Aturan Siber Baru Singapura Menempatkan Dewan Direksi dan Sistem Cloud dalam Sorotan

Singapura memperlebar batas perlindungan keamanan siber untuk infrastruktur informasi kritis atau critical information infrastructure (CII). Melalui pembaruan Cybersecurity Code of Practice, operator di 11 sektor esensial akan menghadapi kewajiban yang lebih ketat terkait deteksi ancaman, tata kelola tingkat eksekutif, sistem yang saling terhubung, latihan ketahanan, dan infrastruktur pendukung.

Perubahan ini datang ketika operasi siber semakin cepat dan canggih, termasuk serangan yang dibantu kecerdasan buatan (AI) serta aktivitas kelompok advanced persistent threat (APT) yang disponsori negara. Salah satu contoh paling serius adalah UNC3886, yang pada 2025 menargetkan keempat operator telekomunikasi utama Singapura.

Apa yang berubah bagi operator CII?

1. Sistem deteksi ancaman pemerintah akan dipasang di berbagai segmen jaringan

Pemilik CII akan bekerja sama dengan Cyber Security Agency of Singapore (CSA), badan pemerintah Singapura yang menangani keamanan siber, untuk menerapkan sistem deteksi ancaman buatan lokal di berbagai segmen jaringan yang relevan. Tujuannya adalah memperluas visibilitas dan menemukan aktivitas berbahaya, bukan hanya di sistem yang secara resmi ditetapkan sebagai CII, tetapi juga di bagian lingkungan operasional yang terhubung dengannya.

Perluasan ini penting karena penyerang dapat memanfaatkan sistem yang perlindungannya lebih lemah sebagai pintu masuk menuju infrastruktur kritis. Singapura menyatakan bahwa pelaku ancaman semakin menargetkan sistem non-CII untuk alasan tersebut.

2. Keamanan siber menjadi tanggung jawab seluruh dewan

Dalam pendekatan baru ini, akuntabilitas tidak lagi berhenti pada departemen TI atau satu pejabat yang ditunjuk. Seluruh dewan direksi dan manajemen senior akan diharapkan mengawasi risiko siber serta kemampuan pemulihan organisasi.

Dewan harus memiliki kerangka ketahanan siber terdokumentasi yang mencakup:

• tingkat risiko siber yang bersedia ditanggung organisasi;
• langkah untuk mengurangi dan mengelola risiko tersebut;
• kemungkinan pengalihan risiko, misalnya melalui pengaturan asuransi atau kontrak; dan
• prioritas serta kemampuan pemulihan setelah insiden.

Kerangka tersebut wajib ditinjau setidaknya satu kali setiap tahun.

Kewajiban ini menjadikan ketahanan siber sebagai tugas tata kelola yang berulang, bukan sekadar proyek kepatuhan satu kali. Direksi juga mendapat peran yang lebih jelas dalam menentukan risiko yang dapat diterima perusahaan dan bagaimana layanan akan terus berjalan setelah insiden serius.

3. Pengawasan meluas ke sistem yang terhubung

Pemilik CII harus mengawasi sistem yang terhubung, berkomunikasi, atau mendukung CII mereka. Aturan baru juga menuntut arsitektur jaringan yang lebih kuat, pengelolaan pemantauan dan deteksi yang lebih baik, serta rencana latihan keamanan siber yang menyeluruh untuk merespons insiden secara terkoordinasi.

Dampak praktisnya, operator perlu memiliki peta ketergantungan yang lebih lengkap. Sistem di luar penetapan formal sebagai CII tetap mungkin memerlukan pemeriksaan lebih ketat jika dapat menjadi jalur menuju layanan kritis atau memengaruhi pemulihan setelah serangan.

4. Sistem non-CII pendukung harus mencapai Cyber Trust Mark Level 5

Pada akhir 2027, pemilik CII diwajibkan meraih Cyber Trust Mark (CTM) Level 5 untuk sistem non-CII yang mereka kendalikan dan gunakan untuk mendukung kegiatan usaha atau layanan. Dengan demikian, kewajiban jaminan keamanan tidak hanya berlaku pada sistem yang secara resmi dikategorikan sebagai infrastruktur kritis.

Level 5 merupakan tingkat tertinggi dalam kerangka Cyber Trust Singapura. Program sertifikasi yang lebih luas ini mencakup keamanan siber konvensional, keamanan cloud, keamanan teknologi operasional (OT), dan keamanan AI.

Tujuannya adalah memperkecil celah antara sistem CII yang sangat terlindungi dan infrastruktur perusahaan di sekitarnya—yang mungkin berbagi kredensial, perangkat administrasi, jaringan, atau proses pemulihan.

Mengapa Singapura memperketat aturan?

AI mempersempit waktu untuk bertahan

CSA menyatakan bahwa pembaruan kode tersebut ditujukan untuk menghadapi ancaman APT dan serangan yang didukung AI. AI dapat membantu penyerang bekerja dengan kecepatan, skala, dan kecanggihan yang lebih tinggi. Kondisi ini menekan organisasi untuk mendeteksi aktivitas mencurigakan lebih awal dan merespons di seluruh lingkungan operasional, bukan hanya mengandalkan perlindungan di batas jaringan.

Karena itu, respons kebijakan Singapura tidak hanya berupa penambahan satu alat teknis. Deteksi, tata kelola, sertifikasi, dan latihan digabungkan agar operator mampu mengenali ancaman, mengambil keputusan dengan cepat, serta memulihkan layanan kritis jika pencegahan gagal.

UNC3886 memperlihatkan nilai strategis infrastruktur telekomunikasi

Kampanye UNC3886 pada 2025 menargetkan empat operator telekomunikasi utama Singapura. Pemerintah Singapura menggambarkannya sebagai kampanye yang disengaja, terarah, dan terencana dengan baik, yang dilakukan oleh pelaku dengan kemampuan tingkat lanjut.

CSA juga mengidentifikasi UNC3886 sebagai kelompok APT yang disponsori negara. Kelompok ini menggunakan teknik canggih, termasuk metode living off the land—memanfaatkan perangkat dan alat yang sudah tersedia di sistem korban—serta eksploit zero-day, sambil membidik aset strategis bernilai tinggi seperti infrastruktur kritis.

Singapura merespons melalui Operation CYBER GUARDIAN, operasi terkoordinasi yang melibatkan lembaga pemerintah dan perusahaan telekomunikasi. Otoritas menyatakan bahwa insiden berhasil dikendalikan tanpa mengganggu layanan telekomunikasi, dan tidak ditemukan bukti bahwa data pelanggan telah dikompromikan.

Tidak adanya gangguan layanan yang dilaporkan bukan berarti insiden tersebut tidak relevan bagi sektor lain. Kasus ini menunjukkan mengapa telekomunikasi, energi, layanan kesehatan, keuangan, transportasi, dan layanan esensial lainnya dipandang sebagai target strategis—serta mengapa Singapura memperluas kontrol ke sistem dan pemasok di sekitar CII.

Cloud dan keamanan pihak ketiga menjadi lapisan berikutnya

Singapura berencana memperkenalkan Cybersecurity Code of Practice for Cloud Services yang mengikat secara hukum pada paruh kedua 2026. Kode terpisah ini diperkirakan mengatur penerapan, pengoperasian, dan pengelolaan sistem CII yang ditempatkan di lingkungan cloud.

CSA telah bekerja sama dengan AWS, Google Cloud, dan Microsoft Azure untuk menyusun panduan penerapan yang spesifik bagi masing-masing penyedia. Panduan tersebut mencakup konfigurasi yang sesuai dan pemanfaatan kemampuan keamanan bawaan cloud.

Batas waktu sertifikasi juga mencakup rantai pasok keamanan siber:

• auditor CII harus mencapai CTM Level 5 pada akhir 2026;
• penyedia layanan pengujian penetrasi berlisensi dan pusat operasi keamanan terkelola (managed security operations centre) harus mencapai CTM Level 3 pada akhir 2026; dan
• pemilik CII harus mencapai CTM Level 5 untuk sistem pendukung yang relevan pada akhir 2027.

Langkah-langkah ini mencerminkan prinsip yang lebih luas: keamanan operator kritis tidak hanya bergantung pada kontrol internalnya, tetapi juga pada organisasi yang mengaudit, memantau, menguji, dan menjadi tempat sistem tersebut di-hosting.

Apa yang masih belum jelas?

Persyaratan CII yang diperbarui telah dicantumkan oleh CSA, tetapi kewajiban rinci dalam kode cloud yang terpisah masih dikembangkan. Materi publik telah menjelaskan jadwal dan fokus umum aturan cloud, sementara persyaratan khusus bagi penyedia cloud, subkontraktor, dan pembagian tanggung jawab keamanan belum sepenuhnya ditetapkan.

Untuk operator CII, prioritas langsungnya adalah menilai seluruh rantai ketergantungan: CII yang ditetapkan, sistem terhubung, beban kerja cloud, lingkungan pemulihan, pemasok, dan layanan keamanan yang dialihdayakan.

Arah kebijakan Singapura sudah jelas meskipun sebagian detail implementasi masih menunggu publikasi: batas yang harus dilindungi kini bukan hanya sistem yang menyandang label CII, melainkan seluruh ekosistem operasional.