Pelajaran Penting Insiden Microsoft Down Global: Bahaya Monopoli
--
Kegagalan sistem yang memicu layanan Microsoft down global membuktikan parahnya bahaya akibat monopoli dan kultur keamanan siber yang rendah.
Pada Jumat (19/7), layanan bandara, rumah sakit, dealer mobil, hingga lembaga pemerintah lumpuh akibat gangguan Windows. Terungkap kemudian bahwa masalahnya 'simpel'; pembaruan (update) perangkat lunak Microsoft Windows yang cacat.
Sumber masalahnya ada di perusahaan keamanan siber yang berbasis di Austin, Texas, CrowdStrike, yang diandalkan oleh sebagian besar industri teknologi global, termasuk Microsoft, untuk program Falcon-nya, yang memblokir eksekusi malware dan serangan siber.
ADVERTISEMENT
SCROLL TO CONTINUE WITH CONTENT
Falcon melindungi perangkat dengan mengamankan akses ke berbagai sistem internal dan secara otomatis memperbarui pertahanannya. Artinya, jika Falcon goyah, komputer akan lumpuh.
Setelah CrowdStrike meng-update Falcon pada Kamis (18/7) malam, sistem Microsoft dan PC Windows terkena blue screen massal yang disindir sebagai "blue screen of death" dan menjadi tidak dapat digunakan.
Microsoft adalah raksasa teknologi dengan kekuatan pasar yang signifikan, mendominasi infrastruktur komputasi awan (cloud) di seluruh Eropa dan Amerika Serikat.
Down terakhir itu bukan saja berdampak pada komputer, tapi juga server dan sejumlah sistem lainnya juga.
Permintaan yang sangat besar dari pengguna, perangkat, layanan, dan bisnis menyebabkan serangkaian kegagalan pada produk Microsoft, yaitu Azure Cloud dan Microsoft 365.
Kegagalan yang mengganggu Azure menyebabkan gangguan tambahan namun terpisah pada layanan 365. Maka terjadilah kericuhan besar-besaran.
Begitulah kronologi update CrowdStrike yang salah yang berkembang menjadi gangguan sistem IT terbesar dalam sejarah. Namun, hal ini tidak memberi tahu kita kenapa infrastruktur komputasi global punya satu titik kelemahan.
"Tumpukan [sistem] IT mereka mungkin cuma mencakup satu penyedia untuk sistem operasi, cloud, produktivitas, email, obrolan, kolaborasi, konferensi video, browser, identitas, AI generatif, dan peningkatan keamanan juga," kata wakil presiden CrowdStrike, Drew Bagley, dikutip dari The Guardian.
"Artinya, material bangunan, rantai pasokan, dan bahkan pengawas bangunan semuanya sama," imbuh dia.
Inilah inti dari insiden down global ini. Bukan saja banyak perusahaan yang mengandalkan CrowdStrike, namun infrastruktur cloud juga bergantung pada perusahaan-perusahaan besar seperti Microsoft.
Ini menjadikan perusahaan-perusahaan tersebut melakukan praktik eksklusif dan anti-persaingan yang memusatkan layanan dan penawaran ke dalam rentang pilihan yang semakin sempit.
Pada Juni 2023, Komisi Perdagangan Federal AS (FTC) mengajukan permintaan komentar publik tentang praktik bisnis komputasi awan.
Microsoft dan Amazon, dua perusahaan yang mendominasi bidang ini, menjawab dengan menegaskan bahwa persaingan "berkembang" dan "sangat dinamis dan kompetitif".
Google, yang bukan pemain terbaik dibandingkan dua perusahaan lainnya, malah menyodorkan dokumen setebal 11 halaman yang menuduh Microsoft menghambat persaingan.
"Jaringan pembatasan lisensi Microsoft yang rumit mencegah pelanggan, khususnya klien perusahaan lokal yang sudah ada, memilih penyedia cloud lain pada saat migrasi ke cloud dan pada akhirnya mengunci pelanggan tersebut ke dalam ekosistem Azure," kata Google dalam keluhannya.
Google benar, meski mereka juga melakukan 'dosa' yang sama.
Dua pertiga dari pasar layanan infrastruktur cloud global dikendalikan oleh ketiga perusahaan tersebut, sehingga hampir tidak mungkin untuk beralih antar-penyedia layanan.
Pasalnya, dua besar itu menerapkan hambatan teknis yang tidak dapat ditembus sehingga menghalangi vendor untuk beralih, yang secara efektif mengunci mereka.
Ketika 'layar biru kematian' muncul di bandara-bandara di seluruh dunia, Ketua FTC Lina Khan berkicau di X, "Sering kali akhir-akhir ini, satu kesalahan saja mengakibatkan kelumpuhan seluruh sistem, yang berdampak pada industri."
"Mulai dari layanan kesehatan dan maskapai penerbangan hingga bank dan dealer mobil. Jutaan orang dan dunia usaha menanggung akibatnya. Insiden-insiden ini mengungkap bagaimana konsentrasi dapat menciptakan sistem yang rapuh," sambung dia.
Kenapa konsentrasi, konsolidasi, dan monopoli membahayakan?
Hal ini tidak hanya berarti kita melakukan homogenisasi pasar, sehingga semua orang terkena gangguan layanan yang terisolasi.
Konsentrasi menghasilkan kekuatan untuk merestrukturisasi pasar. Pelaku monopoli memaksa perusahaan keluar dari pasar dan mendesain ulang ketentuan keterlibatan para pesaing sedemikian rupa sehingga tidak mengancam perusahaan-perusahaan raksasa saat ini.
Ketergantungan ekosistem vendor pada Microsoft dapat dirasionalisasikan sebagai pemotongan biaya, sama seperti ketergantungan Microsoft pada perusahaan lain seperti CrowdStrike, akan dirasionalisasikan sebagai pemotongan biaya.
Ketika layanan-layanan ini ditutup, siapa yang benar-benar dirugikan?
Kepala eksekutif CrowdStrike, George Kurtz, mungkin kehilangan ratusan juta dolar kekayaannya akibat insiden, tetapi kekayaannya akan kembali.
Microsoft dan CrowdStrike telah kehilangan beberapa klien dan beberapa bisnis, namun pasti akan memperoleh keuntungan lebih dari yang mereka peroleh dalam satu atau dua tahun.
Tapi, apakah hal yang sama juga berlaku bagi warga yang membutuhkan banget layanan darurat, rumah sakit, bandara, atau lembaga pemerintah pada saat sistem itu down?
Budaya keamanan rendah
Dominasi komputasi awan Microsoft yang sangat besar (ekosistem yang digunakan oleh semua komputer perusahaan yang terdampak minggu lalu) menambah panjang catatan buruk keamanan siber perusahaan pimpinan Satya Nadella tersebut.
Investigasi yang digelar oleh Dewan Peninjau Keamanan Siber (Cyber Safety Review Board), mengutip LA Times, menyimpulkan peretasan pada Maret 2023 terjadi karena "budaya keamanan Microsoft tidak memadai dan memerlukan perbaikan."
"Terutama mengingat sentralitas perusahaan dalam ekosistem teknologi dan tingkat kepercayaan yang diberikan pelanggan kepada perusahaan untuk melindungi data dan operasional mereka."
Dewan juga menyebutkan "rangkaian... kesalahan yang dapat dihindari" dalam program keamanan siber perusahaan, kegagalannya mendeteksi penyusupan yang dilakukan oleh peretas terhadap "permata mahkota kriptografinya."
Namun, kata Dewan, perusahaan hanya bertindak setelah pelanggan (AS Departemen Luar Negeri) menemukan sendiri serangannya.
Dewan tersebut juga menemukan praktik keamanan Microsoft lebih rendah dibandingkan praktik "penyedia layanan cloud lainnya". Laporan tersebut menyebutkan Amazon, Google, dan Oracle sebagai pesaing Microsoft dalam layanan cloud dengan sistem keamanan yang lebih baik.
Merespons hal itu, Microsoft berjanji untuk "mengadopsi budaya baru keamanan teknik di jaringan kami" dan mengatakan bahwa pihaknya telah "memobilisasi tim teknik kami untuk mengidentifikasi dan memitigasi infrastruktur lama, meningkatkan proses, dan menegakkan tolok ukur keamanan."
(tim/arh)
Komentar
Posting Komentar