Opini pribadi: Sistem IT KPU saat ini kurang pantas digunakan untuk Pemilihan Presiden

Pertama-tama perlu saya kemukakan bahwa selama ini saya tidak terlalu menyuarakan opini negatif terhadap sistem IT KPU (tnp dan www) karena berbagai alasan yang terlalu panjang untuk diuraikan di sini. Pada awalnya saya beranggapan bahwa KPU sudah memiliki tim yang (semestinya) dapat menjalankan misinya. Namun, pada perjalanannya mulai nampak bahwa sistem kurang dikelola secara optimal sehingga menimbulkan banyak masalah. (I documented the problems elsewhere. Perhaps in the future I will put them here.)

Masalah yang menjadi perhatian saya adalah sisi security, yang kebetulan merupakan topik yang saya minati. Dalam pandangan saya, masalah yang terbesar adalah sisi cara pengelolaan dan penggunaan teknologi yang digunakan. Saya ambil contoh.

Dalam proses perhitungan yang lalu terdapat banyak masalah yang dapat dikatakan akibat dari keteledoran (lalai). Data-data yang seharusnya masih nol, ternyata berisi angka. Capacity planning kurang diperhatikan sehingga kisruh masalah bandwidth. Puncaknya adalah adanya berhasilnya sistem dijebol sehingga data-data nama partai berhasil diubah. (Ada partai kolor ijo segala!)

Tuntutan dari sebagian orang yang melek IT bahwa sistem harus diaudit ditanggapi dengan pernyataan bahwa tidak ada standar audit IT. Padahal audit teknologi yang terkait dengan security sudah lama saya lakukan. Sangat disayangkan bahwa KPU belum mengerti adanya bidang ini. Kemudian ramai orang membicarakan masalah audit IT ini, meski umumnya membahas dari kerangka information system (IS). Tidak salah. Tapi mungkin banyak yang lupa (atau belum tahu) bahwa ada juga audit dari sisi teknologi (IT).

Hari ini, Rabu 19 Mei 2004, ada sebuah artikel Koran Tempo (hal 4.) berjudul "KPU TETAP GUNAKAN TEKNOLOGI INFORMASI". Tidak ada salahnya. Namun kalimat yang membuat saya terhenyak, dan juga memicu tulisan ini adalah pernyataan dari Ketua KPU bapak Nazaruddin Sjamsuddin tentang audit KPU, "Yang audit KPU sendiri". (emphasis dari saya). Kemudian dicontohkan bahwa perusahaan telekomunikasi dan perusahaan listrik fasilitasnya tidak pernah diaudit. Memang tidak banyak orang yang tahu (apa perlu diworo-woro) bahwa saya pernah mengaudit sebagian dari fasilitas beberapa perusahaan telekomunikasi. Audit pun harus dilakukan oleh pihak ketiga yang independen. (Unfortunately, I don't have access to ISO 17799 handy. If I recall correctly, it's there.) Bagaimana pertanggung-jawaban hasil audit jika dilakukan oleh diri sendiri?

Dalam institusi finansial, misalnya, ada bagian audit yang melakukan audit terhadap divisi IT. Audit terhadap IT tidak dapat dilakukan oleh divisi IT itu sendiri. Demikian pula penanganan insiden, tidak dilakukan oleh divisi IT tapi oleh sebuah incident response team yang terpisah (yang mungkin langsung bertanggung jawab ke CEO). Mengapa hal ini dilakukan? Karena harus ada separation of duty (lagi-lagi ini term dari ISO 17799).

Di ambil dari buku Shon Harris, "Mike Meyer's Certification Passport: CISSP," Osborne: A security officer should be a separate entity from management and the IT department to ensure that all decisions are made for security purposes only. The security officer's findings and recommendations should be presented to a group that has anonimity from others.

[Catatan, pada Pemilu 1999, saya bertugas *hanya* untuk urusan security saja.]

Belakangan ini dilaporkan bahwa ada kelompok (yang menyebutkan diri sebagai TNP Auditor Team) yang sudah berhasil mendapatkan sebagian data-data dari server KPU. Data-data tersebut adalah program yang digunakan oleh IT KPU. IT KPU mengkonfirmasi bahwa data-data tersebut bukan dari mesin production melainkan dari mesin development. Production atau bukan, informasi sudah bocor. (Lain ceritanya jika memang source codenya sengaja di-open-source-kan.) Lagi-lagi kelalaian.

Melihat gejala-gejala seperti ini, nampaknya saya harus bersuara. Opini saya, seperti judul tulisan ini: "Sistem IT KPU saat ini kurang pantas digunakan untuk Pemiihan Presiden". Sistem harus diaudit oleh pihak ketiga yang independen. Mumpung masih ada waktu. Ini bukan sistem untuk main-main akan tetapi sistem yang menyangkut hajat orang banyak. Apa yang sudah dilakukan sekarang belum cukup. It's not good enough.

Sebagai catatan, agar tidak timbul kesalahpahaman perlu saya jelaskan bahwa meskipun pekerjaan saya adalah mengaudit (teknologi dan non-teknologi) security IT, namun saya TIDAK TERTARIK DAN TIDAK BERSEDIA untuk mengaudit sistem IT KPU. Silahkan pihak lain yang melakukannya. Jika memang dianggap tidak ada yang kompeten di Indonesia, silahkan hire auditor asing saja. Sekalian lebih independen (mungkin?). Yang penting, sistem harus diaudit. Itu tuntutan saya sebagai warga negara Indonesia. Silahkan mau didengar atau tidak. At least, saya sudah menyuarakan suara saya.

Plong!



Budi Rahardjo