Sistem Kendali Digital dan SCADA

🌐 Jalur: Manajerial (M) untuk pengambil keputusan yang merancang strategi digitalisasi.

Pada 5 Februari 2021, seorang operator di fasilitas pengolahan air Oldsmar, Florida, melihat kursor di layar komputernya bergerak sendiri. Dalam beberapa menit, setelan kadar Sodium Hydroxide (NaOH) di sistem kendali melonjak dari 100 ppm menjadi 11.100 ppm, lebih dari seratus kali lipat dosis normal. Operator itu langsung mengembalikan setelannya.

Setelan itu tidak pernah sampai ke jaringan distribusi. Air masih harus melewati pemantauan kualitas dan butuh berjam-jam untuk mengalir keluar dari instalasi. Yang mengganggu bukan kerusakan yang terjadi, melainkan betapa jauh sebuah setelan proses bisa digeser sebelum ada satu lapis pun yang menahannya.

Ini kejadian nyata yang terdokumentasi dalam catatan publik. Peristiwanya semula dilaporkan sebagai serangan siber jarak jauh dan diinvestigasi FBI serta U.S. Secret Service. Pada April 2023, mantan pejabat kota menyatakan penyelidikan itu tidak pernah memastikan adanya intrusi bertarget, dan penjelasan yang lebih mungkin adalah kekeliruan operator. Yang tidak pernah dibantah, dan justru itulah pelajarannya, adalah kondisi sistemnya: kondisi itu dianalisis resmi dalam advisory CISA AA21-042A.

Kasus Oldsmar layak dipelajari justru karena atribusinya belakangan runtuh sementara temuan teknisnya tetap berdiri. Apa pun yang menggerakkan kursor malam itu, sistemnya memang terbuka: pintunya nyaris tidak dikunci, dan anatominya kita bongkar di §12.4. Namun di Indonesia, masalah sistem digital sering kali bukan pada dramanya, melainkan pada ketidakberdayaan yang lebih sunyi: pusat komando seharga miliaran rupiah yang tidak bisa menjawab pertanyaan paling sederhana: “Berapa NRW hari ini?”

Itulah Ilusi Digital: layar monitor tidak memperbaiki kebocoran, sensor tidak memutar katup, algoritma tidak menggali jalan. Digitalisasi hanyalah alat bantu (enabler) untuk membuat keputusan manusia lebih cepat dan lebih akurat, tetapi hanya jika fondasi fisik, data, dan manusianya sudah siap.

Jebakan ilusi digital ini berulang di semua industri yang terobsesi pada kosmetik teknologi. Di jaringan telekomunikasi, papan pemantau gangguan yang mahal bisa tetap hijau sepanjang malam karena sebagian besar simpulnya tidak pernah benar-benar terdaftar sebagai objek yang dipantau. Di tata kelola proyek perbankan, laporan kemajuan mingguan bisa terlihat rapi bertahun-tahun karena yang dihitungnya dokumen yang selesai, bukan fungsi yang berjalan. Polanya universal: teknologi secanggih apa pun akan menjadi “layar pajangan” mahal jika proses bisnis dan kedisiplinan di lapangannya masih berantakan.

Bab ini menjembatani pekerjaan fisik di lapangan (Bab 7 hingga 11) dengan sistem kendali manajemen.

12.1 Digital sebagai Alat Bantu, Bukan Pengganti Dasar Operasi

Sebelum kita membahas teknologi apa yang harus dibeli, kita harus mengerti dulu apa yang tidak boleh dilakukan. Godaan yang paling mahal di tahap ini bernama Jebakan Barang Berkilau (Shiny Object Trap): membeli lapisan tercanggih lebih dulu, lalu menemukan bahwa lapisan di bawahnya tidak sanggup menopangnya. Bagian berikut menguraikan mengapa urutannya menentukan, dan apa yang terjadi kalau urutan itu dilompati.

12.1.1 Jebakan Barang Berkilau (Shiny Object Trap)

Masalah: Anggaran Rp 4 miliar diarahkan ke Digital Twin dan AI sementara meter induk IPA masih macet.

Ilustrasi berikut bukan satu kasus spesifik, melainkan pola yang berulang di banyak proyek digitalisasi utilitas. Sebuah PDAM kota menengah menghabiskan Rp 4 miliar untuk sistem Smart Water lengkap dengan dashboard tiga dimensi dan prediksi AI. Enam bulan kemudian sistem itu ditinggalkan karena:

1. Meter induk produksi sering macet, data produksi tidak valid
2. Logger di lapangan sering mati karena kualitas baterai jelek
3. Staf tidak punya keahlian untuk mengoperasikan sistem
4. Tidak ada prosedur operasional yang jelas

Dampak: AI memproses data buruk (Garbage In, Garbage Out). Hasil prediksi tidak dapat dipercaya. Sistem ditinggalkan. Rp 4 miliar tidak menghasilkan manfaat operasional. Sebagai pembanding, contoh anggaran lima tahun pada bagian TCO berikutnya berjumlah sekitar Rp 1 miliar untuk sistem yang jauh lebih sederhana. Selisih empat kali lipat itu bukan tanda satu sistem lebih baik, melainkan tanda bahwa yang dibeli berada di lapisan yang berbeda.

Solusi: Ikuti hierarki kebutuhan digital. Bereskan meter induk lebih dulu. Digitalisasi proses yang buruk hanya menghasilkan proses buruk yang berjalan otomatis.

12.1.2 Hierarki Kebutuhan Digital (Maslow of Smart Water)

Kegagalan proyek Smart Water jarang berbentuk sistem yang tidak menyala. Bentuknya lebih sunyi: sensor yang berhenti melapor satu per satu, data yang tidak lagi dipercaya, lalu monitor yang dimatikan karena tidak ada yang menindaklanjuti isinya. Penyebab utamanya bukan teknologi yang salah, melainkan urutan yang salah.

Sama seperti manusia butuh makan sebelum butuh aktualisasi diri, utilitas air memiliki hierarki kebutuhan yang harus dipenuhi secara berurutan. Melompati tangga ini nyaris selalu berujung pada kegagalan investasi, dan urutan lengkapnya ada pada Gambar 12.1.

Gambar 12.1 Hierarki Kebutuhan Digital Air Minum (Maslow of Smart Water)

1. Level 1: Fisik (Panca Indera): meter induk dan PRV. Jika meter induk IPA macet, SCADA tidak akan memberi manfaat apa pun. Kita tidak bisa mendigitalkan data yang tidak ada.

   • Meter induk produksi harus terpasang benar dan terbukti akurat, dengan batas kesalahan tidak lebih dari ±2% pada rentang aliran operasionalnya, dibuktikan lewat uji bukan lewat asumsi
   • Flowmeter dan pressure transmitter di DMA harus terkalibrasi
   • Katup PRV harus bisa dioperasikan (manual dulu, otomatis nanti)

2. Level 2: Saraf (Konektivitas): Logger & Sinyal. Tantangan terbesar adalah baterai dan sinyal di bawah tutup besi.

   • Logger telemetri terpasang di titik-titik kunci
   • Protokol komunikasi stabil (data sampai ke server minimal 95%)
   • Sumber daya (baterai/solar) terjamin

3. Level 3: Ingatan (Database): Server yang rapi. Bukan file Excel yang berserakan di laptop staf.

   • Time-series database untuk data sensor
   • Database pelanggan dan aset yang terintegrasi
   • Sistem backup dan pemulihan bencana

4. Level 4: Otak (Analitik): Dashboard yang mengubah angka menjadi grafik tren.

   • Visualisasi data real-time
   • Alert otomatis untuk anomali
   • Laporan otomatis (harian, mingguan, bulanan)

5. Level 5: Hikmah (AI/Otomasi): Prediksi kebocoran. Ini tahap Advance.

   • Prediksi kegagalan aset
   • Optimalisasi jaringan secara otomatis
   • Digital Twin untuk simulasi skenario

12.1.3 Analisis TCO (Total Cost of Ownership)

Ingat Gunung Es Biaya Digital, yang rinciannya ada pada Tabel 12.1.

Tabel 12.1 Komponen Total Cost of Ownership (TCO) Sistem Digital NRW

Sensor elektronik di lingkungan lembab memiliki umur pendek, sekitar 3 sampai 5 tahun, sehingga seluruh populasi terpasang harus diganti habis dalam satu siklus itu. Artinya anggaran tahunan perlu menutup penggantian 20% sampai 33% populasi sensor, di luar penggantian baterai yang siklusnya sendiri. Jika anggaran ini tidak ada, sensor akan berhenti mengirim data satu per satu dan sistemnya mati tanpa pernah dinyatakan mati.

Pelajaran Penting: Jangan anggarkan hanya pembelian (CAPEX). Anggarkan OPEX untuk 5 tahun ke depan. Jika tidak ada anggaran OPEX, jangan membeli sistem yang mahal. Kerangka formal untuk memperlakukan sensor dan logger sebagai aset yang punya siklus hidup, bukan sebagai belanja sekali jadi, tersedia di ISO 55001:2024.

12.2 Arsitektur IoT NRW: Fisika Gelombang Radio

Membangun telemetri air jauh lebih sulit daripada Wi-Fi kantor. Sensor kita berada di lingkungan lapangan: dalam bak beton (manhole) sedalam 1 meter, tertutup besi tebal, terendam banjir. Sinyal radio sangat terhambat oleh air dan logam.

Memahami fisika komunikasi nirkabel adalah kunci keberhasilan proyek telemetri. Tanpa pemahaman ini, proyek kita akan dipenuhi area tanpa sinyal (dead spots) di mana data tidak sampai ke server.

12.2.1 Sensor Lapangan: Mata dan Telinga Sistem

Sensor adalah panca indera sistem telemetri. Tanpa sensor yang akurat dan andal, seluruh sistem digital tidak berguna. Kajian jaringan sensor nirkabel untuk deteksi kebocoran pipa oleh Sadeghioon dkk. (2014) menguraikan batas fisik yang menentukan rancangannya.

Tabel 12.2 Jenis Sensor Lapangan untuk Sistem NRW

Angka akurasi pada Tabel 12.2 bersifat indikatif dan berbeda-beda menurut pabrikan, ukuran, serta kondisi pemasangan. Verifikasi ke lembar data produk yang benar-benar akan dibeli sebelum memakainya sebagai dasar spesifikasi lelang.

Prinsip Pemasangan Sensor:

1. Lokasi: Pasang sensor di titik yang paling informatif, bukan yang paling mudah dijangkau.

   • Flowmeter induk: Setelah IPA, sebelum distribusi
   • Pressure logger: Di hulu dan hilir DMA, untuk menghitung head loss
   • Level sensor: Di reservoir yang paling kritis untuk operasional

2. Orientasi: Ikuti panduan pabrikan untuk orientasi sensor.

   • Flowmeter elektromagnetik: Pipa harus penuh air
   • Pressure transmitter: Di atas pipa (menghindari penumpukan air)

3. Proteksi: Sensor di lingkungan keras perlu perlindungan ekstra.

   • IP68 (tahan debu dan air) adalah minimum
   • Housing stainless steel 316 untuk area korosif
   • Kabel pelindung (armored cable) untuk area galian

12.2.2 Telemetri dan Komunikasi: Pilihan Protokol

Tidak ada satu protokol pemenang. Pemenangnya adalah strategi Hybrid yang memadukan berbagai teknologi sesuai kebutuhan masing-masing lokasi.

Tabel 12.3 Perbandingan Protokol Komunikasi IoT untuk NRW

Sigfox sengaja tidak dimasukkan ke dalam perbandingan ini. Teknologinya masih ada, tetapi ketersediaan operatornya di Indonesia perlu dipastikan sendiri sebelum teknologinya layak masuk daftar pendek, dan pilihan protokol yang operatornya belum jelas bukan pilihan.

Strategi Gabungan untuk PDAM

Daripada memilih satu protokol, PDAM sebaiknya memadukan beberapa sesuai kebutuhan tiap lokasi, dan Tabel 12.4 merangkum pasangannya.

Tabel 12.4 Matriks Keputusan Pemilihan Protokol IoT

12.2.3 SCADA, GIS, dan Sistem Rekening: Tiga Sistem yang Jarang Bicara

SCADA (Supervisory Control and Data Acquisition) adalah sistem yang mengawasi dan mengendalikan proses fisik secara waktu-nyata: pompa, katup, level reservoir, dan tekanan jalur. Sistem ini lahir di ruang produksi, dan bahasanya adalah tag proses. GIS menyimpan letak asetnya. Sistem rekening (billing) menyimpan siapa yang membayar berapa.

Ketiganya sudah ada di hampir setiap PDAM berukuran menengah, dan hampir selalu terpisah. Akibatnya sebuah DMA yang merah di layar SCADA tidak bisa langsung diterjemahkan menjadi angka rupiah tanpa seseorang membuka dua aplikasi lain dan menyalin angka dengan tangan. Aplikasi pembaca meter menambah kotak keempat: aplikasinya tahu kapan sebuah meter dibaca, tetapi datanya jarang bertemu data tekanan yang menjelaskan mengapa pembacaannya turun.

Yang menyatukan keempatnya bukan aplikasi kelima, melainkan satu kunci bersama, yaitu identitas zona yang sama dipakai di semua sistem. Selama satu DMA punya kode berbeda di SCADA, di GIS, dan di sistem rekening, integrasi apa pun akan berhenti di tahap pencocokan manual, dan biaya integrasinya akan terus dibayar setiap bulan oleh orang yang menyalin angka.

12.2.4 Logika Pusat Komando (Command Center): Jangan Cuma Layar Tampilan

Banyak pusat komando dibangun seperti ruang kendali NASA dengan puluhan monitor yang menampilkan grafik berwarna-warni. Namun, tanpa logika di belakangnya, semuanya hanya menjadi tampilan mahal untuk tamu.

Sistem Alarm yang Cerdas:

Sistem alarm yang baik membedakan antara “informasi” dan “aksi yang diperlukan”, dan pembagiannya ada pada Tabel 12.5.

Tabel 12.5 Matriks Tingkat Alarm untuk Pusat Komando

Logika Deteksi Otomatis:

1. Deteksi Anomali MNF: MNF di atas 130% baseline 7 hari terakhir memicu peringatan ke supervisor. Di atas 150%, sistem langsung menerbitkan tiket “Kemungkinan Bocor”. Ambang lengkapnya ada pada Tabel 12.7.

2. Alarm Aliran Nol: jika aliran nol selama lebih dari 1 jam di luar jendela malam, yaitu antara pukul 06.00 dan 22.00, terbitkan peringatan “Pompa Berhenti” atau “Pipa Pecah Besar”.

3. Alarm Tekanan Tinggi: jika tekanan melewati 4,0 bar di DMA mana pun (ambang Tabel 9.2), terbitkan peringatan “Tekanan Berbahaya, Risiko Pipa Pecah” dan tangani sebagai Kritis, bukan sebagai catatan.

4. Alarm Tanpa Data: jika sensor tidak melapor lebih dari 24 jam, terbitkan peringatan “Logger Tidak Aktif atau Baterai Habis”.

12.2.5 Jantung Logger: Kimia Baterai

Jangan pernah gunakan baterai alkaline atau NiMH untuk logger. Keduanya kehilangan daya sendiri saat disimpan (self-discharge), dan lajunya terlalu cepat untuk perangkat yang harus bertahan bertahun-tahun tanpa disentuh. Logger profesional memakai litium tionil klorida (Lithium Thionyl Chloride, Li-SOCl₂), dan Tabel 12.6 membandingkan keempat pilihannya.

Tabel 12.6 Perbandingan Tipe Baterai untuk Logger IoT

Angka pada Tabel 12.6 indikatif dan bervariasi menurut suhu simpan, ukuran sel, dan pabrikan; varian NiMH berdaya bocor rendah, misalnya, bertahan jauh lebih lama daripada NiMH biasa. Verifikasi ke lembar data sel yang benar-benar akan dibeli, pada ukuran yang sama, sebelum memakainya sebagai dasar anggaran.

• Padat energi (3x Alkaline)
• Awet disimpan 10 tahun
• Butuh kapasitor tandem (Hybrid Layer Capacitor) untuk menahan lonjakan arus modem

Desain Penghematan Energi:

1. Mode Tidur (Sleep Mode): logger menghabiskan hampir seluruh waktunya tidur dan hanya bangun saat mengirim data, misalnya setiap 15 menit. Yang menentukan umur baterai bukan seberapa sering alatnya bangun, melainkan berapa lama dan seberapa haus modemnya saat terhubung. Di situlah selisih GSM dan LoRaWAN pada Tabel 12.3 sebenarnya lahir.

2. Pencuplikan Adaptif (Adaptive Sampling): frekuensi pengiriman menyesuaikan kondisi:

   • Normal: 15 menit sekali
   • Alarm aktif: 1 menit sekali
   • Baterai kritis: 1 jam sekali

3. Pemampatan Data (Data Compression): kirim hanya data yang berubah (delta), bukan seluruh himpunan data.

12.3 Analitik Data: Dari Grafik ke SPK

Data hanya berguna jika mengubah perilaku (Farley dkk., 2008). Sebuah dashboard yang menampilkan grafik “MNF Meningkat” tidak akan menutup kebocoran. Yang menutup kebocoran adalah SPK (Surat Perintah Kerja) yang dipegang mandor lapangan.

12.3.1 Perhitungan MNF Otomatis

MNF (Minimum Night Flow) adalah metrik paling penting dalam manajemen NRW. Namun, perhitungan manual MNF sangat melelahkan: harus membaca logger pada pukul 02.00 sampai 04.00 setiap malam.

Sistem telemetri mengotomatisasi ini:

Algoritma Otomatis:

1. Sistem mengumpulkan data aliran sepanjang jendela MNF kanonik, yaitu pukul 02.00 sampai 04.00 (Bab 7)
2. Mengidentifikasi jendela 1 jam dengan aliran terendah
3. Mencatat nilai MNF dan timestamp
4. Membandingkan dengan baseline 7 hari terakhir
5. Jika kenaikannya melewati ambang pada Tabel 12.7, sistem menerbitkan peringatan atau tiket sesuai tingkatnya

Tabel 12.7 Matriks Respons Otomatis berdasarkan MNF

Tingkat pada Tabel 12.7 memakai tangga yang sama dengan matriks alarm di §12.2.4, sehingga satu kondisi hanya punya satu warna dan satu jalur eskalasi.

12.3.2 Dari Tiket Otomatis ke SPK yang Ditutup

Tiket bukan SPK. Tiket menandai kecurigaan mesin. SPK mengikat orang, anggaran, dan material. Rantai yang menghubungkan keduanya paling sering putus di tiga tempat.

Pertama, tiket tidak punya pemilik, sehingga mengendap di antrean sampai relevansinya habis. Kedua, tiket tidak punya batas waktu yang tercatat, sehingga tidak ada yang bisa dinyatakan terlambat. Ketiga, tiket ditutup tanpa bukti fisik, sehingga angka penyelesaian naik tanpa ada air yang berhenti terbuang.

Bab 10 sudah menetapkan pagarnya lewat aturan 3 Foto Wajib: SPK tidak dibayar tanpa ketiga foto itu. Aturan tersebut berlaku sama persis untuk SPK yang lahir dari layar. Sistem digital yang benar karena itu menyimpan empat cap waktu untuk setiap tiket, yaitu saat alarm terbit, saat tiket dipegang seseorang, saat SPK ditandatangani, dan saat perbaikan diverifikasi. Selisih antara cap pertama dan cap terakhir adalah satu-satunya angka yang membuktikan investasi digital bekerja.

12.3.3 Korelasi Permanen: Deteksi Kebocoran Tanpa Menutup Katup

Uji langkah fisik, yaitu menutup katup satu per satu di malam hari, mengganggu pelanggan, dan Bab 7 sudah menguraikan biayanya. Noise Logger permanen yang terhubung ke jaringan mengubah hitungan itu. Korelasi yang di Bab 8 §8.3 dikerjakan tim dengan correlator jinjing kini berjalan otomatis tiap malam, tanpa menyentuh satu pun katup.

Server membandingkan rekaman suara Logger A dan Logger B pada pukul 03.00 pagi. Jika polanya berkorelasi, server menghitung posisi kebocoran memakai Rumus 8.1 yang sama, dengan masukan beda waktu kedatangan sinyal dan kecepatan rambat suara sesuai material pipa (Tabel 8.5). Hasilnya notifikasi titik bocor di peta, tanpa tim harus keluar rumah di tengah malam.

Metode ini tidak menggantikan uji langkah fisik. Dua syarat dari Bab 8 §8.3.2 berlaku penuh di sini dan justru menentukan: pada pipa PVC, jarak antar sensor harus dipendekkan ke 20 sampai 30 meter dan sinyalnya praktis hilang di atas 50 meter, sedangkan pada tekanan di bawah 0,5 bar tidak ada suara yang cukup kuat untuk dikorelasikan sama sekali. Korelasi permanen karena itu paling kuat pada jaringan logam atau bertekanan memadai, dengan logger terkalibrasi dan batas zona yang tervalidasi. Di jaringan yang tidak memenuhi syarat itu, uang yang sama lebih baik dipakai untuk memperbaiki tekanan lebih dulu. Alur keputusannya ada pada Gambar 12.2.

Gambar 12.2 Algoritma Korelasi Permanen untuk Deteksi Kebocoran

12.3.4 Anomali Pembacaan Meter

Algoritma juga bisa mendeteksi kecurangan atau kesalahan pembacaan meter. Keempat aturan di bawah ini memakai nama dan ambang yang sama dengan Bab 11, supaya satu aturan tidak punya dua definisi di dua bab.

1. Pemakaian Nol: pembacaan 0 m³ selama 2 bulan atau lebih (Bab 11), yang menandai potensi meter macet atau sambungan langsung (bypass).

2. Pembacaan Mundur: angka meter turun dari bulan sebelumnya, yang berarti kesalahan input atau manipulasi.

3. Pemakaian Konstan: angka sama persis selama 3 bulan berturut-turut (Bab 11), yang menandai pembacaan estimasi atau fiktif.

4. Simpangan Tidak Wajar: pemakaian naik menjadi lebih dari tiga kali lipat rata-rata dua belas bulan terakhir, atau turun menjadi kurang dari sepertiganya, yang menandai kebocoran di sisi pelanggan, meter rusak, atau perubahan hunian.

12.4 Keamanan Siber (Cybersecurity)

Sistem air minum adalah infrastruktur kritis. Gangguan pada sistem kendalinya tidak hanya berisiko pada data, tetapi menyentuh proses yang menentukan kualitas air yang diminum orang.

Itulah sebabnya kasus Oldsmar tetap berguna meski atribusinya runtuh. Laporan pasca-insiden, antara lain advisory CISA AA21-042A, memotret kondisi sistemnya, dan potret itu tidak ikut dibantah. Yang ditemukan bukan pertahanan canggih yang ditembus, melainkan tiga pintu yang memang tidak dikunci.

12.4.1 Anatomi Oldsmar: Tiga Pintu yang Tidak Dikunci

1. Akses jarak jauh dipakai beramai-ramai. Operator memakai satu perkakas akses jarak jauh (remote desktop) dengan kata sandi yang dibagikan ke banyak orang, tanpa autentikasi berlapis (Multi-Factor Authentication, MFA).
2. Sistem operasi sudah usang. Komputer kendali masih memakai Windows 7 yang sudah habis masa dukungannya (end-of-life), sehingga tidak lagi menerima tambalan keamanan (patch).
3. Batas ke internet terlalu pendek. Jalur dari luar menuju komputer yang menyentuh proses pengolahan nyaris tanpa lapis pemisah dan tanpa pengawasan.

Tidak satu pun dari ini menuntut penyerang jenius. Semuanya kelalaian higiene dasar yang, di mata orang teknologi, terasa sangat akrab. Justru di situ kabar baiknya: kalau penyebabnya sederhana, penangkalnya pun terjangkau, bahkan untuk PDAM beranggaran terbatas. Pelajaran Oldsmar bukan “belilah pertahanan siber termahal”, melainkan “tutup dulu pintu-pintu yang selama ini dibiarkan terbuka”. Pelajaran itu berdiri tegak baik jika ada penyusup maupun jika yang terjadi hanyalah satu operator yang keliru menekan tombol, sebab sistem yang sehat menahan keduanya.

Higiene dasar ini adalah pintu masuk ke disiplin yang lebih besar: manajemen risiko TI, kepatuhan, dan kematangan tata kelola yang membuat sistem digital sebuah utilitas dapat dipertanggungjawabkan. Kerangka lengkapnya menjadi pokok bahasan IT Governance Playbook (itgbook.com), buku kedua dalam seri ini; di bab ini cukup higiene dasarnya yang kita kunci.

12.4.2 Kontrol Keamanan Minimum

Kontrol Keamanan Minimum untuk Telemetri NRW:

Daftar ini praktik operasional, bukan kutipan pasal. Utilitas yang ingin menaikkannya menjadi sistem manajemen yang bisa diaudit memakai ISO/IEC 27001:2022 sebagai kerangka acuan. IT Governance Playbook membahas penerapannya tersendiri. Ringkasannya ada pada Tabel 12.8.

Tabel 12.8 Kontrol Keamanan Minimum untuk Sistem NRW

1. APN Privat (jalur khusus): jangan biarkan kartu SIM logger terhubung ke internet publik. Minta operator menyediakan APN privat, yaitu jalur tertutup yang hanya bisa dilalui perangkat kita menuju peladen kita.

2. Pemisahan Jaringan (Segmentation), bukan mitos Air Gap: Idealnya jaringan kendali (Operational Technology, OT) terpisah dari jaringan kantor (Information Technology, IT). Namun, air gap yang benar-benar terputus hampir selalu menjadi mitos begitu vendor butuh akses pemeliharaan jarak jauh, atau begitu satu flash disk berpindah dari laptop kantor ke panel kendali. Yang realistis dan benar-benar melindungi bukan “isolasi total”, melainkan: segmentasi yang tegas, satu pintu masuk terkontrol dan tercatat (jump host) untuk vendor, serta tidak adanya jalur langsung dari surel kantor ke sistem pompa. Banyak protokol kendali lama (Modbus, DNP3) memang dirancang tanpa autentikasi; justru karena itu, batas jaringan dan pengawasannyalah yang menjaga, bukan kecanggihan protokolnya.

3. Enkripsi Ujung ke Ujung: data dari sensor wajib terenkripsi AES-128. Jangan pakai HTTP polos.

4. Pemisahan Tugas: admin IT tidak memiliki akses ke sistem OT tanpa persetujuan eksplisit.

12.4.3 Higiene Dasar yang Sering Diabaikan

Semua daftar di atas terdengar seperti urusan teknis tingkat tinggi. Padahal yang paling sering membuka celah justru bukan kurangnya alat mahal, melainkan higiene dasar yang diabaikan: kata sandi bawaan vendor yang tidak pernah diganti, satu akun admin dipakai bergiliran tanpa jejak siapa berbuat apa, perangkat logger dan gateway yang tidak pernah masuk daftar aset sehingga tidak ada yang menambalnya, serta tidak adanya catatan akses (log) sehingga insiden tidak bisa ditelusuri. Oldsmar jatuh persis di kategori ini, dan itu sebabnya kasus itu layak dipakai sebagai pelajaran higiene, bukan sebagai dongeng peretas.

Kabar baiknya, empat langkah pertama justru murah dan tidak ada di brosur vendor mana pun: ganti semua kata sandi bawaan, satu akun untuk satu orang, susun daftar aset digital, dan nyalakan pencatatan akses. Empat hal sederhana itu menutup sebagian besar pintu yang biasa disusupi, jauh sebelum PDAM perlu memikirkan perangkat keamanan kelas tinggi.

12.5 Kesalahan Umum: Ilusi Digital

Jangan biarkan investasi miliaran rupiah menjadi sistem yang tidak digunakan. Pelajari dari kesalahan umum agar kita tidak mengulanginya.

12.5.1 Jebakan Barang Berkilau (Shiny Object Trap)

Jebakan ini sudah diuraikan di §12.1.1, dan disebut lagi di sini bukan untuk diulang melainkan untuk diberi alat. Sebelum satu rupiah pun dikeluarkan untuk pengadaan sistem, empat tanda bahaya pada Tabel 12.9 bisa diperiksa sendiri dalam satu pagi. Kalau salah satu saja menyala, pengadaannya ditunda dulu, bukan diperkecil.

Tabel 12.9 Daftar Periksa Kesiapan Digitalisasi

12.5.2 Kelelahan Dasbor (Dashboard Fatigue)

Masalah: pusat komando menampilkan 50 grafik yang bergerak-gerak. Mengesankan bagi tamu, memusingkan bagi operator.

Dampak: Operator jenuh (information overload) dan malah mengabaikan layar.

Solusi: terapkan peringatan yang bisa ditindaklanjuti (actionable alerts). Layar seharusnya gelap dan tenang saat kondisi normal, dan hanya menyala merah disertai bunyi saat ada masalah. Tidak ada kabar berarti kabar baik.

Prinsip Desain Dashboard:

1. Satu Layar, Satu Tujuan (One Screen, One Purpose): satu layar fokus pada satu fungsi, misalnya pemantauan produksi.

2. Layar Tenang saat Normal (Dark Mode Normal): layar gelap saat kondisi normal, dan warna hanya dipakai untuk menonjolkan anomali.

3. Ungkap Bertahap (Progressive Disclosure): tampilkan ringkasan lebih dulu, dan rincian baru muncul jika diminta.

4. Ponsel Lebih Dulu (Mobile First): operator harus bisa memantau dari ponsel, tidak harus dari pusat komando.

Rangkuman perjalanan bab ini:

Teknologi bukan pengganti kedisiplinan manusia, melainkan pengeras suara. Jika organisasi kita disiplin, teknologi membuat kita berlipat ganda lebih efektif. Jika organisasi kita kacau, teknologi hanya akan membuat kekacauan kita menyebar jauh lebih cepat.

Digitalisasi yang berhasil adalah digitalisasi yang mengikuti hierarki kebutuhan: mulai dari fisik yang berfungsi, konektivitas yang stabil, database yang rapi, analitik yang cerdas, baru otomasi atau AI. Melompati tangga ini hampir selalu berujung gagal.

Satu Pertanyaan untuk Dibawa ke Rapat Berikutnya

Dari seluruh investasi digital PDAM kita dalam tiga tahun terakhir (sensor, server, lisensi perangkat lunak, dan layar), berapa persen yang menghasilkan SPK (Surat Perintah Kerja) yang sampai ke tangan mandor lapangan dan selesai dieksekusi?

Pertanyaan ini sengaja mengukur rantai terakhir: dari layar ke tanah. Selama SPK tidak lahir dari dashboard, dan selama SPK yang lahir tidak ditutup dengan perbaikan fisik, sistem digital hanyalah pajangan resepsionis.

Menuju Bab 13: Mengapa Unit NRW Menentukan Apakah Sistem Digital Dipakai

Kita telah menuntaskan seluruh intervensi teknis pada Fase 3 (Bab 6 hingga 12). Sensor sudah terpasang, logger sudah mengirim data, dashboard sudah menampilkan grafik. Namun, siapa yang akan menindaklanjuti peringatan merah yang muncul pukul 03.00 dini hari?

Di sinilah batas teknologi bertemu dengan realitas organisasi. Pusat komando tercanggih tidak akan menurunkan NRW satu persen pun jika tidak ada unit khusus yang bertanggung jawab menerjemahkan data menjadi keputusan dan keputusan menjadi tindakan. Tanpa struktur organisasi yang jelas, sistem digital hanya menghasilkan notifikasi yang diabaikan: alert fatigue yang lebih berbahaya daripada tidak punya sistem sama sekali.

Bab berikutnya membahas fondasi organisasi yang membuat seluruh investasi teknis di bab ini bernilai: struktur Unit NRW, peran dan tanggung jawab, serta disiplin eksekusi yang membedakan PDAM yang berhasil menurunkan NRW dari yang hanya pandai membuat laporan.

Lanjutkan ke Bab 13: Unit NRW: Struktur, Peran, dan Disiplin Eksekusi.

Referensi & Bacaan Lanjutan

Catatan akses sumber: Daftar di bawah merujuk pada dokumen primer yang dapat dilacak melalui judul, lembaga penerbit, dan tahun. Tautan daring hanya untuk mempermudah akses dan bisa berubah sewaktu-waktu; sumber otoritatif tetap dokumen resmi yang dirujuk dalam sitasi.

1. Farley, M. et al. (2008). The Manager’s Non-Revenue Water Handbook
   • Ranhill / USAID. Panduan praktis tentang peran data dalam manajemen harian.
   • 🔗 pS-Eau Bibliographic Record
2. Sadeghioon, A.M., Metje, N., Chapman, D.N., & Anthony, C.J. (2014). SmartPipes: Smart Wireless Sensor Networks for Leak Detection in Water Pipelines
   • Journal of Sensor and Actuator Networks. Paper teknis tentang jaringan sensor nirkabel untuk deteksi kebocoran pipa.
   • 🔗 University of Birmingham Research Portal
3. ISO 55001:2024. Asset Management: Asset Management System: Requirements
   • Standar internasional manajemen aset. Kerangka sistem untuk memastikan aset digital terkelola secara berkelanjutan (dirujuk di §12.1.3).
   • 🔗 ISO (iso.org)
4. ISO/IEC 27001:2022. Information Security, Cybersecurity and Privacy Protection: Information Security Management Systems: Requirements
   • Kerangka acuan sistem manajemen keamanan informasi yang bisa diaudit, disebut di §12.4.2 sebagai jenjang lanjutan setelah kontrol minimum.
   • 🔗 ISO (iso.org)
5. IWA & Xylem (2019). Digital Water: Industry Leaders Chart the Transformation Journey
   • Laporan komprehensif tentang tren digitalisasi industri air secara global.
   • 🔗 IWA Digital Water Report PDF
6. CISA (2021). Alert AA21-042A: Compromise of U.S. Water Treatment Facility
   • Cybersecurity and Infrastructure Security Agency (CISA), Amerika Serikat. Analisis resmi kondisi sistem di Oldsmar beserta rekomendasi pengamanan sistem kendali air. Perlu dibaca bersama pemberitaan April 2023 yang mengoreksi atribusi insidennya.
   • 🔗 CISA Cybersecurity Advisory AA21-042A

Penafian: Tulisan ini adalah pandangan pribadi penulis berdasarkan pengalaman praktis dan studi independen. Bukan merupakan pandangan institusional atau komitmen formal dari organisasi mana pun. Pembaca sebaiknya memverifikasi sendiri sebelum menerapkan rekomendasi apa pun.