Amerika Serikat menyiapkan jalur baru bagi perusahaan swasta untuk menjalankan operasi siber ofensif atas nama pemerintah federal. Memorandum yang ditandatangani Presiden Donald Trump pada 12 Agustus 2026 memerintahkan pembentukan program terhadap organisasi kriminal transnasional berbasis siber di luar negeri. Perusahaan peserta tetap berada di bawah arahan, kendali, dan pengawasan pemerintah. Kebijakan itu memindahkan sebagian pelaksanaan operasi dari aparat federal kepada kontraktor yang lolos pemeriksaan.

Pengintaian tersembunyi hingga perusakan sistem

Memo membagi kewenangan program menjadi dua jenis. Jenis pertama ialah Cyber Surveillance Operations (akses tanpa izin untuk mengumpulkan informasi secara tersembunyi). Jenis kedua ialah Cyber Effects Operations (tindakan yang memanipulasi, mengganggu, menurunkan fungsi, atau menghancurkan sistem dan data). Definisi kedua juga meliputi infrastruktur fisik atau virtual yang dikendalikan sistem informasi.

Program ini bukan izin terbuka bagi perusahaan untuk membalas setiap serangan. Setiap usulan harus disusun sebagai paket operasi dan memperoleh persetujuan tertulis sebelum dijalankan. National Coordination Center (NCC), pusat koordinasi federal, akan mengelola program serta menerima informasi ancaman dari mitra swasta dan lembaga pemerintah. Perusahaan peserta juga harus segera melapor bila menemukan serangan yang akan segera menyasar infrastruktur kritis AS.

Gedung perkantoran dan ruang server (ilustrasi)
NCC akan mengelola program, sedangkan dua direktur eksekutif menilai setiap paket operasi. (Ilustrasi; foto: Brett Sayles, Pexels)

Penyaringan perusahaan menunggu pedoman 60 hari

Program akan dipimpin dua direktur eksekutif, masing-masing dari Departemen Kehakiman Amerika Serikat (DOJ) dan Departemen Keamanan Dalam Negeri Amerika Serikat (DHS). Perusahaan harus membuat kontrak dengan salah satu departemen dan menjalani pemeriksaan ketat. Standar minimum mencakup kemampuan teknis, rekam jejak operasi, keamanan fasilitas, pemeriksaan personel, kompetensi, dan keandalan. Memo membuka partisipasi bagi perusahaan besar maupun perusahaan kecil dengan keahlian khusus.

Kedua direktur mendapat waktu 60 hari untuk menetapkan prosedur operasi bersama. Aturan itu akan mencakup kelayakan peserta, identifikasi sasaran, alur operasi, dan pelaporan. DOJ dan DHS boleh mensyaratkan jaminan atau rekening penampungan sedikitnya US$1 juta, yang disita jika perusahaan melanggar kontrak. Laporan status pertama harus diserahkan dalam 180 hari, kemudian diperbarui setiap tahun.

Batas sasaran bergantung pada penilaian intelijen

Sasaran program adalah organisasi kriminal transnasional berbasis siber asing, atau Cyber-Enabled Transnational Criminal Organization (CE-TCO). Definisi itu mengecualikan kelompok yang menjadi bagian institusional pemerintah asing atau sepenuhnya bergerak atas arahannya. Namun, memo menganggap kelompok asing tidak terkait pemerintah kecuali ada intelijen jelas yang membuktikan hubungan tersebut. Bukti untuk membedakan jaringan kriminal dan perpanjangan tangan negara karena itu menjadi bagian penting dalam pemilihan sasaran.

Prosedur khusus berlaku jika operasi tanpa sengaja menyentuh warga AS, sistem di wilayah AS, atau sistem yang dikendalikan warga AS. Perusahaan harus menghentikan operasi, membatasi data yang terlanjur diperoleh, dan segera memberi tahu NCC. Dua direktur tidak boleh menyetujui tindakan yang diperkirakan menyebabkan kematian, cedera berat, penggunaan kekuatan, atau serangan bersenjata menurut hukum internasional. Naskah publik merujuk lampiran rahasia untuk sebagian alur dan penetapan sasaran, sehingga rincian lengkapnya belum terbuka.

Hukum lama tetap berlaku, tanggung jawab belum teruji

TechCrunch mencatat hukum federal selama ini secara umum melarang perusahaan melakukan serangan siber tanpa persetujuan pengadilan. Memorandum menyatakan program harus mematuhi hukum yang berlaku, tetapi tidak mengubah undang-undang tersebut. Dokumen publik juga belum merinci pembagian tanggung jawab ketika operasi merusak sistem pihak ketiga. Belum ada operasi atau perkara pengadilan yang menguji batas kewenangan baru ini.

TechCrunch mengutip peneliti keamanan Jake Williams yang menilai pegawai perusahaan berisiko dianggap sebagai kombatan tanpa seragam ketika bepergian ke luar negeri. Menurut Williams, kebijakan ini juga memberi pemerintah asing dasar untuk menuduh seseorang meski keterlibatannya belum terbukti. Memo memang memerintahkan koordinasi lintas lembaga dan format baku untuk identifikasi sasaran. Ketepatan atribusi dan pembatasan dampak tetap menentukan apakah operasi memicu sengketa dengan negara ketiga.

Konteks Indonesia belum memiliki jawaban khusus

Sekretariat Kabinet mencatat Perpres No. 47 Tahun 2023 mengatur strategi keamanan siber nasional dan prosedur penanganan krisis siber di Indonesia. Ruang lingkup aturan itu tidak memberi jawaban khusus tentang operasi perusahaan asing yang menyentuh infrastruktur Indonesia. Sampai artikel ini disusun, kami belum menemukan pernyataan resmi dari Badan Siber dan Sandi Negara (BSSN) atau Kementerian Luar Negeri tentang memo AS tersebut. Dampak diplomatik dan mekanisme respons Indonesia masih belum pasti.