Cyberthreat.id – Huawei menjadi sorotan dunia selama tiga tahun terakhir ketika Amerika Serikat menudingnya telah membuat peralatan telekomunikasi 5G yang tidak aman.

AS mencurigai bahwa intelijen pemerintah China memiliki hubungan dengan perusahaan teknologi terkemuka tersebut.

Bertahun-tahun Huawei menyediakan peranti telekomunikasi, bahkan untuk negara-negara di Eropa dan daerah pelosok di AS mengandalkan teknologi Huawei untuk jaringan 4G-nya. Namun, ketika Donald Trump menjadi Presiden AS, Huawei mendapat serangan keras.

Medio 2019, Trump mengeluarkan perintah agar Huawei masuk daftar hitam perusahaan di Kementerian Perdagangan. Praktis, Huawei dilarang berhubungan dengan perusahaan-perusahaan teknologi AS, begitu pula sebaliknya. Ketika perintah itu diketuk, Google adalah perusahaan teknologi AS pertama yang memutuskan hubungan bisnis. Imbasnya, perangkat seluler terbaru Huawei tidak dilengkapi Android Google dan produk turunannya.

Himpitan tersebut memaksa Huawei menggodok secara serius sistem operasi sendiri berjuluk HarmonyOS atau dikenal pula dengan HongMeng. Tahun ini, HarmonyOS sudah dipakai di perangkat seluler dan dipasarkan di Indonesia.

Di tengah badai itu, Huawei berusaha untuk melawan, menyebut bahwa segala tudingan itu tak berdasar. Huawei menyatakan bahwa selama ini perusahaan peduli dan fokus terhadap masalah keamanan, termasuk isu privasi data yang saat ini menjadi perhatian seluruh negara di dunia.

Untuk melihat gambaran tentang isu keamaman dan privasi, wartawan Cyberthreat.id Andi Nugroho telah mewawancarai Cybersecurity and Privacy Protection Officer Huawei Indonesia, Syarbeni saat ditemui di acara “Huawei ICT Outlook 2022” di Raja Ampat, Papua Barat, Jumat (26 November 2021).

Seperti apa Huawei melihat privasi dan keamanan ?

Pertama, yang harus dipahami, berkembangnya dunia yang semakin digital ini enggak bisa dihindari, karena perkembangan teknologi jadi lebih jauh lagi, lebih banyak lagi infrastruktur kritis dan informasi yang terintegrasi. Oleh karena itu, sebuah keniscayaan dari sebuah aplikasi atau bisnis yang dijalankan itu menjadi erat hubungannya terkait dengan tiga bagian, yaitu keamanan siber, membangun kepercayaan, dan perlindungan privasi.

Kedua, ketika kita berbicara tentang keamanan siber dan perlindungan data pribadi, bahwasanya ialah shared responsibility (tanggung jawab bersama). Jadi, ini tidak bisa kepada satu orang saja, ke satu institusi saja, tetapi ini menjadi tanggung jawab bersama. Di sana ada aspek pemerintah selaku regulator, yang memastikan bahwasanya perangkat yang dipasang atau yang diimplementasikan ini aman tepercaya dan terserifikasi secara standar keamanan itu.

Juga, masih ada operator layer, application layer, dan lainnya yang harus beroperasi dari sisi aspek implementasi teknologi.

Ketiga, juga kita harus sadar bahwasanya proses pilar keamanan itu juga harus diperhatikan tata kelolanya. Namun, lebih jauh lagi adalah yang menjalankan teknologi dan prosesnya, yaitu orangnya. Jadi, kita juga enggak boleh berhenti membangun, selain menguatkan aspek teknologi dan proses tata kelolanya. Kita juga harus pastikan orang yang menjalankan itu punya kapasitas dan kapabilitas.

Terkait 5G sekarang, misalnya, kita kan punya organisasi internasional yang mengatur, berkolaborasi membangun standar keamanan, yaitu GSMA. Salah satunya ialah ada uji perangkat melalui NESAS (Network Equipment Security Assurance Scheme).

Kami juga mengikuti life cycle itu dan sudah tersertifikasi dengan itu. Laboratorium kami juga memberikan rambu-rambu untuk mendorong bagaimana produk-produk yang diimplementasikan itu sudah tersertifikasi secara setandar.

Bisa dijelaskan tentang NESAS ?

NESAS dirilis dari 2019. Ini sebuah metode evaluasi keamanan produk yang merupakan joint deploy antara GSMA dan 3GPP (istilah untuk sejumlah organisasi yang mengembangkan protokol telekomunikasi seluler, red). 3GPP punya spesifikasi teknis dari 5G, termasuk aspek keamanannya. Jadi, kami juga harus memastikan perangkat kami memenuhi kriteria-kriteria spesifikasi teknis keamanan ketika diterapkan di Indonesia.

Isu privasi dan keamanan menjadi perhatian Huawei sejak kapan?

Sudah lama ya. Kami sangat concern sekali dengan ini. Kami pastikan bahwa kami menyesuaikan dengan hukum yang berlaku di negara terkait, karena masing-masing negara mempunyai penerapan yang berbeda—ada yang sudah aktif undang-udangnya, ada juga yang masih dalam draf.

Kami tidak hanya fokus pada regulasi lokal, tapi juga bagaimana perspektif global. Keamanan siber itu bukan hanya menjadi bagian yang penting, tapi top priority.

Di sisi lain, kami harus memastikan orang bisa menikmati layanan digital dan mereka merasa safe, ketika data subjek itu perlu diolah, kan itu ada aturan-aturan yang mengaturnya.

Dalam hal privasi dan keamanan, Huawei sebagai data controller atau data processor?

Sebagai data processor, kami melakukan instruksi berdasarkan kebutuhan dari data controller. (Data controller ini, seperti operator telekomunikasi, red)

Masalah privasi dan keamanan menguat ketika UU GDPR di Eropa muncul, apakah Huawei sudah mengantisipasi itu atau sejak GDPR muncul, Huawei baru mulai concern ke isu tersebut?

Sebetulnya ketika ada atau tidak ada [GDPR], masing-masing (negara) itu kan ada peraturan-peraturan yang mengatur itu. Kami punya tim legal yang melakukan pemetaan (mapping), bagaimana memastikan regulasi lokal diimplementasikan, tentunya adanya best practice, semacam panduan buat kami, mana rambu-rambu yang harus kami lebih perhatikan terkait perlindungan privasi.

Ya kembali lagi, kami tidak hanya mengajarkan teknologi secara digital, tapi bagaimana orang yang menggunakan digital, menikmati layanan digital ini yang terhubung dengan segala macam ya—mereka juga nyaman dan aman, datanya juga terlindungi dan digunakan sebagaimana mestinya.

Pengalaman Huawei dengan GDPR, bagaimana?

Pengalaman banyak ya. [GDPR] ini sudah dijadikan klausal dari permintaan customer kami.

Bisa dikonkretkan terkait posisi  data controller dan data processor secara lebih mudah ?

Secara lebih mudah, kami (Huawei) bisa digambarkan sebagai tempat lalu lintas, di tengah-tengah. Lalu lintas informasi ini bisa lewat dan bisa diambil.

Ketika berbicara dalam perlindungan data, kami mengambil data di tengah-tengahnya harus dengan persetujuan dari pengguna. Kami tidak bisa langsung ambil, karena kami bertanya ke data controller. Misal, untuk kebutuhan analisis bisnis dan segala macam informasi, kami kembali tanyakan kepada data controller apakah mereka ketika meminta data processor melakukan aktivitas tersebut sudah mendapatkan persetujuan dari subjek data (pemilik data) atau belum?

Kami memastikan jangan sampai juga kebutuhan bisnis ini tidak mematuhi dengan regulasi yang berlaku.

Pada dasarnya informasi itu ada di jalur, kami menyediakan pipa jalurnya saja. Jadi, ketika lewat, data itu diambil berdasarkan kebutuhan. Ketika kami mau  ambil data itu, data mentah itu bisa diolah sesuai dengan kebutuhan. Ketika customer meminta, kami informasikan kembali ulang dengan kebutuhannya.

Contoh, ada permintaan analisis bisnis, tentunya mereka membutuhkan data mentah dan segala macam, nanti ada proses yang digunakan untuk mengambil data mentah untuk diolah sehingga menjadi sebuah konklusi dari analisis data.

Contoh konkretnya seperti apa?

Misalkan, layanan apa sih yang banyak digunakan di handphone ketika seseorang menggunakan handphone. Apakah mereka gunakan untuk streaming? Apakah digunakan untuk shopping?

Shopping itu seperti apa? Misalkan, pakaian. Ini diakses dari mana lokasinya? Itu termasuk bagian dari personal data juga karena terkait dengan user dan buyer.

Yang dibaca Huawei dari data pengguna itu apa saja?

Semua dari data mentah yang lewat jaringan (network) kami. Kami lihat dari apps, melihat dari customer. Kami menyediakan jalannya saja, nanti apa yang dilewatkan di jalan itu diatur.

Apakah secara khusus menargetkan data tertentu?

Jadi, informasi sudah ada di sana (di jaringan), tinggal diambil berdasarkan kebutuhan informasi yang dibutuhkan.

Data itu disediakan untuk pihak ketiga?

Pihak ketiga untuk hal ini siapa?

Iklan mungkin?

Itu mungkin yang bisa menjawab teman-teman operator seluler, kami selaku data processor, memberikan berdasarkan [data mentah] itu. Memang, saya lihat di operator seluler, mereka mempunyai concern ketika [data] itu digunakan baik sifatnya peningkatan layanan maupun diberikan untuk rekomendasi layanan, salah satunya itu.

Selaku data processor, kami tidak bisa mengambil data tersebut berdasarkan dengan sifat pribadi, tetapi ketika dibutuhkan oleh data controller.

Biasanya data seperti itu diminta oleh siapa? Operator seluler, ya?

Dalam artian operator telekomunikasi membutuhkan untuk memberikan peningkatan layanan troubelshooting dan segala macam supaya kualitas lebih baik. Di lain sisi, bisnis terus berkembang secara digital dengan analisis kebutuhan terkait dengan itu.

Apakah data analisis itu menyentuh informasi data pribadi?

Kalau yang saya pahami, kebutuhan data itu diusahakan untuk data general, misal, top three aplikasi yang menggunakan layanan tertentu dan tidak spesifik jam segini user membuka aplikasi apa. Regulasi Indonesia sendiri mengatur itu.

Pandangan Huawei Indonesia terhadap RUU Perlindungan Data Pribadi (PDP) di Indonesia?

Pertama kami sangat mendukung RUU PDP. Ini jadi tantangan buat kita, jangan sampai perundangan-undangan yang berlaku menjadi komoditi, jadi bentuk opini.

Suatu produk menjadi aman atau tidak aman, standaranya melalui teknologi, sehingga ada justifikasi suatu produk aman dan terpercaya atau terlindungi. Bukan lagi menjadikan bentuk opini, artinya [produk yang] tidak tepercaya, itu perlu ada indikatornya.

Terkait dengan RUU PDP, kami terus meng-update mengenai itu, tapi kami memiliki spesifik yang berbeda. Untuk GDPR (regulasi perlindungan data pribadi yang diterapkan di Eropa, red) sendiri kami sudah siap, itu sudah praktik yang berjalan. Untuk di Indonesia sendiri, [UU PDP] memiliki item sendiri yang masih kami tunggu.

Adakah pemikiran dari Huawei untuk RUU PDP?

Perlu diperkuat fungsi-fungsinya, seperti data pengguna, data processor, data controller. Tata kelolanya, bagaimana membangun struktur dalam pengelolaan itu.

Huawei diterpa ‘badai’ terus nih di Eropa, Kanada, AS. Bagaimana dengan kondisi di Indonesia dan China?

Ini topik yang menarik untuk diangkat, seperti yang disampaikan CEO kami (Huawei Indonesia, Jacky Chen), kami berpikir bahwasanya dari Huawei sendiri, menyangkut keamanan siber dan privasi dikembalikan ke teknologi.

Memang Huawei terliibat terlalu dalam (isu di AS dan Eropa, red). Opini-opini [yang menyatakan Huawei tidak aman] ini perlu dibuktikan. Yang bisa kami lakukan dari Huawei ialah dengan standar yang sudah ditentukan.

Sejauh ini tidak ada isu tentang accident yang merugikan banyak pihak. Perlu kami pastikan, bagian dari keamanan dan perlindungan privasi tidak dipisahkan dari teknologi, karena kami melakukan banyak sertifikasi internasional, bukan hanya secara nasional. Kami membuktikan dengan sertifikasi, tetapi misalkan, [isu tersebut] menjadi domain opini politik, sudah di luar jangkauan kami.

Sebenarnya produk Huawei sama atau tidak di setiap negara?

Berbicara tentang teknologi, kami memiliki standar spesifikasi standar global. Cuma, bedanya mungkin 5G ada evolusinya, seperti ada standalone (SA) dan non-standalone (NSA). Tiap negara spesifikasinya sama, tapi memiliki perbedaan, misal di satu negara sudah di tahap dua, tapi di Indonesia masih di tahap pertama. Bagi kami sebuah standar menjadi kepentingan.

(Istilah SA dan NSA pada 5G menyangkut sifat transisi peralihan. Ada yang menerapkan secara langsung, atau masih menggunakan alat yang sama dengan 4G sebelum akhirnya beralih penih ke teknologi 5G, red)

Perangkat 5G Huawei dituding memiliki backdoor yang terpasang di perangkat, apakah klaim itu sudah diuji atau hanya opini AS?

Itu harus dibuktikan, setahu saya, yang menuding sendiri belum bisa membuktikan, melainkan asumsi.

Asumsi yang diangkat adalah bercerita tentang lalu lintas data tadi itu: “digunakan oleh pihak negara untuk memata-matai negara tertentu”—itu kan klaim sepihak.

Indonesia sendiri sudah melakukan MoU juga untuk tidak memata-matai satu sama lain. Founder Huawei Ren Zhengfei juga siap untuk melakukan MoU kepada siapa pun untuk komitmen untuk “no backdoor”.

Secara teknologi, kami sudah tersertifikasi standar kemanan. Secara perusahaan memiliki komitmen untuk “no backdoor” untuk siapa pun.

(Backdoor adalah istilah untuk akses pintu belakang. Teknologi ini dipakai untuk mengakses sistem tanpa autentikasi dan biasanya dipakai saat mendapati dan memperbaiki kerentanan, red).

Tidak ada satupun teknologi yang tidak memiliki vulnerability (kerentanan). Maka, ada prosedur yaitu Product Security Incident Response (PSIRT). Itu terjadi di semua produk. Misalnya, produk ini perlu di-patch (ditambal kerentanannya, red). Ketika tim kami mendapatkan [kerentanan] itu, kami publikasikan, notifikasi ke customer [untuk ditambal]: “Ini perlu upgrade dan sebagainya”. Itu merupakan prosedur yang normal.

Apakah PISRT untuk umum ?

Security itu untuk umum apabila ada celah kejahatan dan bisa dilaporkan seperti bug bounty. Ada yang merespons untuk menindaklanjuti penanganan itu. Misalkan ada celah, ada prosedurnya untuk melaporkan. Kami tidak bisa bilang 100 persen perfect dalam sistem.

Donald Trump menuding backdoor lantaran Mr. Ren Zhengfei memiliki latar belakang militer China, ada kemungkinan intelijen China memiliki akses tersebut…

Saya rasa bukan itu yang saya pahami. Yang dipahami Amerika bahwa Mr. Ren Zhengfei memiliki latar belakang militer lama dan sudah tidak aktif di kegiatan militer ketika mendirikan Huawei.

Yang kedua, dikhawatirkan melalui lalu lintas data itu, [Huawei] memberikan informasi ke China. [Konteks] ini menjadi bukan aspek teknologi, tetapi penyalahgunaan informasi—ini aspek yang dibahas di Amerika.

Di China sendiri memiliki regulasi setiap perusahaaan teknologi berkewajiban untuk lapor ke pemertintah dalam artian seperti apa?

Contohnya dalam penegakan hukum. Ada peraturan penyadapan dan itu memiliki persetujuan dari peradilan. Huawei memiliki komitmen sendiri terhadap “no backdoor”.

Huawei di Indonesia membuka bug bounty?

Untuk global sendiri saya belum lihat untuk bug bounty.

(Bug bounty adalah pelaporan celah keamanan terhadap aplikasi atau sistem oleh peneliti keamanan, kemudian pelapor diberi penghargaan atau hadiah atas jasanya tersebut.)

Bisa dijelaskan di balik kinerja tim keamanan sendiri ketika mengatasi bug?

Kami sentralistik. Ada salah satu divisi khusus, kami punya independent security lab, yang itu dipecah-pecah lagi dari kryptografi, produk, enkripsi. Saya belum bisa bercerita banyak, tapi ada fokus R&D yang mengelola itu.

Untuk R&D di Indonesia?

Kalau di  Indonesia belum ada. Kalau di dunia memiliki tujuh security lab transparency center, yaitu di China, Belgia, dan di Eropa ada beberapa.

Apa yang bisa disampaikan Huawei Indonesia ke pengguna di Indonesia untuk produk-produk baru Huawei?

Saya kurang bisa menjawab secara utuh, tapi Huawei sudah men-develop untuk HarmonyOS menjadi bagian dari solusi dan membangun eksosistem.

HarmonyOS kapan mulai dipakai di Indonesia ?

Layanan itu sudah digunakan produk-produk baru kami. Tahun ini, kami gunakan versi baru.

Pesan Anda kepada konsumen yang harus menggunduh APK melalui smartphone Huawei?

Pertama kita harus waspada dan berhati-hati dari sumbernya, aplikasiya. [Permintaan] perizinan yang lebih teliti lagi. Perusahaan sendiri memiliki komitmen mengembangkan teknologi berstandardisasi sesuai spesifikasi keamanan.

Di perangkat Huawei memiliki teknologi untuk mencegah si user mengunduh sesuatu atau diperingatkan agar tidak mengunduh perangkat tersebut, misalnya?

Kami tidak dapat menjawab. Kami memiliki departemen sendiri untuk menjawab teknis tersebut karena di luar batas kewenangan kami.[]