Dasar-Dasar Keamanan Operasional (OPSEC)

Keamanan Operasional (OPSEC) adalah proses melindungi informasi sensitif dari pihak lawan dengan mengidentifikasi informasi penting, menganalisis ancaman, dan menerapkan tindakan penanggulangan. Awalnya merupakan konsep militer, kini OPSEC penting bagi profesional keamanan, jurnalis, dan aktivis.

Proses OPSEC formal:

1. Identifikasi informasi penting — apa yang harus dilindungi?
2. Analisis ancaman — siapa yang menginginkan informasi ini?
3. Analisis kerentanan — bagaimana informasi ini dapat terekspos?
4. Penilaian risiko — berapa probabilitas dan dampaknya?
5. Terapkan tindakan penanggulangan — kurangi risiko hingga tingkat yang dapat diterima

Potongan-potongan informasi yang tampaknya tidak berbahaya dapat digabungkan untuk mengungkapkan detail sensitif. Memposting kedai kopi yang Anda kunjungi, jadwal kerja, lingkungan tempat tinggal, dan model mobil secara terpisah dapat membentuk profil target. Pihak lawan mengagregasikan data sumber terbuka menjadi intelijen yang dapat ditindaklanjuti.

Mengurangi jejak digital Anda:

• Gunakan alias dan alamat email terpisah untuk tujuan yang berbeda
• Minimalkan paparan di media sosial publik
• Gunakan mesin pencari yang menjaga privasi (DuckDuckGo, Brave)
• Menolak keikutsertaan pada situs pialang data
• Tinjau izin aplikasi secara berkala

Kompartementalisasi memisahkan identitas, alat, dan aktivitas untuk membatasi kontaminasi silang. Seorang peneliti keamanan mungkin menggunakan perangkat, peramban, dan akun email terpisah untuk persona atau penugasan klien yang berbeda.

Memilih saluran komunikasi yang aman:

• Signal — perpesanan terenkripsi ujung ke ujung dengan pesan yang menghilang
• ProtonMail — email terenkripsi
• Jika memungkinkan, hindari email untuk diskusi sensitif
• Ketahuilah bahwa metadata (dengan siapa Anda berbicara dan kapan) sering kali sama mengungkapkannya dengan isi pesan

Tindakan OPSEC fisik:

• Gunakan filter privasi layar pada laptop di tempat umum
• Nonaktifkan mikrofon dan kamera saat tidak digunakan
• Waspadai pengintipan dari belakang bahu di ruang publik
• Gunakan enkripsi disk (BitLocker, FileVault, LUKS)
• Hancurkan dokumen sensitif

Kegagalan OPSEC yang terkenal:

• Sabu (LulzSec): lupa menggunakan Tor sekali → IP terungkap → ditangkap
• Ross Ulbricht (Silk Road): menggunakan nama pengguna yang sama di beberapa situs, bertahun-tahun sebelum membuat Silk Road
• Kelompok APT: menggunakan kembali kode malware atau infrastruktur yang terkait dengan operasi sebelumnya

Selama penugasan, penguji penetrasi menerapkan OPSEC untuk menyimulasikan pihak lawan yang sebenarnya dan menghindari terbukanya sistem klien secara tidak sengaja kepada penyerang sungguhan:

• Gunakan VPN atau infrastruktur penganonim
• Ganti tanda tangan alat secara berkala
• Bersihkan artefak setelah pengujian
• Dokumentasikan semua tindakan untuk pelaporan

Postur OPSEC Anda bergantung pada model ancaman Anda:

• Orang biasa: kebiasaan dasar penggunaan kata sandi yang baik + MFA
• Profesional keamanan: kompartementalisasi + enkripsi kuat
• Jurnalis/aktivis: penggunaan Tor secara menyeluruh + perangkat terisolasi untuk pekerjaan sensitif

OPSEC berlebihan yang tidak sesuai dengan model ancaman justru menjadi hambatan yang kontraproduktif.

OPSEC yang efektif bukanlah daftar periksa, melainkan pola pikir: terus-menerus bertanya, "informasi apa yang sedang saya ungkapkan, kepada siapa, dan apa yang dapat mereka lakukan dengan informasi itu?" Penilaian diri dari sudut pandang pihak lawan ini menjadi kebiasaan melalui latihan.

Seorang analis menggunakan nama pengguna yang sama di forum permainan pribadi seperti yang digunakannya saat menyiapkan operasi rahasia. Prinsip OPSEC apa yang dilanggarnya?

OPSEC melindungi informasi sensitif melalui proses lima langkah: mengidentifikasi informasi penting, menganalisis ancaman dan kerentanan, menilai risiko, serta menerapkan tindakan penanggulangan. Praktik utama mencakup kompartementalisasi, pengurangan jejak digital, komunikasi aman (Signal, ProtonMail), dan keamanan fisik. Postur OPSEC harus sesuai dengan model ancaman yang sebenarnya.