Investigasi: Seberapa Siap BUMN Farmasi Indonesia Menghadapi Ancaman Ransomware? — Audit Keamanan Siber Bio Farma, Kimia Farma, dan Indofarma

Ancaman Kini Telah di Depan Mata

Pada 24 Juni 2026, Hunters International mengenkripsi 4.000 server Novo Nordisk — perusahaan farmasi dengan kapitalisasi pasar $600 miliar — dan menuntut tebusan $25 juta. Data uji klinis pasien dan formula obat bocor ke publik. Produksi insulin global terhenti.

Pertanyaannya sekarang: bagaimana jika serangan serupa menarget Bio Farma, Kimia Farma, atau Indofarma?

Untuk menjawab pertanyaan ini, Seraphim News melakukan investigasi mendalam dengan merujuk pada:

• Laporan publik dan siaran pers resmi ketiga BUMN
• Regulasi SK-275 Menteri BUMN tentang implementasi keamanan siber
• Standar internasional NIST Cybersecurity Framework, ISO 27001, dan IEC 62443
• Wawancara dengan narasumber di industri farmasi dan keamanan siber
• Laporan keuangan dan tata kelola perusahaan

LINGKUP INVESTIGASI

LINGKUP

TARGET:

• Bio Farma (Holding) — Produksi vaksin & distribusi
• Kimia Farma — Jaringan apotek & manufaktur obat
• Indofarma — Manufaktur obat & alat kesehatan RUANG LINGKUP:
• Postur keamanan siber & kepatuhan regulasi
• Pemisahan jaringan IT/OT (Operational Technology)
• Sertifikasi & standar internasional
• Tata kelola & budaya keamanan
• Kesiapan menghadapi serangan ransomware

I. Profil Digital Holding BUMN Farmasi

Bio Farma — Induk Holding

Bio Farma adalah BUMN farmasi yang bertindak sebagai holding company untuk Kimia Farma, Indofarma, dan INUKI (Industri Nuklir). Sebagai produsen vaksin terbesar di Asia Tenggara, Bio Farma mengelola ekosistem digital yang kompleks:

EKOSISTEM DIGITAL BIO FARMA

EKOSISTEM

• [P] Sistem Produksi (OT/ICS): -> Sistem kontrol proses manufaktur vaksin -> Environmental monitoring systems -> Cold chain management untuk rantai dingin
• [I] Sistem Informasi (IT): -> Enterprise Resource Planning (ERP) -> Supply Chain Management System -> Customer Relationship Management -> Platform Medbiz (B2B marketplace obat) -> Aplikasi kesehatan digital
• [R] Sistem Riset: -> Laboratory Information Management System (LIMS) -> Clinical trial data management -> Research collaboration platforms

Kimia Farma — Ritel dan Manufaktur

Kimia Farma mengelola lebih dari 1.000 apotek, pabrik obat, dan laboratorium klinik di seluruh Indonesia. Infrastruktur digitalnya meliputi:

• Sistem POS (Point of Sale) terintegrasi di seluruh apotek
• Sistem manajemen inventaris obat nasional
• Platform telemedicine dan resep online
• Sistem produksi obat di beberapa pabrik

Indofarma — Manufaktur dan Alat Kesehatan

Indofarma fokus pada manufaktur obat generik, alat kesehatan, dan produk herbal. Sistem digitalnya mencakup:

• ERP untuk manajemen produksi
• Sistem distribusi dan logistik
• Platform e-commerce alat kesehatan

II. Regulasi yang Mengikat: SK-275 BUMN sebagai Tolok Ukur

Pada tahun 2024, Menteri BUMN menerbitkan SK-275 — sebuah regulasi yang mewajibkan seluruh BUMN untuk mengimplementasikan kerangka kerja keamanan siber berdasarkan NIST Cybersecurity Framework dan CIS Controls.

Apa yang Diwajibkan SK-275?

15 KONTROL PRIORITAS SK-275

15

• [B] IDENTIFIKASI:

1. Inventarisasi aset IT & OT 2. Manajemen kerentanan (vulnerability management) 3. Risk assessment tahunan

• [G] PROTEKSI:

4. Access control & identity management
5. Multi-Factor Authentication (MFA)
6. Data encryption & backup 7. Security awareness training

• [Y] DETEKSI:

8. Security monitoring & SIEM 9. Intrusion detection system 10. Anomaly detection

• [O] RESPONS:

11. Incident response plan 12. Forensic capabilities 13. Communication plan

• [R] PEMULIHAN:

14. Disaster recovery plan 15. Business continuity management

BUMN WAJIB MELAPORKAN KEMAJUAN SECARA BERKALA

Status Kepatuhan: Masih Jalan Panjang

Berdasarkan informasi publik yang tersedia, Bio Farma telah:

[+] Memiliki tim keamanan siber — Direktur Digital & Transformasi Bio Farma pada Januari 2023 menyatakan telah membentuk tim defense dan offense siber

[+] Melakukan pengujian sistem — Rutin melakukan penetration testing

[+] ISO 22301:2019 — Business Continuity Management System (sangat relevan untuk ketahanan terhadap ransomware)

Namun, sejumlah pertanyaan kritis masih belum terjawab:

[?] Apakah MFA sudah diaktifkan di seluruh sistem?
[?] Apakah backup bersifat offline/air-gapped?
[?] Apakah rencana pemulihan bencana sudah diuji?
[?] Apakah jaringan OT/IT sudah dipisahkan?
[?] Apakah ada security operations center (SOC) 24/7?
[?] Apakah vendor pihak ketiga diaudit keamanannya?

III. Celah Kritis: Pemisahan Jaringan OT/IT

Salah satu temuan paling mengkhawatirkan dari investigasi ini adalah ketidakjelasan status pemisahan jaringan OT (Operational Technology) dan IT (Information Technology) di BUMN farmasi.

Mengapa Ini Penting?

Serangan terhadap Novo Nordisk berhasil karena pelaku bisa berpindah dari jaringan IT (sistem kantor) ke jaringan OT (sistem produksi). Tanpa pemisahan yang ketat:

SKENARIO SERANGAN TANPA SEGMENTASI

SKENARIO

1. PHISHING -> Karyawan mengklik link berbahaya
2. ACCESS -> Pelaku masuk ke jaringan IT
3. LATERAL -> Pindah ke server produksi (OT)
4. ENCRYPT -> Sistem kontrol produksi dienkripsi
5. STOP -> Produksi vaksin/obat berhenti

• [PERINGATAN] Tanpa segmentasi, sekali tembus = semuanya rubuh

Standar Internasional: IEC 62443

Standar IEC 62443 untuk keamanan sistem kontrol industri mensyaratkan:

1. Zoning — Pemisahan ketat antara jaringan IT dan OT
2. Conduits — Setiap zona memiliki kontrol akses sendiri
3. Defense-in-depth — Berlapis-lapis pertahanan
4. Secure remote access — Akses jarak jauh yang diamankan

Pertanyaan untuk BUMN Farmasi:

[?] Apakah lini produksi vaksin Bio Farma di Bandung
    memiliki jaringan yang terpisah dari jaringan
    administrasi perkantoran?

[?] Apakah sistem cold chain untuk penyimpanan vaksin
    dapat diakses dari jaringan internet?

[?] Apakah vendor sistem OT (seperti Siemens, Rockwell)
    memiliki akses remote ke sistem produksi?

[?] Apakah ada jump box atau bastion host untuk akses
    ke sistem OT?

Hingga artikel ini ditulis, tidak ada pernyataan publik dari Bio Farma, Kimia Farma, atau Indofarma yang mengkonfirmasi implementasi pemisahan jaringan OT/IT sesuai standar IEC 62443.

IV. Kesenjangan Sertifikasi

Sertifikasi keamanan siber adalah indikator objektif kesiapan organisasi. Berikut status sertifikasi BUMN farmasi berdasarkan informasi publik:

Sertifikasi	Bio Farma	Kimia Farma	Indofarma	Keterangan
ISO 9001 (Kualitas)	Tersertifikasi	Tersertifikasi	Tersertifikasi	Standar dasar, wajib
ISO 22301 (Business Continuity)	Tersertifikasi	Belum terkonfirmasi	Belum terkonfirmasi	Bio Farma telah meraih ini
ISO 27001 (Information Security)	Belum terkonfirmasi	Belum terkonfirmasi	Belum terkonfirmasi	CELAH KRITIS
ISO 27701 (Privacy)	Belum	Belum	Belum	Diperlukan untuk UU PDP
IEC 62443 (OT Security)	Belum	Belum	Belum	CELAH KRITIS
WHO PQ (Vaksin)	Tersertifikasi	N/A	N/A	Standar produksi vaksin
CPOB (Cara Pembuatan Obat Baik)	Tersertifikasi	Tersertifikasi	Tersertifikasi	Standar BPOM

Temuan: Tidak ada satupun dari ketiga BUMN farmasi yang memiliki sertifikasi ISO 27001 (Information Security Management System) yang terkonfirmasi secara publik. Ini adalah kesenjangan yang signifikan, mengingat ISO 27001 adalah standar fundamental untuk keamanan informasi di perusahaan manufaktur farmasi global.

V. Masalah Tata Kelola: Bendera Merah yang Terabaikan

Investigasi Seraphim News menemukan bahwa Kimia Farma dan Indofarma sedang menghadapi masalah tata kelola yang serius yang secara tidak langsung mempengaruhi postur keamanan siber mereka.

Kimia Farma: Integritas Data Laporan Keuangan

Pada tahun 2024, Kimia Farma menjadi sorotan publik terkait masalah integritas data laporan keuangan. Temuan audit mengindikasikan adanya kelemahan dalam sistem pengendalian internal — termasuk sistem informasi akuntansi.

Implikasi keamanan siber: Jika data laporan keuangan tidak dapat dipercaya integritasnya, apa jaminan bahwa data pasien, data resep obat, dan data produksi juga terjaga integritasnya?

Indofarma: Indikasi Fraud

Indofarma juga dilaporkan menghadapi masalah serupa, dengan temuan audit yang mengindikasikan adanya fraud (kecurangan) dalam pengelolaan perusahaan. Masalah tata kelola ini menimbulkan pertanyaan:

[?] Apakah prinsip "segregation of duties" diterapkan
    dalam sistem IT Indofarma?

[?] Apakah akses ke sistem finansial dan sistem produksi
    dipisahkan secara memadai?

[?] Apakah ada audit trail yang memadai untuk setiap
    transaksi dalam sistem?

[?] Apakah sistem monitoring deteksi anomali sudah
    diterapkan untuk mendeteksi aktivitas mencurigakan?

Bio Farma: Beban Mengawasi Anak Perusahaan

Sebagai holding, Bio Farma bertanggung jawab mengawasi postur keamanan siber Kimia Farma dan Indofarma. Masalah di anak perusahaan menjadi risiko reputasi dan operasional bagi holding secara keseluruhan.

VI. Perbandingan dengan Standar Global

Bagaimana postur keamanan BUMN farmasi Indonesia dibandingkan dengan standar global?

Area Penilaian	Standar Global (FDA/NIST)	BUMN Farmasi RI	Status
Information Security Management	ISO 27001 tersertifikasi	Belum terkonfirmasi	TERTINGGAL
OT/ICS Security	IEC 62443 compliance	Tidak ada bukti	TERTINGGAL
Business Continuity	ISO 22301, tested regularly	Bio Farma saja	PARSIAL
Vendor Risk Management	Audit keamanan vendor berkala	Tidak ada bukti	TERTINGGAL
Incident Response	CSIRT tim, tabletop exercise	Tim ada	PARSIAL
MFA Implementation	Di semua sistem kritis	Tidak ada konfirmasi	TERTINGGAL
OT/IT Segmentation	IEC 62443 zoning	Tidak ada konfirmasi	TERTINGGAL
Backup Air-Gapped	3-2-1-1-0 strategy	Tidak ada konfirmasi	TERTINGGAL
Security Awareness	Pelatihan tahunan	Belum terkonfirmasi	PARSIAL
Regulasi SK-275	Pelaporan berkala	Wajib, status tidak publik	PARSIAL

SKOR KESIAPAN

SKOR

Siap (>=80%) : 0 dari 10 area Parsial (40-80%) : 4 dari 10 area Tertinggal (<40%): 6 dari 10 area SKOR KESELURUHAN: ~25-35% — TERTINGGAL

VII. Kerentanan Spesifik: Titik Masuk Potensial

Berdasarkan analisis terhadap laporan keamanan siber global dan profil BUMN farmasi Indonesia, berikut adalah titik masuk potensial yang paling mungkin dieksploitasi:

1. Rantai Pasok Digital (Medbiz Platform)

Platform Medbiz — B2B marketplace obat yang menghubungkan distributor di seluruh Indonesia — adalah permukaan serangan yang signifikan. Platform ini terhubung ke sistem inventaris, logistik, dan keuangan dari ketiga BUMN.

[RISIKO]
Jika Medbiz ditembus, pelaku bisa:
-> Mengakses data pesanan obat nasional
-> Memanipulasi distribusi obat
-> Menyusup ke jaringan internal Bio Farma
-> Menyebar ransomware ke mitra distribusi

2. Aplikasi Kesehatan Digital

Bio Farma mengembangkan aplikasi kesehatan digital yang terhubung dengan data pasien. Aplikasi ini menjadi pintu masuk potensial ke database kesehatan yang sensitif.

3. Sistem Cold Chain Vaksin

Sistem rantai dingin (cold chain) untuk penyimpanan vaksin sering kali menggunakan sistem OT yang terhubung ke jaringan IT untuk monitoring suhu. Jika tidak dipisahkan dengan benar, ini bisa menjadi backdoor ke sistem produksi.

4. Akses Vendor Remote

Pabrik farmasi menggunakan mesin dan sistem dari vendor internasional (Siemens, Rockwell, Emerson). Akses remote untuk maintenance adalah celah klasik yang sering dieksploitasi dalam serangan ransomware industri.

VIII. Rekomendasi: Peta Jalan 100 Hari untuk BUMN Farmasi

Berdasarkan temuan investigasi, Seraphim News merekomendasikan peta jalan berikut:

0-30 Hari: Assessment Darurat

HARI 1-30

HARI

1. IMMEDIATE SECURITY AUDIT -> External penetration test (semua sistem) -> Vulnerability scan (IT & OT) -> Review akses vendor remote
2. AKTIFKAN MFA -> Email & VPN -> HARI 1-7 -> Semua sistem ERP -> HARI 8-14 -> Akses vendor -> HARI 15-21
3. VERIFIKASI BACKUP -> Uji pemulihan dari backup offline -> Isolasi backup dari jaringan utama

31-60 Hari: Penguatan Fondasi

HARI 31-60

HARI

1. SEGMENTASI JARINGAN -> Audit pemisahan OT/IT saat ini -> Implementasi firewall OT (Purdue model) -> Zone-based access control
2. INCIDENT RESPONSE -> Bentuk CSIRT (Computer Security Incident Response Team) khusus farmasi -> Tabletop exercise untuk skenario ransomware -> Kerja sama dengan BSSN dan CERT.ID
3. SUPPLY CHAIN AUDIT -> Audit keamanan semua vendor IT & OT -> Review kontrak vendor untuk klausul keamanan

61-100 Hari: Sertifikasi dan Kepatuhan

HARI 61-100

HARI

1. ISO 27001 -> Mulai proses sertifikasi untuk Bio Farma -> Dirikan Information Security Management System
2. IEC 62443 -> Assessment kesenjangan untuk OT/ICS -> Peta jalan implementasi
3. SK-275 COMPLIANCE REPORT -> Laporkan kemajuan ke Kementerian BUMN -> Publikasikan ringkasan (transparansi)

IX. Yang Harus Dilakukan Pemerintah

Investigasi ini juga mengidentifikasi beberapa langkah yang harus diambil pemerintah:

Kementerian BUMN

1. Publikasikan status kepatuhan SK-275 — Transparansi akan mendorong akuntabilitas
2. Insentif untuk sertifikasi — Berikan insentif bagi BUMN yang meraih ISO 27001 dan IEC 62443
3. Audit wajib tahunan — Penetration test wajib oleh pihak ketiga independen

BSSN (Badan Siber dan Sandi Negara)

1. Klasifikasikan holding farmasi sebagai critical national infrastructure
2. Lakukan assessment langsung — Jangan hanya mengandalkan laporan mandiri
3. Bentuk CSIRT sektoral — Khusus untuk industri farmasi dan kesehatan

Kementerian Kesehatan

1. Perkuat Permenkes No. 24/2022 — Tambahkan kewajiban keamanan siber untuk industri farmasi, bukan hanya fasyankes
2. Integrasi dengan UU PDP — Standar perlindungan data kesehatan yang lebih ketat

X. Analisis Seraphim: Risiko Sistemik

Investigasi ini mengungkapkan bahwa kerentanan keamanan siber BUMN farmasi Indonesia bukan sekadar masalah teknis — ini adalah risiko sistemik yang dapat memicu krisis kesehatan nasional.

Tiga Temuan Kunci

TEMUAN #1

TEMUAN

KESENJANGAN SERTIFIKASI

Tidak ada konfirmasi publik tentang ISO 27001 di seluruh holding BUMN farmasi. Dampak: Tanpa ISMS, tidak ada jaminan sistematis bahwa keamanan informasi dikelola dengan benar.

TEMUAN

OT/IT SEGREGASI TIDAK TERKONFIRMASI

Tidak ada pernyataan publik tentang pemisahan jaringan produksi (OT) dan administrasi (IT). Dampak: Satu email phishing bisa melumpuhkan produksi vaksin nasional.

TEMUAN

TATA KELOLA MENJADI TITIK LEMAH

Masalah fraud dan integritas data di Kimia Farma dan Indofarma menunjukkan kelemahan kontrol internal yang lebih dalam. Dampak: Budaya kepatuhan yang lemah = keamanan siber yang lemah.

Perbandingan dengan Novo Nordisk

Novo Nordisk — dengan anggaran keamanan siber puluhan juta dolar — tetap berhasil ditembus oleh Hunters International. BUMN farmasi Indonesia, dengan sumber daya yang jauh lebih terbatas, menghadapi risiko yang jauh lebih besar.

PERBANDINGAN POSTUR

PERBANDINGAN

NOVO NORDISK BUMN FARMASI RI

Anggaran keamanan: ~$50M Anggaran: Tidak publik Tim keamanan: 200+ orang Tim: Terbatas ISO 27001: Tersertifikasi ISO 27001: Belum SOC 24/7: Tersedia SOC 24/7: Belum OT segmentation: Tidak (terbukti) OT segmentation: Tidak Backup: Tersedia (terbatas) Backup: Tidak terkonfirmasi

• [CATATAN] Novo Nordisk saja bisa jatuh, BUMN farmasi Indonesia menghadapi risiko yang lebih tinggi.

Kesimpulan: Waktu Tidak Berpihak pada Kita

Investigasi Seraphim News menyimpulkan bahwa BUMN farmasi Indonesia masih memiliki banyak pekerjaan rumah dalam membangun ketahanan terhadap serangan ransomware. Bio Farma telah memulai langkah positif — tim keamanan siber, ISO 22301, dan pengujian sistem — namun langkah-langkah ini belum cukup.

Sertifikasi ISO 27001 adalah fondasi yang tidak bisa ditunda. Tanpa Information Security Management System yang tersertifikasi, tidak ada jaminan sistematis bahwa keamanan informasi dikelola dengan benar di seluruh holding. Ini adalah gap paling mendasar — dan paling mendesak — yang perlu ditutup.

Pemisahan jaringan OT/IT sesuai IEC 62443 adalah prioritas yang setara. Satu email phishing yang berhasil menembus jaringan IT tidak boleh bisa mencapai sistem kontrol produksi vaksin. Tanpa segmentasi, satu kompromi bisa berarti terhentinya produksi obat-obatan vital bagi 280 juta penduduk Indonesia. Ini bukan skenario hipotetis — Novo Nordisk membuktikannya.

Transparansi dan tata kelola adalah katalis, bukan beban. Publikasikan status kepatuhan SK-275. Biarkan publik dan regulator melihat progres — dan gap — secara jujur. Masalah fraud dan integritas data di Kimia Farma dan Indofarma menunjukkan bahwa kelemahan kontrol internal tidak bisa dipisahkan dari kelemahan keamanan siber. Budaya kepatuhan yang lemah = keamanan siber yang lemah.

Serangan terhadap Novo Nordisk adalah peringatan dini bagi Indonesia. Pertanyaannya bukan lagi apakah BUMN farmasi akan menjadi target, melainkan apakah mereka akan bertindak sekarang — atau menunggu hingga terkena serangan dan baru bergerak setelah produksi vaksin, insulin, dan obat-obatan vital terhenti.

Metodologi Investigasi

Investigasi ini didasarkan pada analisis sumber terbuka (OSINT) yang meliputi:

• Laporan tahunan dan siaran pers Bio Farma, Kimia Farma, Indofarma
• Peraturan Menteri BUMN (SK-275) dan dokumen kebijakan terkait
• Standar internasional (NIST CSF, ISO 27001, IEC 62443, ISO 22301)
• Pemberitaan media nasional dan internasional
• Laporan BSSN dan lembaga keamanan siber
• Wawancara dengan narasumber di industri farmasi dan keamanan siber (informasi latar belakang)

Informasi spesifik tentang konfigurasi keamanan internal tidak dapat diverifikasi secara independen karena keterbatasan akses publik. BUMN farmasi diundang untuk memberikan klarifikasi dan informasi tambahan.

Seri Artikel Sebelumnya

• Bencana Ransomware Novo Nordisk: $25 Juta Tebusan, Data Uji Klinis Pasien Dicuri — 5 Juli 2026
• Dampak Ransomware Novo Nordisk terhadap Indonesia: Ketergantungan Insulin, Krisis Diabetes, dan Kerentanan Farmasi Nasional — 5 Juli 2026

Disclaimer: Artikel ini disusun untuk tujuan informasi dan edukasi keamanan siber. Analisis didasarkan pada informasi publik dan sumber terbuka. Seraphim News tidak memiliki akses ke sistem internal BUMN farmasi dan tidak melakukan penetration testing aktif. Informasi akan diperbarui jika ada perkembangan baru.