Itu terjadi pada bulan Mei. Seorang kontraktor mengacau. Mereka membiarkan pintu depan terbuka lebar.
Brian Krebs menemukan kekacauan itu terlebih dahulu. Bukan kesalahan kecil, ini adalah situasi penyanderaan digital yang menunggu untuk terjadi. Seorang karyawan kontraktor CISA mengunggah repositori GitHub yang berisi banyak sekali kata sandi. Kunci akses untuk sistem pemerintahan AS, tersedia untuk siapa saja yang memiliki browser web.
Hasil postmortem CISA sendiri mengungkap kebenaran yang tidak mengenakkan. Mereka tidak punya rencana. Tidak ada. Ketika keadaan masih belum membaik sejak penemuan awal tersebut, staf CISA tidak melakukan tindakan apa pun. Mereka menulis itu.
“Staf harus meluangkan waktu untuk menyusun pedoman selama tahap awal insiden.”
Pikirkan tentang itu. Anda adalah perisai terhadap serangan jaringan federal, namun Anda berimprovisasi bagaimana mempertahankan perisai ketika data mulai bocor. Seharusnya tidak seperti ini, tapi ternyata berhasil.
Krebs memperhatikan paparan tersebut. Seorang peneliti dari GitGuardian mencoba memperingatkan kontraktor terlebih dahulu. Kesunyian. Kekosongan itu tidak memberikan imbalan apa pun. Jadi Krebs naik ke rantai itu. Dia menghubungi CISA. Baru pada saat itulah tindakan terjadi.
Repositorinya rusak. Kredensial dicabut. Diganti.
Tidak ada data pelanggan yang hilang. Itu adalah sesuatu, menurutku. CISA berterima kasih kepada reporter dan peneliti atas penyelamatannya. Hampir saja. Mungkin terlalu dekat.
Badan tersebut mengakui saluran mereka untuk para peneliti tidak jelas. “Tidak terdefinisi dengan baik,” begitulah mereka menyebutnya. Mereka sedang memperbaikinya. Jalur notifikasi yang lebih cepat sekarang. Buku pedoman untuk kebutuhan yang diantisipasi. Idenya adalah agar Anda tidak menulis buku peraturan selama kebakaran. Anda membacanya sebelum percikan.
Namun penundaan masih terjadi. Seorang juru bicara tidak akan mengatakan berapa banyak waktu yang terbuang saat pedoman tersebut sedang disusun. Keheningan pada detail itu berbicara banyak.
Apakah kita terkejut?
Infrastruktur semakin diperkuat. Orang lupa menambal. Kadang-kadang, bahkan para pembela HAM harus memikirkan apa yang harus dilakukan ketika kepanikan mulai terjadi.
