Gangguan pada layanan Microsoft 365 yang dimulai pada Rabu (12/11) pukul 18.00 UTC atau Kamis (13/11) pukul 01.00 WIB dinilai sebagai insiden serius, tetapi bukan serangan siber. Chairman Lembaga Riset Keamanan Siber dan Komunikasi (CISSReC) Pratama Persadha menyebut gangguan tersebut dipicu kelebihan beban pada proses inti server.
Pratama mengatakan kepada CNN Indonesia, gangguan ini memperlihatkan bahwa kegagalan teknis dapat menghentikan kegiatan organisasi besar tanpa adanya pelaku serangan, malware, maupun eksploitasi celah keamanan.
Kegagalan teknis dan tata kelola perubahan
Menurut Pratama, proses inti yang terlalu terbebani membuat sistem gagal melewati pemeriksaan kesehatan otomatis. Akibatnya, sejumlah layanan berhenti memproses permintaan dari pengguna.
“Yang paling penting dari insiden ini bukan penyebabnya, melainkan buktinya bahwa kegagalan teknis biasa bisa melumpuhkan operasi organisasi sebesar apa pun tanpa perlu serangan siber. Tidak ada penyerang, tidak ada malware, tidak ada eksploitasi kerentanan. Yang ada hanya proses inti yang kelebihan beban,” ujar Pratama.
Ia menyebut pola gangguan seperti ini telah berulang pada sejumlah penyedia layanan komputasi awan global dalam dua tahun terakhir. Gangguan berskala luas, menurutnya, lebih sering berkaitan dengan perubahan konfigurasi, pembaruan sistem yang bermasalah, atau kegagalan kapasitas daripada serangan siber yang rumit.
Microsoft telah memastikan tidak terdapat indikasi aktivitas serangan yang menyebabkan gangguan tersebut. Layanan yang terdampak meliputi Exchange Online, Teams, SharePoint Online, OneDrive, Microsoft 365 Copilot, Defender XDR, Intune, serta portal Microsoft 365.
Pemulihan dilakukan secara bertahap dengan menguji metode pemeriksaan kesehatan alternatif, memulai ulang server, dan menelaah kemungkinan pengembalian perubahan konfigurasi terbaru.
Pratama menilai langkah mitigasi risiko tidak cukup jika hanya mengandalkan pertahanan keamanan siber. Organisasi juga perlu menerapkan disiplin operasional serta tata kelola yang ketat dalam setiap perubahan pada sistem teknologi.
Dampak di Indonesia belum terpetakan
Laporan pengguna Indonesia mengenai gangguan tersebut muncul dalam forum pemantauan, tetapi jumlahnya lebih sedikit dibandingkan lonjakan laporan di Eropa dan Amerika Serikat. Pratama menduga perbedaan itu dipengaruhi waktu kejadian yang berlangsung dari dini hari hingga pagi di Indonesia, ketika aktivitas kerja belum berada pada tingkat tertinggi.
Selain faktor waktu, banyak pengguna korporasi di Indonesia memakai jalur dan konfigurasi jaringan masing-masing. Namun, ia menekankan minimnya laporan tidak berarti infrastruktur yang digunakan pengguna di Indonesia tidak terdampak.
“Kita baru tahu ada gangguan setelah ramai dibicarakan, bukan karena ada kanal resmi yang memberi tahu lebih dulu,” kata Pratama.
Menurut dia, belum tersedia sistem pelaporan gangguan terpusat yang dapat memetakan dampak insiden secara nasional. Microsoft juga tidak merilis rincian jumlah pengguna terdampak berdasarkan negara, sehingga dampak gangguan terhadap pengguna di Indonesia belum dapat dihitung secara resmi.
Dari sisi arsitektur, layanan Microsoft 365 dan Azure yang dipakai di Indonesia bergantung pada pusat data regional di luar negeri, antara lain di Singapura, Jepang, dan Australia. Karena itu, gangguan di infrastruktur global berpotensi dirasakan pengguna di Indonesia, meskipun tingkat dan lamanya dampak dapat berbeda.
Potensi gangguan layanan pemerintah
Pratama juga menilai insiden pada Microsoft 365 dapat memengaruhi situs serta layanan pemerintah di Indonesia. Banyak instansi pusat dan daerah menggunakan layanan tersebut untuk surat elektronik kedinasan, pengiriman dokumen, hingga rapat daring.
Apabila layanan berhenti beroperasi, dampaknya tidak terbatas pada komunikasi internal instansi. Proses administrasi yang berkaitan langsung dengan pelayanan kepada masyarakat juga dapat terhenti.
Ia menyebut Indonesia telah mempunyai lembaga yang memiliki mandat untuk menjaga keamanan siber nasional. Namun, disiplin pelaporan insiden di lingkungan instansi dinilai belum setara dengan negara yang telah lama menerapkan kewajiban pelaporan, seperti Australia.
“Risikonya bukan hanya teknis, tetapi tata kelola. Ketika insiden terjadi, siapa yang memantau, siapa yang mengumumkan, dan siapa yang memutuskan langkah darurat, itu belum sepenuhnya tegas,” ungkap Pratama.
Pratama menegaskan gangguan tersebut bukan alasan untuk menghentikan digitalisasi. Ia menilai organisasi perlu membangun kemampuan untuk tetap beroperasi saat teknologi mengalami gangguan, termasuk kemampuan mengukur seberapa besar dampak insiden terhadap layanan mereka.