- Kisah nyata tentang risiko vendor lock-in dan praktik komersial yang agresif
- Lembaga-lembaga publik mencoba memigrasikan sistem email ke basis open source, tetapi menghadapi kontrak tidak adil dan dugaan pengawasan dari vendor
- Klausul tersembunyi dalam kontrak dan revisi sepihak menghalangi pelanggan untuk keluar dengan bebas serta membuat biaya pengelolaan melonjak tajam
- Bahkan ketika indikasi pengawasan dan pembacaan email benar-benar terungkap, organisasi lebih peduli pada kenaikan biaya daripada respons hukum dan etis
- Bahkan perusahaan yang mengusung semangat open source pun bisa melakukan penyalahgunaan, yang pada akhirnya hanya meninggalkan kerusakan kepercayaan dan citra negatif bagi seluruh industri
Kata Pengantar Penulis
- Kisah ini didasarkan pada pengalaman nyata, tetapi sebagian teknologi, detail, dan konteks telah diubah atau dicampur untuk melindungi identitas individu dan perusahaan
- Disarankan untuk membacanya sebagai kasus tipikal yang menyoroti dua masalah laten di industri TI: vendor lock-in dan praktik bisnis yang agresif
Perkembangan – Penerapan Sistem Email Baru
- Beberapa tahun lalu, sebuah lembaga publik besar (Agency A) masih menggunakan server email Exchange yang sudah tua
- Karena pembaruan keamanan sudah lama tidak dilakukan, risikonya tinggi, dan kemudian muncul aturan yang menganjurkan adopsi open source
- Sebuah perusahaan outsourcing mengajukan proposal berupa layanan terkelola berbasis stack email open source, dengan perluasan sendiri dan dukungan enterprise
- Harganya berada di kisaran yang tampak umum di pasar, tetapi sebenarnya terlalu mahal dibanding layanan yang benar-benar diberikan
- Agency A sendiri sudah memiliki infrastruktur tepercaya (multi-data center, rentang IP yang kokoh, dan sebagainya)
- Permintaan dari lembaga itu adalah, "evaluasi solusi ini dan migrasikan jika memang cocok" (cakupan: sekitar 500 mailbox dan alias)
Pilot dan Migrasi yang Berhasil
- Penulis menerapkan stack open source tersebut di lingkungan non-kritis dan pada beberapa pelanggan uji dengan harga diskon, lalu memverifikasinya selama satu tahun tanpa masalah
- Karena puas dengan fleksibilitas desainnya, ia merekomendasikan migrasi pilot kepada Agency A
- Server baru dibangun, domain dikonfigurasi untuk pengguna awal, lalu migrasi dilakukan secara bertahap
- Setelah pengalihan record MX, sistem berhasil stabil tanpa kendala, dan tim internal organisasi pun dapat mengoperasikannya tanpa isu besar
Kabar Menyebar dan Lembaga Kedua
- Agency B adalah pelanggan lama dari penyedia layanan terkelola yang sama
- Setelah melihat manfaat seperti penghematan biaya hingga 1/10, otonomi data, dan peningkatan stabilitas, mereka tertarik untuk bermigrasi
- Namun, masih tersisa dua tahun pada kontrak perpanjangan otomatis lima tahunan, dan klausul pemberitahuan enam bulan memberi sedikit ruang untuk menjadwalkan langkah berikutnya
- Karena khawatir terhadap kebijakan penjualan agresif dari vendor dan kemungkinan pembalasan, persiapan dilakukan secara sangat rahasia
- Setelah konfigurasi akun, alias, dan test set selesai, migrasi nyata direncanakan bertepatan dengan waktu pemberitahuan penghentian kontrak
Munculnya Lembaga Ketiga dan Firasat Buruk
- Agency C juga menggunakan vendor yang sama dan menyatakan keinginan untuk pindah ke stack open source yang sama
- Penulis mengirimkan penawaran terpisah kepada Agency C, tetapi tidak menyebut keterkaitannya dengan Agency B
- Prosesnya terlihat lancar, tetapi kemudian datang kontak via SMS yang tak terduga (berisi pesan bahwa "email tidak bisa dikirim")
Upaya Menghalangi Penghentian Kontrak dan Indikasi Kebocoran Informasi Internal
- Penanggung jawab TI di Agency B memberi tahu bahwa "ada masalah dalam penghentian kontrak, dan persiapan internal untuk keluar telah terbongkar ke vendor"
- Vendor mendapatkan informasi tentang rencana internal lembaga, bahkan sampai penawaran penulis untuk Agency C
- Pihak vendor menekan Agency C dengan mengklaim bahwa mereka adalah "satu-satunya pemasang resmi perangkat lunak tersebut", bahkan sampai melontarkan tuduhan persaingan tidak sehat dan ancaman hukum
- Karena khawatir pada potensi sengketa, lembaga itu akhirnya membatalkan rencana migrasi
Kecurigaan Penyadapan Email dan Pengujian
- Di Agency C ditemukan bahwa akun autentikasi token milik mantan pengelola kontrak eksternal masih memiliki hak akses ke seluruh email
- Orang tersebut mengaku telah "memberi tahu" vendor, tetapi menyangkal pernah menyebut penulis
- Untuk memastikan dugaan penyadapan email, penulis mengirim penawaran palsu melalui kenalan di luar negeri, lalu vendor segera menyinggung informasi itu
- Dari sini, kemungkinan bahwa email memang dapat dibaca menjadi sangat kuat
Klausul Kontrak yang Mengejutkan dan Respons Vendor
- Ketika tim TI mengajukan protes resmi, vendor menjawab bahwa hal itu "dimungkinkan berdasarkan klausul kontrak", sambil menunjuk pada revisi sepihak yang telah diterima dua tahun sebelumnya
- Contoh klausul revisi:
- Masa pemberitahuan diperpanjang dari 6 bulan → 12 bulan
- Layanan yang semula gratis dapat diubah menjadi berbayar
- Dengan dalih "keamanan", akses selain webmail diblokir (dan benar-benar langsung diberlakukan)
- Ini adalah praktik yang masih dimungkinkan pada masa sebelum penerapan GDPR, ketika regulasi belum cukup ketat
Respons yang Pasif dan Kerugian Tambahan
- Penulis mencoba memberi klarifikasi langsung terkait isu persaingan yang adil dan status pemasang yang tidak diakui, tetapi vendor tidak menanggapi upaya kontak tersebut
- Ia mendorong dua lembaga itu untuk melakukan penyelidikan hukum dan etis, tetapi dalam praktiknya perhatian hanya tertuju pada kenaikan biaya (fitur yang sebelumnya gratis menjadi berbayar, ditambah biaya 30%)
- Organisasi akhirnya hanya mempersoalkan beban anggaran, bukan dugaan korupsi internal atau pelanggaran privasi
Penutup dan Implikasi
- Beberapa tahun kemudian, para direktur yang bertanggung jawab semuanya telah diganti, dan hanya tim teknis yang tersisa, dengan penyesalan sekaligus kehati-hatian yang lebih besar
- Pada akhirnya, kasus ini ditutup dengan migrasi ke vendor yang lebih aman tetapi tidak inovatif
- Penulis pada akhirnya tidak mampu menyelesaikan masalah ini sampai ke akarnya
- Jika perusahaan yang mengklaim mendukung open source justru menunjukkan vendor lock-in atau perilaku tidak etis seperti ini, maka seluruh industri ikut menjadi korban
- Inti masalahnya bukan pada perangkat lunaknya, melainkan pada sikap orang-orang yang menanganinya
1 komentar
Komentar Hacker News
Dulu ada seseorang yang sempat menjadi manajer IT sementara dan tetap terhubung ke klien email lewat autentikasi token, sehingga bisa mengakses semua pesan. Orang ini adalah pihak yang dulu menandatangani kontrak awal dengan vendor tersebut. Saat ditanya secara informal, dia bilang menghubungi itu "sebagai peringatan" dan menganggap tidak ada masalah besar. Perilaku seperti ini benar-benar membuat tidak nyaman. Ini karena ada orang-orang yang membocorkan sesuatu atau melanggar aturan lalu berkata "bukan masalah besar". Director yang bekerja denganku juga beberapa kali melakukan hal serupa. Kalau dia melihat software di konferensi, dia langsung menjadwalkan demo dan mengusulkan kontrak. Lalu dia lebih dulu menjanjikan pekerjaan ke vendor luar yang dia kenal. Karena dia sebenarnya tidak punya wewenang untuk benar-benar membuat kontrak, baru setelah itu dia menghubungiku. Bahkan setelah pemilihan produk menjadi tanggung jawabku, hal seperti ini masih terjadi dua kali. Setiap kali aku bekerja di bawah manajer yang berbeda, tapi keduanya hanya bilang "tidak ada masalah". Pada akhirnya, Director itu ditegur karena menjanjikan pekerjaan dan menyiapkan kontrak seperti itu merupakan pelanggaran serius terhadap kebijakan perusahaan. Director tersebut sama sekali tidak peduli, dengan alasan itu urusan internal dan tidak ada yang bisa menjatuhkan sanksi padanya. Lalu ketika kami meninjau produknya, mereka menjanjikan bahwa produk itu akan "menjadi lebih baik seiring waktu", sementara semua data perusahaan begitu saja masuk ke AI. Aturan keamanan data perusahaan sama sekali tidak dipedulikan. Saat itu pun Director bereaksi cuek dengan berkata, "apa masalahnya, semua orang juga membaca data orang lain". Pada akhirnya tim legal turun tangan dan mematikan fitur AI tersebut. Sangat sulit menghadapi rekan kerja yang jahat atau ceroboh seperti ini, apalagi jika orang itu adalah atasan. Mereka selalu lolos dengan menganggapnya hanya kesalahan biasa dan tidak ada yang bisa memberi sanksi
Aku pernah bekerja di dua perusahaan Fortune 100. Berkali-kali aku melihat secara terang-terangan para manajer menerima rebate pribadi dari vendor. Setelah aku menegurnya secara terbuka, aku tidak lagi diundang ke berbagai rapat
Apa yang dilakukan Director itu sangat mirip dengan yang biasa kulihat dari para HR Director. Mereka sangat suka mengganti-ganti software penilaian kinerja yang mahal setiap 2 atau 3 tahun tanpa konsultasi apa pun. Meski begitu, Lattice yang mereka paling sukai sekarang setidaknya punya UX yang lumayan, sedangkan PeopleSoft yang kami pakai dulu benar-benar buruk
Permintaannya sederhana: "evaluasi solusi ini dan kalau cocok mari migrasi". Tapi aku harus membacanya beberapa kali dulu baru benar-benar paham. Solusi yang dimaksud di sini ternyata hanya stack open source, tanpa vendor yang disebut di paragraf sebelumnya. Awalnya kupikir vendor itu juga termasuk, lalu karena perbandingannya terus berlanjut aku jadi bingung
Aku juga baru memahami poin itu setelah membaca beberapa paragraf
Menarik. Justru di bagian itulah aku berhenti membaca
Rasanya seperti cerita tentang Oracle. Tentu saja Oracle menangani hal seperti ini dengan jauh lebih licik, tapi aku selalu menyarankan orang untuk menjauhi produk Oracle sebisa mungkin
Suatu hari nanti semoga nama asli dalam cerita ini dibuka
Menurut penulisnya, perusahaan tersebut sangat sering menggugat secara hukum. Wajar kalau dia ingin menghindari situasi dituntut secara pribadi oleh mereka. Bahkan para direkturnya sendiri kemungkinan tidak akan mau melawan perusahaan ini
Ada yang berkata, "semoga suatu hari nanti nama aslinya dibuka". Namun jawabannya adalah cerita ini ditulis anonim demi "melindungi privasi para pihak dan perusahaan". Aku jadi berpikir apakah perusahaan sekarang juga punya hak privasi, tetapi aku juga memahami perasaan itu. Dulu aku bekerja di sebuah perusahaan yang melakukan hal yang benar-benar tak bisa diterima saat bencana alam. Ketika aku mengangkat masalah itu, justru aku sendiri yang dikenai sanksi, sementara rekan-rekan lain diam saja dan menahannya. Akhirnya aku keluar pada kesempatan pertama. Itu sudah 20 tahun lalu, tetapi tetap tidak mudah menuliskan cerita itu. Karena kejadian itu sudah puluhan tahun berlalu, aku sering merasa apakah masih ada gunanya, dan karena kepemimpinan maupun nama perusahaannya sudah berubah total, apa yang sebenarnya tersisa? Karena itu di blogku ada dead-man's switch yang akan otomatis membuka berbagai hal buruk tentang beberapa perusahaan, tetapi aku juga bertanya-tanya, kalaupun ada yang melihatnya, apa yang akan berubah? Mungkin hanya membuat marah atau terasa sia-sia. Meski begitu, aku juga termasuk orang yang di HN selalu berteriak agar nama asli diungkap, jadi pada akhirnya aku sendiri kontradiktif
Sayangnya mereka berada di UE, tempat kebebasan berbicara tampaknya tidak terlalu dianggap penting, baik secara hukum maupun budaya
Orang ini tampaknya benar-benar bekerja di lingkungan seperti "ladang ranjau". Setiap langkah bisa memicu masalah, dan musuhnya kuat tautan terkait
Mungkin aku salah paham soal zona waktu atau siapa pihaknya, tetapi ketika disebutkan bahwa "perusahaan ini mengusulkan versi yang mereka kelola sendiri dan produk dengan fitur unik", aku jadi ragu apakah itu benar-benar open source
Proyek seperti ini banyak. Misalnya GitLab punya Community Edition yang open source, lalu ada edisi Premium dan Ultimate yang berbayar
Ini termasuk kasus "patuh pada bunyi hukum saja". Dalam hukum Eropa, khususnya hukum nasional di negara-negara Eropa, sektor publik sering diwajibkan memakai open source karena alasan interoperabilitas, pencegahan vendor lock-in, kedaulatan digital, dan prinsip "dana publik = kode publik". Kalau memakai open source di server milik orang lain, secara teknis kewajiban itu memang dipenuhi, tetapi jika memikirkan alasan sebenarnya mengadopsi open source, terutama untuk menghindari vendor lock-in, situasinya jadi terasa konyol
Detail kontrak harus selalu dibaca teliti sebelum ditandatangani. Untuk kontrak konsumen biasa saja itu benar, apalagi untuk kontrak bisnis
Kontrak bisnis kecil pun bukan pengecualian. Di organisasi nirlaba tempat aku menjadi anggota dewan, para staf mencari mesin fotokopi multifungsi untuk kantor lalu membawa kontraknya. Mereka bilang semuanya sudah ditinjau dan aku tinggal tanda tangan, tetapi klausulnya benar-benar mengejutkan. Misalnya, jika kami membatalkan karena alasan apa pun, bahkan kalau pihak sana sendiri gagal memenuhi kontrak, kami tetap harus segera membayar seluruh sisa nilai kontrak. Karena strukturnya sewa, seluruh harga perangkat sudah dimasukkan ke cicilan bulanan sementara kepemilikan perangkat tetap ada di pihak vendor. Jadi meski dibatalkan, perangkat tetap milik vendor, dan kami yang tetap membayar semuanya. Kalau sampai ada sengketa hukum, pihak kami juga harus menanggung seluruh biaya pengacara. Aku bilang aku sama sekali tidak bisa menyetujuinya, dan para staf marah padaku hampir setahun karena katanya tempat lain juga menandatangani kontrak seperti itu
Ini memang nasihat untuk membaca detail kontrak dengan saksama, tetapi kalau melihat ceritanya, kadang itu pun tidak terlalu berarti. Semakin sering ada kasus ketika syarat kontrak diubah "secara sepihak" dan pihak terkait bahkan tidak diberi tahu. Di industri IT, hal seperti ini nyaris keseharian. Sebanyak apa pun kita memeriksa detail kontrak yang sudah ditandatangani, itu percuma kalau isinya kemudian berubah. Sekarang, kalau sampai ada email pemberitahuan bahwa syaratnya berubah, itu malah termasuk beruntung. Sikapnya seperti, kalau tidak setuju memang mau apa? Kalau bukan pengacara, orang mungkin akan bilang ini ilegal, tetapi karena pengadilan hampir tidak pernah memberi sanksi yang layak, praktik itu terus berulang
Waktu, tenaga, biaya untuk menafsirkan dan meninjau kontrak, serta risiko jika memahaminya secara salah, semua itu juga harus dihitung sebagai biaya. Kalau memikirkan hal itu, sering kali lebih baik tidak membuat kontrak tertentu sama sekali
Aku penasaran bagaimana tepatnya "klausul perubahan sepihak" bekerja dalam praktik. Kalau kita tidak suka detail barunya, apakah kita harus langsung memberi pemberitahuan 6 bulan sebelumnya untuk mengakhiri kontrak?
Aku kaget setelah membaca perjanjian pendaftaran ID.me. Mereka meminta orang "secara sukarela" melepaskan kewarganegaraan. Karena itu aku tidak mau memakainya. Tapi untuk login ke IRS.gov tidak ada cara lain. Untuk menonton YouTube harus punya akun Google. Untuk ikut grup orang tua di chat grup harus menyetujui syarat Meta di WhatsApp. Kasus seperti ini tidak ada habisnya
Aku bukan ahli hukum, tetapi menurutku fakta bahwa mereka membaca email dan bertindak berdasarkan itu untuk tujuan yang jelas-jelas ilegal seharusnya cukup untuk membuat kontraknya sendiri batal demi hukum
Terutama kalau ini terjadi di lembaga pemerintah, itu benar-benar mengejutkan. Bagaimana kalau vendor luar diam-diam menanam backdoor di server email lalu memata-matai email? Kita bahkan tidak tahu apakah ini korupsi, aktivitas intelijen asing, atau hal lain. Kalau ini terjadi di Amerika Serikat, FBI atau CIA mungkin sudah turun tangan dan membereskan masalah vendor seperti ini
Betul. Masalahnya, kalau kontraknya diakhiri, kita harus berhadapan di pengadilan dengan lawan yang sangat bermusuhan, dan mereka akan berusaha sekuat tenaga agar kita membayar lebih banyak. Ada organisasi yang lebih mengutamakan keselamatan daripada etika, sehingga memilih menanggung biaya tambahan saja. Di sisi lain, jelas ada juga perusahaan yang mau bertarung untuk menghapus gugatan paten yang tidak adil atau klausul kontrak yang tidak masuk akal. Organisasi dalam kasus ini jelas bukan tipe seperti itu
Ini bukan nasihat hukum, tetapi menurutku hal seperti ini memang perlu diungkap dengan nama asli agar jadi peringatan
Kurasa banyak orang di HN pernah mengalami situasi serupa. Dulu kami diam-diam sedang melakukan penghentian sistem, dan codebase dibagikan antara perusahaan kami dan mitra kerja sama. Salah satu developer kami meninggalkan commit dengan teks seperti "Reversing Migration Script", dan kurang dari satu jam kemudian meledak bentrokan besar antara CEO kedua perusahaan. Belakangan kami tahu perusahaan lawan memantau kata-kata seperti itu di dalam kode secara real time, lalu langsung bertindak begitu melihat tanda-tanda kami akan mengakhiri kerja sama. Padahal secara hukum penghentian itu sah sebelum kontraknya berakhir, jadi sebenarnya tidak ada yang aneh. Setelah belakangan tahu ada pemantauan seperti itu, di internal perusahaan juga muncul perburuan penyihir tentang siapa "mata-mata" di dalam. Itu pengalaman yang sangat berat. Rasanya sekarang perilaku yang mendekati psikopat seperti ini sudah menjadi hal biasa. Seolah-olah cuma aku yang masih bekerja dengan cara naif seperti orang zaman dulu, dan mungkin itu sebabnya banyak perusahaan hanya mau merekrut orang usia 20-an /sedikit bercanda
Akan bagus kalau kamu bisa berbagi bagaimana tepatnya mereka melakukan pemantauan itu. Aku ingin belajar dari kasus seperti ini
Di tempat yang kemungkinan dipantau, bagus juga kalau sengaja menaruh nama variabel yang mudah memicu alarm. Mirip lelucon lama soal NSA
Dibilang sebagai "cerita horor berdasarkan kejadian nyata", tetapi aku penasaran apakah ini benar-benar nyata. Detail yang faktual justru akan membuatnya lebih menarik