Aplikasi penunjuk arah tempatan perlu menjalani pemeriksaan keselamatan siber yang sama seperti aplikasi asing bagi memastikan data pengguna dilindungi, kata pakar teknologi. Pandangan itu timbul ketika kerajaan menggalakkan penggunaan aplikasi tempatan TuJu berbanding Waze.

Pada masa sama, mereka mempersoalkan alasan kerajaan melarang penjawat awam menggunakan Waze kerana aplikasi lain seperti Google Maps turut mengumpul maklumat pengguna yang serupa. Google membeli Waze pada 2013.

Pakar memberi amaran bahawa aplikasi tempatan tidak semestinya lebih selamat berbanding aplikasi asing. Mereka menegaskan bahawa semua aplikasi perlu dinilai menggunakan piawaian keselamatan siber yang sama.

Perdana Menteri Anwar Ibrahim baru-baru ini menggalakkan penggunaan TuJu sebagai alternatif kepada Waze atas kebimbangan keselamatan negara berkaitan asal usul Waze dari Israel. Namun, selepas jumlah penggunanya meningkat mendadak, TuJu menerima aduan mengenai masalah teknikal dan kelemahan sistem navigasi. Anwar mengakui masalah itu selepas menerima banyak maklum balas orang ramai.

Pengerusi Lembaga Lebuhraya Malaysia (LLM), Hasni Mohammad, kemudian menjelaskan kepada Malaysiakini bahawa TuJu tidak dibangunkan untuk menyaingi Waze. Sebaliknya, aplikasi itu bertujuan menambah baik perkhidmatan di lebuh raya bertol dengan menyediakan maklumat trafik, lokasi kawasan rehat dan rawat (R&R) serta nombor untuk dihubungi ketika kecemasan.

Walaupun TuJu mempunyai fungsi yang lebih terhad, tahap kesiapsiagaan dan keselamatan aplikasi navigasi tempatan masih menjadi persoalan.

Penilaian keselamatan siber yang sama

Perunding keselamatan siber, Aaron Ikram Mokhtar, berkata kerajaan perlu menilai semua aplikasi navigasi menggunakan kriteria yang sama. Ini termasuk jenis data yang dikumpulkan, lokasi penyimpanannya, sama ada data dikongsi dengan pihak ketiga dan cara data dilindungi daripada akses tanpa kebenaran.

“TuJu masih mengumpul data lokasi dan menggunakan perkhidmatan pemetaan luaran. Namun, tiada bukti awam yang jelas bahawa mana-mana aplikasi itu telah menjalani audit bebas.

“Negara asal perlu diambil kira, tetapi tidak seharusnya menjadi faktor penentu. Penilaian Waze, Google Maps, TuJu dan Pintaz menggunakan piawaian yang sama akan menjadikan dasar kerajaan lebih meyakinkan dan tidak dilihat sebagai memilih aplikasi tertentu,” katanya.

Dia menegaskan bahawa aplikasi tempatan juga perlu diperiksa dengan teliti bagi memastikan keselamatannya.

Aaron berkata pembangun tempatan boleh memperkenalkan program ganjaran penemuan pepijat (bug bounty). Melalui program itu, penyelidik keselamatan diberi ganjaran kerana mengenal pasti kelemahan sistem supaya masalah tersebut dapat diperbaiki sebelum dieksploitasi pihak tidak bertanggungjawab.

Langkah itu penting kerana kelemahan dalam satu aplikasi boleh mendedahkan pengguna kepada risiko lebih besar jika mereka menggunakan maklumat log masuk yang sama untuk aplikasi lain, termasuk media sosial dan perbankan dalam talian.

Ketelusan membina keyakinan

Ketua Pegawai Eksekutif Akati Sekurity, Krishna Rajagopal, berkata pembangun tempatan boleh meningkatkan keyakinan orang ramai dengan menjelaskan secara terbuka cara aplikasi mereka berfungsi dan mengendalikan maklumat pengguna.

Katanya, pengguna yang sudah bertahun-tahun menggunakan Waze mungkin keberatan untuk beralih kepada aplikasi yang belum dikenali. Keadaan ini lebih ketara jika kerajaan hanya mengarahkan mereka berhenti menggunakan Waze tanpa menjelaskan sebabnya atau membuktikan bahawa aplikasi alternatif boleh dipercayai.

Namun, penjelasan yang lebih terperinci mengenai pengumpulan data, langkah keselamatan dan pihak yang bertanggungjawab boleh mendorong pengguna menilai aplikasi tempatan berdasarkan keupayaannya sendiri.

“Sepatutnya, LLM, TuJu atau mana-mana aplikasi tempatan lain perlu menjawab enam perkara yang digariskan Agensi Keselamatan Siber Negara (Nacsa).

“Saya fikir perkara ini sangat penting. Ramai mungkin berasa bimbang kerana pihak berkuasa kerajaan di Malaysia tidak tertakluk kepada Akta Perlindungan Data Peribadi.

“Jadi, jika berlaku insiden melibatkan aplikasi tempatan, siapa yang akan bertanggungjawab?” soalnya.

Risiko keselamatan siber

Nacsa menggariskan enam faktor untuk menilai risiko keselamatan siber aplikasi navigasi, iaitu:

- Jenis data yang diakses;

- Kebenaran yang diminta oleh aplikasi;

- Lokasi data diproses;

- Dasar penyimpanan data;

- Perkongsian data dengan pihak ketiga; dan

- Langkah keselamatan yang dilaksanakan oleh pembangun.

Nacsa turut menjelaskan bahawa Waze mengumpul pelbagai maklumat selain lokasi pengguna. Maklumat itu termasuk perjalanan dan laluan, data GPS dan sensor peranti, cap masa serta alamat IP.

Bergantung pada peranti dan tetapan akaun pengguna, Waze juga boleh mengumpul maklumat lokasi dan perjalanan ketika aplikasi tidak digunakan secara aktif.

Nacsa memberi amaran bahawa pengumpulan data secara berulang dan analisis terhadap keseluruhan data itu boleh mendedahkan corak pergerakan serta aktiviti pengguna.

Waze, yang beribu pejabat di Tel Aviv, menafikan dakwaan bahawa aplikasinya mengumpul maklumat sensitif kerajaan atau membolehkan pihak ketiga menyalahgunakan data peribadi pengguna.

Jurucakap Waze memberitahu Malaysiakini bahawa aplikasi itu mempunyai dasar privasi yang ketat untuk melindungi data pengguna dan mematuhi piawaian perlindungan data antarabangsa.

Wajarkah larangan itu?

Selain mempersoalkan kesiapsiagaan aplikasi tempatan, pakar turut mempersoalkan keputusan kerajaan melarang Waze. Mereka ingin mengetahui sama ada kaitan aplikasi itu dengan Israel sahaja cukup untuk mewajarkan larangan tersebut.

Aaron berkata kerajaan perlu membezakan antara risiko keselamatan yang berpotensi dengan ancaman yang sudah terbukti, terutama apabila sekatan melibatkan perkhidmatan yang digunakan orang ramai.

“Risiko berpotensi bermaksud aplikasi mengumpul data yang boleh disalahgunakan. Ancaman yang terbukti pula bermaksud terdapat bukti penyalahgunaan sebenar, pelanggaran keselamatan atau akses tanpa kebenaran.

“Nacsa menyatakan tiada bukti bahawa Waze menganalisis keseluruhan data lokasi untuk memprofilkan pengguna. Oleh itu, larangan itu boleh dianggap sebagai langkah berjaga-jaga, tetapi tidak seharusnya digambarkan sebagai bukti bahawa insiden keselamatan sudah berlaku,” katanya.

Aaron berpendapat kerajaan sepatutnya menerbitkan ringkasan penilaian keselamatan Waze. Penjelasan itu perlu merangkumi cara aplikasi tersebut mengumpul, menyimpan dan berkongsi data pengguna supaya orang ramai memahami sebab larangan itu diperlukan.

Generic photo highway in Klang Valley 200521 jalan tun razak

“Tanpa penjelasan itu, orang ramai tidak dapat menilai sama ada larangan tersebut setimpal dengan risiko atau lebih banyak didorong oleh pertimbangan politik,” katanya.

Pakar media digital yang juga pensyarah Universiti Monash, Benjamin Loh, turut bersetuju bahawa kerajaan perlu menjelaskan risiko sebenar terhadap keselamatan negara. Menurutnya, kenyataan Waze bahawa ia mematuhi undang-undang Israel tidak seharusnya dianggap sebagai alasan yang mencukupi untuk mengenakan larangan.

“Hanya kerana Waze menyatakan bahawa ia mematuhi undang-undang Israel... tidak jelas sama ada itu bermaksud undang-undang tersebut akan mengatasi undang-undang Malaysia dan membolehkan data pengguna turut disimpan di bawah undang-undang berkenaan,” kata Loh.

Mengapa Waze, tetapi bukan Google Maps?

Pakar turut mempersoalkan mengapa larangan itu seolah-olah hanya menyasarkan Waze, sedangkan aplikasi navigasi asing lain, khususnya Google Maps, turut mengumpul jenis maklumat pengguna yang serupa. Google Maps berpangkalan di Amerika Syarikat dan membeli Waze pada 2013.

Aaron berkata Waze dan Google Maps mempunyai persamaan dari segi teknikal kerana kedua-duanya boleh mengumpul maklumat lokasi pengguna, laluan perjalanan dan data peranti. Akses kepada lokasi ketika aplikasi berjalan di latar belakang pula bergantung pada tetapan dan kebenaran pengguna.

Menurutnya, perbezaan yang lebih ketara antara kedua-dua aplikasi itu ialah bidang kuasa undang-undang yang terpakai kepada masing-masing, bukannya jenis data yang boleh dikumpulkan.

Bagaimanapun, Loh menyifatkan alasan mengecualikan Google Maps kerana tertakluk kepada bidang kuasa Amerika Syarikat sebagai “tidak masuk akal”. Katanya, syarikat teknologi asing lazimnya beroperasi di banyak negara, tetapi tetap perlu mematuhi undang-undang negara tempat mereka menawarkan perkhidmatan.

Beliau berkata syarikat teknologi utama, termasuk yang berpangkalan di Amerika Syarikat, turut mengumpul data pengguna. Oleh itu, sukar untuk mewajarkan layanan berbeza terhadap Waze berdasarkan negara asalnya semata-mata.

“Dari segi teknikal, setiap aplikasi akan mematuhi undang-undang negara asalnya. Namun, memandangkan aplikasi beroperasi di peringkat antarabangsa, kebanyakannya juga akan mematuhi undang-undang tempatan di negara tempat mereka menawarkan perkhidmatan,” katanya.

Loh berkata peraturan perlindungan data telah memperkukuh perlindungan daripada penyalahgunaan dan penyebaran maklumat peribadi. Namun, syarikat teknologi utama masih mengumpul sejumlah besar data pengguna.

Beliau menambah bahawa kerajaan perlu menjelaskan mengapa Waze dianggap mempunyai risiko keselamatan yang berbeza berbanding aplikasi navigasi lain, dan bukannya mengenakan sekatan secara terpilih.