SCADA, lalu dashboard yang bisa dibuka dari ruang meeting. Integrasi selesai, produksi jadi lebih terpantau. Yang sering luput dicatat di berita acara commissioning: pada titik itu PLC berubah status, dari perangkat terisolasi menjadi node di jaringan.
Angkanya bukan angka kecil
Laporan Kaspersky ICS CERT untuk kuartal pertama 2026 mencatat 21,81 persen komputer sistem kontrol industri di Indonesia sempat menghadapi objek berbahaya yang berhasil diblokir. Lebih dari satu dari lima. Angka global di periode yang sama 19,6 persen, artinya Indonesia duduk di atas rata-rata dunia.
Dipecah per sektor, minyak dan gas paling tinggi di 28 persen, disusul tenaga listrik dan otomasi gedung yang sama-sama 24,5 persen. Yang menarik buat orang otomasi justru kategori teknik dan integrasi ICS sendiri: 21,2 persen. Pihak yang memasang sistem ikut jadi sasaran, bukan cuma pabrik yang memakainya.
"Sistem teknologi operasional lama tetap tertanam kuat di lingkungan manufaktur, yang membuatnya rentan," kata Evgeny Goncharov, Kepala Kaspersky ICS CERT, dalam keterangan yang menyertai laporan itu.
Modbus lahir di dunia yang saling percaya
Modbus dirancang Modicon pada 1979 untuk bicara dengan PLC di jaringan tertutup. Sederhana, terbuka, dan sampai hari ini masih dipakai di mana-mana justru karena kesederhanaannya. Modbus TCP membungkus pesan yang sama ke dalam paket TCP/IP dan mendengarkan di port 502.
Persoalannya, protokol ini tidak membawa mekanisme autentikasi bawaan. Perintah write yang sah dan perintah write dari pihak yang tidak berhak terlihat sama saja di level protokol. Ini bukan cacat desain. Ini konsekuensi dari asumsi awalnya: kalau kamu sudah berada di jaringan itu, kamu memang berhak ada di sana.
Ingin mendalaminya lebih terstruktur? Taalenta punya kelas Professional PLC & SCADA Mastery: Design, Control, and Optimize Industrial Automation Systems.
Asumsi tersebut masuk akal di 1979. Di pabrik yang jaringan kendali dan jaringan kantornya menyatu tanpa sekat, asumsi yang sama berubah jadi lubang.
Sekat, bukan sekadar antivirus
Pendekatan yang dipakai standar IEC 62443, terbitan ISA dan IEC, bukan mengganti protokolnya. Yang dikerjakan adalah memecah arsitektur jaringan menjadi zone, yaitu kumpulan aset dengan kebutuhan proteksi serupa, lalu menata conduit, jalur komunikasi antar-zone. Tiap zone diberi target security level, mulai SL 1 yang melindungi dari salah pakai tanpa sengaja sampai SL 4 untuk serangan canggih dengan sumber daya besar.
Praktik turunannya sebetulnya membumi. Tahu persis perangkat apa saja yang tersambung. Pisahkan jaringan kendali dari jaringan kantor. Ganti kredensial bawaan yang sering dibiarkan apa adanya sejak commissioning. Batasi siapa yang boleh menulis ke register, bukan hanya siapa yang boleh membaca.
Konteks kebijakan yang mulai mengeras
Di sisi regulasi, Peraturan Presiden Nomor 47 Tahun 2023 tentang Strategi Keamanan Siber Nasional dan Manajemen Krisis Siber menempatkan penguatan pelindungan infrastruktur informasi vital sebagai salah satu fokus area. Sektor energi, ketenagalistrikan, dan layanan publik ada di dalamnya. Untuk engineer yang bekerja di sektor tersebut, urusan segmentasi jaringan pelan-pelan bergeser dari sekadar praktik baik menjadi bagian dari kepatuhan.
Perlu digarisbawahi, ini tidak berarti engineer otomasi harus banting setir jadi analis keamanan. Porsi yang realistis lebih ke kesadaran arsitektur. Orang yang paling paham kenapa satu register boleh ditulis dan kenapa register lain sebaiknya tidak biasanya bukan tim IT, melainkan orang yang menulis logic-nya.
Integrasi PLC ke HMI dan SCADA tetap pekerjaan teknis yang wajar dan memang dibutuhkan. Cuma sekarang ada satu pertanyaan tambahan yang layak diajukan sebelum commissioning ditutup: setelah semuanya tersambung, siapa saja sebenarnya yang bisa mengirim perintah ke sini?
Sumber
- ItWorks (mengutip Kaspersky ICS CERT) – Komputer ICS Jadi Target di Indonesia Q1 2026, Sektor Migas Paling Diincar → itworks.id
- Detik Inet – 1 dari 5 Komputer Industri RI Diserang Malware, Sektor Migas Sasaran Empuk → inet.detik.com
- Database Peraturan JDIH BPK – Peraturan Presiden Nomor 47 Tahun 2023 tentang Strategi Keamanan Siber Nasional dan Manajemen Krisis Siber → peraturan.bpk.go.id
- Perkumpulan Automasi Indonesia – Mengenal Protokol MODBUS → automation.or.id
- Fortinet – IEC 62443 Standard: Enhancing Cybersecurity for Industrial Automation and Control Systems → fortinet.com