PADU: Sistem Keselamatan Telah Ditambah Baik Serta Merta

Benarkah...

Kata laluan pengguna sistem Pangkalan Data Utama (PADU) boleh digodam dan ditukar.

Sumber : Twitter (X) / Januari 2024

Hasil

Kelemahan sistem keselamatan PADU telah ditambah baik serta-merta dan sentiasa diperkukuhkan dari semasa ke semasa.

30/01/2024 05:52 PM

Penyelidik : Khal Hamzah

SEKILAS FAKTA

Tular satu ciapan di platform X mendakwa inisiatif digital terbaharu Malaysia iaitu PADU dikatakan mempunyai sistem keselamatan yang lemah.
Dikatakan terdapat masalah dalam ‘script code’ sistem itu yang membenarkan pihak ketiga menggunakan nombor kad pengenalan untuk menukar kata laluan akaun.
Semakan MyCheck mendapati pihak NACSA telah mengambil maklum aduan berhubung kelemahan sistem itu dan pasukan PADU telah menyelesaikan serta memperkukuhkan sistem dalam tempoh satu jam selepas menerima aduan.
Sistem keselamatan PADU sentiasa diperkukuhkan bagi memastikan privasi data terpelihara dan tiada berlakunya penyalahgunaan maklumat peribadi, malah PADU dilindungi oleh akta sedia ada di Malaysia.

Sumber: MyCheck Malaysia

LATAR BELAKANG

Data peribadi adalah maklumat sulit yang perlu dijaga kerahsiaannya, namun perkembangan teknologi kini menuntut rakyat untuk bersikap sedikit terbuka mengenainya demi memudahkan urusan seharian, seperti ketika melakukan transaksi komersial, selain tujuan memohon bantuan, ‘e-filing’ atau urusan rasmi dalam talian.

Selain itu, inisiatif ini juga sekali gus dapat mengatasi masalah kehilangan dokumen rasmi fizikal (hardcopy).

Bagaimanapun, tidak dinafikan negara juga terdedah kepada ancaman keselamatan seperti kebocoran data yang menyebabkan orang ramai agak berkira-kira dan skeptikal untuk mengisi maklumat peribadi terutamanya di aplikasi data yang baharu diperkenalkan.

Seperti contoh, baru-baru ini, Malaysia telah melancarkan sistem Pangkalan Data Utama (PADU) yang telah menjadi topik perbualan orang ramai.

MENGENAI DAKWAAN

Tular di platform media sosial X atau dahulunya dikenali sebagai Twitter, satu dakwaan yang mengatakan inisiatif digital terbaharu Malaysia iaitu PADU mempunyai sistem keselamatan yang lemah.

Sumber: X (Twitter)

Menerusi ciapan @drmsr_dev, pengguna tersebut menyatakan dengan hanya menggunakan nombor kad pengenalan (IC) mana-mana individu, beliau boleh menggodam dan menukar kata laluan akaun PADU mereka.

Rata-rata warganet terkejut dengan dakwaan terbabit kerana bimbang akan keselamatan privasi data dan potensi penyalahgunaan maklumat peribadi masing-masing, termasuklah kemungkinan besar maklumat itu digunakan oleh ‘scammer’.

APA YANG KAMI TEMUI

Apa Itu PADU

PADU yang dilancarkan pada 2 Jan 2024 oleh Perdana Menteri Datuk Seri Anwar Ibrahim, adalah sebuah sistem digital yang bertujuan mengumpul profil individu dan isi rumah meliputi warganegara dan pemastautin tetap di Malaysia.

PADU diwujudkan sebagai mekanisme untuk mengenalpasti golongan yang layak menerima manfaat dan tidak akan sesekali tercicir daripada menerima bantuan serta subsidi bersasar.

Ia akan menjadi asas kepada program-program pelaksanaan inisiatif baharu kerajaan termasuk rasionalisasi subsidi yang akan diputuskan oleh kerajaan dari semasa ke semasa.

Dalam pada itu, Persekutuan Majikan-Majikan Malaysia (MEF) melihat PADU sebagai perjalanan pendigitalan negara dan satu sumber maklumat terpusat, yang mana data nasional itu akan menjadi tulang belakang kepada semua dasar dan strategi negara.

Presidennya Datuk Syed Hussain Syed Husman berkata MEF yakin bahawa hab itu akan menjadikan negara lebih cekap dalam pelan yang dibuat di peringkat nasional, serantau dan antarabangsa.

"Negara-negara yang berjaya di seluruh dunia menggunakan data mereka untuk memacu pertumbuhan mereka, sama ada berkaitan ekonomi, politik atau sosial. Dalam dunia data dan maklumat hari ini, penggunaan pendigitalan telah mempercepatkan proses analisis untuk mencapai keputusan yang lebih tepat,” katanya.

Sementara itu, Menteri Ekonomi Rafizi Ramli menerusi ciapannya di platform X memaklumkan sistem PADU dibina sepenuhnya oleh penjawat awam tanpa penglibatan pihak ketiga.

Bagaimanapun Berita Harian melaporkan, setakat 21 Jan 2024 iaitu selepas 20 hari dilancarkan, hanya seramai 1,367,324 rakyat telah berdaftar dengan PADU, yang sekali gus membangkitkan persoalan sama ada wujud keraguan dalam kalangan orang ramai mengenai inisiatif tersebut.

Masalah Pada ‘Script Code’ Sistem

Bagi memahami isu ini dengan lebih terperinci, kami menemui satu bebenang ciapan oleh seorang pengguna, @drmsr_dev yang menjelaskan mengenai kelemahan sistem keselamatan PADU.

Sumber: X (Twitter)

Menurutnya, terdapat masalah dalam ‘script code’ sistem di bahagian kata laluan yang membenarkan pihak ketiga menggunakan nombor kad pengenalan untuk menukar kata laluan akaun sekali gus memberi risiko kepada kebocoran data pengguna.

Justeru, beliau segera melaporkan masalah tersebut kepada pihak berkaitan, hasilnya penambahbaikan kepada sistem telah segera dibuat oleh pihak terbabit.

Namun, menurutnya masih banyak yang perlu diperbaiki.

Keselamatan Sistem Telah Ditingkatkan

MyCheck kemudian menghubungi pihak Agensi Keselamatan Siber Negara (NACSA) menerusi e-mel bagi mendapatkan kepastian.

Sumber: MyCheck Malaysia

Berdasarkan respons NACSA, mereka telah mengambil maklum aduan pengguna mengenai kerentanan pada sistem PADU pada tarikh 2 Jan 2024 dan telah memaklumkan kepada wakil Kementerian Ekonomi, Jabatan Perangkaan Malaysia dan Unit Pemodenan Tadbiran dan Perancangan Pengurusan Malaysia (MAMPU).

Sehubungan itu, satu perbincangan segera telah diadakan bersama pihak terlibat dan seterusnya tindakan susulan dijalankan oleh pasukan pembangun sistem PADU bagi menyelesaikan kerentanan tersebut.

Sumber: X (Twitter)

Sementara itu, Rafizi Ramli turut mengeluarkan satu kenyataan di platform X menjelaskan bahawa isu penukaran kata laluan itu berpunca daripada masalah teknikal sistem semasa Ujian Penilaian Postur Keselamatan IT (Security Posture Assessment) dijalankan.

Bagaimanapun, beliau menyatakan pasukan PADU telah menyelesaikan dan memperkukuhkan sistem dalam tempoh satu jam.

PADU Tidak Dilindungi Di Bawah Akta PDPA?

Sejurus selepas kelemahan sistem PADU dibangkitkan, muncul pula dakwaan lain mengatakan data di dalam sistem PADU tidak dilindungi di bawah Akta Perlindungan Data Peribadi 2010 (PDPA).

Bekas Ahli Parlimen, Dr Ong Kian Ming memuat naik satu ciapan mendakwa data yang dihantar pada PADU tidak akan dilindungi oleh PDPA memandangkan data tersebut dikumpul oleh kementerian dan agensi kerajaan.

Malah pada 4 Jan 2024, Utusan Malaysia melaporkan sebuah kumpulan hak asasi manusia dikenali sebagai Lawyers for Liberty (LFL) menggesa agar pelaksanaan sistem PADU ditangguhkan.

Mengikut laporan berkenaan, Pengarah LFL Zaid Malek mengatakan pelaksanaan sistem itu sebelum pindaan PDPA memberi risiko kepada pencerobohan, penipuan dan penyalahgunaan data.

Sumber: Utusan Malaysia

Tambah beliau, Rang Undang-Undang (RUU) Omnibus iaitu akta yang bertujuan membenarkan perkongsian data antara kementerian dan agensi awam belum diluluskan lagi, maka keselamatan sistem tersebut agak meragukan.

Akta PDPA Hanya Tertakluk Pada Pihak Swasta Sahaja

Namun pada tarikh yang sama, Berita Harian pula mengeluarkan laporan mengatakan PADU tidak tertakluk kepada PDPA.

Sumber: Berita Harian

Memetik laporan tersebut, Rafizi menjelaskan bahawa PDPA hanya meliputi pihak swasta yang mengumpul data, sedangkan PADU adalah pusat pengumpulan pangkalan data agensi awam (kerajaan).

Ini kerana, data yang diperoleh setiap jabatan awam tertakluk dan dilindungi oleh akta di bawah kementerian masing-masing, jelas Rafizi pada satu sidang media PADU.

Beliau berkata PADU adalah sebahagian daripada usaha kerajaan mengintegrasi semua data dan sekiranya ia tertakluk kepada PDPA, kerajaan berdepan banyak halangan untuk melaksanakan pelbagai sokongan dan penyaluran bantuan kepada rakyat.

Jadi, PADU dilindungi oleh akta apa?

PADU Dilindungi Oleh Akta-Akta Sedia Ada Di Malaysia

Bagi menjawab soalan di atas, MyCheck menghubungi seorang pensyarah Kuliah Undang-Undang Ahmad Ibrahim, Universiti Islam Antarabangsa Malaysia (UIAM), Profesor Madya Dr. Sonny Zulhuda untuk mendapatkan pencerahan mengenai undang-undang siber.

Menurutnya, PADU sebagai sebuah sistem komputer milik kerajaan semestinya dilindungi oleh beberapa undang-undang sedia ada di Malaysia antaranya:

1. Akta Jenayah Komputer 1997

Tertulis pada seksyen 3,4 dan 5 akta, iaitu perbuatan melakukan capaian secara tidak sah (unauthorised access) dan perubahan secara tidak sah (unauthorised modification) kepada bahan atau kandungan komputer adalah kesalahan jenayah yang membolehkan individu tertentu didakwa dan disabit di bawah akta tersebut.

2. Akta Komunikasi dan Multimedia 1998

Akta 588 pula meliputi pelbagai perkara seperti perbuatan menyediakan kandungan jelik (offensive content) yang boleh dianggap kesalahan di bawah Seksyen 211 atau 233 akta tersebut. Contohnya, individu tersebut dengan sengaja mengisi maklumat atau data yang salah ke dalam sistem PADU.

Sementara itu, perbuatan memintas (intercept) dan mendedahkan data sulit dalam sistem PADU adalah satu kesalahan yang boleh dihukum di bawah Seksyen 234.

Kemungkinan lain adalah hukuman di bawah Seksyen 235, iaitu menyebabkan kerosakan kepada fasiliti rangkaian (PADU), antaranya dengan cara mengusik, mengubahsuai, mengeluarkan, memusnahkan dan juga kecuaian serta ketidakjujuran.

KESIMPULAN

Berdasarkan maklumat yang dikumpul ini, MyCheck mengklasifikasikan dakwaan sistem keselamatan PADU tidak ditambah baik sebagai tidak benar memandangkan sistem tersebut telah dibaik pulih serta-merta sebaik sahaja pasukan PADU menerima maklum balas daripada pengguna.

Selain merujuk pandangan pakar, kami juga membuat tinjauan di aplikasi X dan menemui beberapa cadangan dan pandangan membina oleh pengguna X berhubung isu-isu sistem PADU.

Antara cadangan itu adalah membuat ‘proper onboarding’ pada bahagian ‘interface profile’ untuk memberi panduan kepada pendaftar baharu bagi memudahkan langkah pendaftaran mereka.

Selain itu, ada juga yang mencadangkan untuk menukar status ikon dan warna kerana tidak sesuai dan agak sukar untuk difahami.

Namun secara kesimpulannya, anda tidak perlu bimbang untuk mendaftar dan mengemaskini data anda di dalam sistem PADU sebelum 31 Mac 2024 memandangkan sistem ini sentiasa diperkukuhkan dan dilindungi oleh akta sedia ada di Malaysia.

-- MYCHECK.MY --

RUJUKAN