OPINI: Cara Efektif Mencegah Kebocoran Data Pribadi di Era Pandemi Covid-19

Liputan6.com, Jakarta - Publik di Indonesia baru-baru ini dikejutkan oleh beberapa insiden data breach (pencurian data) terhadap situs jual beli daring di Indonesia.

Hal ini tentu mengkhawatirkan banyak pihak akan keselamatan data pribadinya, karena jumlah transaksi yang menggunakan platform jual beli daring meningkat sejumlah 400 persen di era pandemi Covid-19.

Insiden tersebut berawal dari thread jual beli yang dibuat oleh hacker pada situs penjualan terlarang di internet (dark web), yang mengklaim telah berhasil mendapatkan data pribadi customer secara ilegal dari beberapa situs terkenal termasuk marketplace di Indonesia.

Thread inilah yang kemudian diviralkan melalui platform media sosial. Tindak pidana pencurian data tentu bukan merupakan hal yang baru dalam dunia keamanan siber, banyak situs dan perusahaan terkenal dari sektor pemerintahan dan swasta, baik di dalam maupun luar negeri rentan terhadap jenis kejahatan ini.

Menurut Norton Security, data breach merupakan insiden keamanan siber di mana informasi diakses tanpa otorisasi yang sah. Data breach dapat merugikan pelaku bisnis dan customer dalam berbagai aspek, di antaranya adalah rusaknya reputasi dan membutuhkan waktu yang lama untuk perbaikannya.

Ekses lain dari pencurian data adalah meningkatnya tindak kriminal di dunia nyata. Salah satu contohnya adalah kasus pembunuhan pengemudi taksi daring yang diawali dengan pencurian identitas kependudukan orang lain yang digunakan oleh pelaku sebagai data registrasinya.

Sebagai penanggulangan, perusahaan tentu akan melakukan mitigasi baik secara internal maupun eksternal termasuk investigasi digital forensik terhadap jejak yang ditinggalkan oleh pelaku, namun bagaimanakah best practice sebagai strategi pencegahan terhadap insiden ini?

CIA Triad

Menurut William Stallings, inti dari keamanan siber adalah CIA Triad yang meliputi Confidentiality, Integrity dan Availability.

Confidentiality berarti menjamin kerahasiaan dengan membatasi akses hanya kepada orang yang berhak; Integrity berarti menjamin integritas data dengan memastikan bahwa data yang disimpan dan dikirim telah melalui prosedur otorisasi yang sesuai dan spesifik; Availability berarti menjamin bahwa sistem akan berjalan sebagaimana mestinya dan log pengguna tercatat dalam sistem.

Salah satu implementasi konsep CIA Triad adalah pengamanan metode authentication yakni melalui challenge kepada customer via something what you know (password), something what you have (two factor authentication) dan something what you are (biometric security).

Namun demikian, there are no silver bullets atau tidak ada satu strategi yang dapat berlaku sama untuk semua perusahaan, melainkan setiap perusahaan akan mengembangkan strategi keamanan siber yang paling sesuai dengan kebijakan perusahaannya.

Secara teknis perlindungan akan diterapkan pada setiap layer dari Open System Interconnection dan secara manajerial perusahaan akan berinvestasi pada Man (sumber daya manusia), Money (anggaran), Material (perangkat lunak, perangkat keras dan jaringan) dan Method (penelitian dan pengembangan teknik keamanan siber) untuk mengamankan sistemnya masing-masing.

Apakah hal ini sudah cukup? Tentu tidak, karena keamanan siber bukanlah suatu hal yang hanya bisa ditanggulangi seorang diri, dibutuhkan jaringan untuk melawan jaringan.

Dalam hal pencurian data, musuh bersama dari perusahaan adalah sekumpulan hacker yang terdiri dari anak-anak muda berbakat yang saling terhubung melalui internet tanpa mengenal batas, etnis dan aturan.

Para hacker ini dengan semangat, dalam 24 jam sehari dan 7 hari seminggu non stop, akan saling bertukar pengalaman dan teknik untuk mengelabui keamanan suatu sistem.

Suatu organisasi memang membutuhkan banyak effort dengan biaya yang besar untuk menutup vulnerability demi mengamankan suatu sistem. Namun, hanya dibutuhkan satu insiden yang berawal dari upaya nothing to lose untuk menggugurkan seluruh sistem keamanan yang telah terbangun.

Oleh karena itu, dibutuhkan sinergitas antar stakeholder IT di Indonesia. Manifestasinya dapat berupa sebuah platform yang memungkinkan para stakeholder untuk bebas berbagi data dan best practice dalam penanggulangan insiden siber.

Dengan demikian, para stakeholder dapat saling melindungi dan akan tercipta sebuah kerjasama lintas sektor untuk mendeteksi dan merespon insiden siber sebelum kejadian (pre incident), ketika kejadian (during incident) dan setelah kejadian (post incident).

Sebagai penutup, menurut penulis tidaklah bijak untuk menghakimi para perusahaan yang terkena serangan pencurian data, marilah kita hormati proses hukum yang berlaku karena sejatinya mereka bukan pelaku, namun sebagai korban yang sesungguhnya.

Dan lebih baik lagi untuk menjadikan insiden ini sebagai tahap pendewasaan diri bagi para stakeholder untuk memperbaiki sistemnya di masa depan.

Selain itu, masyarakat juga mendambakan peran dari pemerintah, dalam hal ini melalui Badan Siber dan Sandi Negara (BSSN) sebagai regulator dalam keamanan siber nasional, untuk mengambil tindakan nyata dalam mengorganisir perlindungan data pribadi melalui perangkat hukum demi terwujudnya ketahanan nasional di bidang siber.

**Penulis adalah Grawas Sugiharto, Ketua Dewan Pakar Asosiasi Forensik Digital Indonesia sekaligus Mahasiswa Master Degree Cyber Security ITB-KOICA