Belum pernah ada perlombaan pembangunan seperti yang sedang terjadi sekarang di industri pusat data. Permintaan AI akan komputasi mendorong pembangunan infrastruktur yang terbesar dan tercepat yang pernah ada di sektor ini, dengan para penyedia layanan dan pengembang berlomba untuk menghadirkan kapasitas lebih cepat dari yang bisa diatur oleh jaringan listrik, departemen perencanaan, atau rantai pasokan.
Dalam suasana yang penuh tekanan ini, perhatian besar tertuju pada hal-hal yang terlihat di spreadsheet, seperti megawatt, pendinginan, chip, jaringan, dan tentunya, keamanan siber.
Namun, satu dimensi yang sering terabaikan adalah perlindungan fisik bangunan itu sendiri. Ini adalah aspek yang paling mudah untuk ditunda ketika menghadapi tenggat waktu, dan paling sulit untuk diperbaiki setelah beton tercor, sehingga menjadi sangat krusial.
Perubahan regulasi di Amerika Serikat berpotensi membuat titik buta ini semakin parah, dan ini penting untuk dipahami meskipun Anda tidak mengoperasikan fasilitas federal AS, karena apa yang terjadi di sana bisa memberikan sinyal bagi industri secara keseluruhan.
Pada 30 September, Undang-Undang Peningkatan Pusat Data Federal akan berakhir tanpa pengganti yang siap. Undang-undang ini menetapkan standar minimum untuk pusat data federal, termasuk, yang tidak biasa, perlindungan terhadap intrusi fisik, dan menjadi mandat operasional yang memaksa penilaian khusus pada pusat data. Kerangka yang lebih luas seperti FISMA dan katalog kontrol NIST masih berlaku, tetapi mereka hanya memberikan prinsip; Undang-Undang Peningkatan ini memberikan praktik. Prinsip tanpa mekanisme penegakan cenderung ditafsirkan secara longgar.
Ketika lantai standar pemerintah sendiri diperbolehkan hilang, tolok ukur yang diukur secara diam-diam oleh operator swasta umumnya juga akan menghilang bersamanya.
Standar Keamanan
Ini bukan kekhawatiran hipotetis mengenai apakah persyaratan akan kembali. Undang-undang sebelumnya telah kadaluarsa pada 2022 dan hanya bertahan dengan disisipkan dalam RUU pertahanan tahun berikutnya. Aturan yang memerlukan kendaraan legislatif untuk kembali adalah yang berpotensi terlupakan, dan dasar-dasar keamanan jarang terkikis melalui satu keputusan dramatis. Mereka terkikis melalui ketidakadaan satu: mandat yang tidak pernah diperbarui karena tidak ada yang memaksa masalah itu.
Penting untuk jelas mengenai apa yang dipertaruhkan, karena keamanan fisik bukanlah hal abstrak. Ini adalah kontraktor yang memiliki akses tanpa pendamping ke satu ruang server; area pemuatan yang tidak diawasi; pintu pemeliharaan yang dibuka untuk kenyamanan; karyawan yang sudah pergi tetapi masih memiliki akses. Ini adalah jalur yang memungkinkan pencurian data, sabotase infrastruktur, dan fasilitas sebesar gudang menjadi tidak berfungsi.
Paparan sebenarnya bukan terletak pada pusat data yang sudah kita miliki. Operator terkemuka tetap menjaga pengeluaran itu melalui kontrak yang ada dan nafsu risiko mereka sendiri. Namun, yang berbahaya adalah pembangunan baru, ekspansi di era AI yang dirancang dan diadakan dengan kecepatan luar biasa, sebagian besar bersifat privat, dibangun oleh pengembang tanpa mandat yang mengikat. Ketika kerangka penilaian dihapus, keamanan fisik menjadi sesuatu yang bisa dipangkas dalam pengadaan untuk mencapai anggaran atau tenggat waktu, tanpa ada bendera kepatuhan dan tanpa ada yang diberitahu secara formal. Celah ini terbuka di fasilitas yang sedang kita bangun dengan cepat.
Ada kontradiksi di pusat isu ini. Pemerintah semakin mengklasifikasikan pusat data sebagai infrastruktur kritis nasional, yang seharusnya memang demikian. Mengurangi dasar keamanan mereka pada saat yang bersamaan bertujuan pada dua arah sekaligus. Anda tidak bisa menyebut sesuatu sebagai kritis dan pada saat yang sama menjadikan perlindungannya opsional.
Penyelesaian yang Masuk Akal
Penyelesaiannya bukan sekadar lebih banyak regulasi, meskipun pembaruan yang cerdas akan sangat membantu. Kita perlu menghentikan perlakuan keamanan fisik sebagai kewajiban kepatuhan yang naik turun mengikuti buku undang-undang, dan mulai menganggapnya sebagai desain inti.
Pelajaran konsisten dari mengamankan fasilitas kritis berskala besar adalah bahwa keamanan fisik gagal ketika itu merupakan kumpulan alat yang terpisah, satu kamera di sini, pembaca akses di sana, dipasang sebagai penambahan di akhir proyek.
Keamanan bekerja ketika dirancang sejak awal sebagai satu sistem terintegrasi, di mana kontrol akses, video, identitas, dan alarm saling memberi informasi, dan sebuah anomali di mana saja memicu respons terkoordinasi.
Memisahkan fisik dan digital sudah menjadi bagian dari bagaimana celah itu terbentuk. Di pusat data modern, keduanya adalah masalah yang sama: sebuah pintu yang dibiarkan terbuka, badge yang disalin, atau kontraktor nakal adalah insiden siber yang menunggu terjadi, dan fasilitas yang tidak bisa mengaitkan peristiwa pembukaan pintu dengan log akses atau rekaman kamera akan selalu bereaksi setelah fakta, bukan menghentikan intrusi yang sedang berlangsung.
Bagi para operator, implikasi praktisnya sederhana: keamanan fisik pusat data AI harus ditentukan pada saat yang sama dengan daya dan pendinginan, bukan ditambahkan setelah struktur utamanya sudah jadi. Memasang perlindungan pada fasilitas yang sudah berjalan jauh lebih sulit dan lebih mahal daripada merancangnya dari awal.
Perluasan AI adalah pencapaian teknik yang nyata, dan tantangan energi serta komputasinya pun sangat nyata. Namun, industri ini fokus pada risiko yang dapat diukur dan menunda yang dianggap tidak nyaman. Sebuah undang-undang yang kadaluarsa di Washington tidak seharusnya menjadi penentu apakah bangunan yang menampung komputasi paling kritis di dunia terlindungi dengan baik.
Untuk infrastruktur TI yang telah disepakati sebagai kritis, memperbaiki perlindungan fisiknya seharusnya sudah menjadi hal yang pasti, bukan sesuatu yang kita biarkan kepada siapa pun yang paling tertekan oleh tenggat waktu.
