03 July 2020 7528
Miscellaneous

Mengenal Data Breach (Pelanggaran Data)

Sobat Reas, kembali lagi dalam topik terkait keamanan informasi selanjutnya yaitu Data Breach atau Pelanggaran Data. Masih ingat dengan kasus pencurian data pelanggan dari marketplace terbesar Indonesia beberapa bulan lalu? Atau kasus kebocoran data Pasien Covid-19? Berita yang viral tersebut merupakan salah satu kasus Data Breach yang terungkap, dan sebenarnya lebih banyak lagi kasus yang tidak terungkap. Ditambah payung hukum kita (RUU Perlindungan Data Pribadi) yang masih dalam perencanaan, membuat kasus ini sulit dikendalikan.
 
Sumber Gambar: https://www.pexels.com/
 
Sebelum kita membahas lebih jauh tentang Data Breach, mari kita sedikit flashback untuk melihat lingkup besarnya terlebih dahulu.
 
Keamanan Informasi (Information Security / InfoSec): Merupakan upaya dalam melindungi aset informasi terhadap ancaman yang tidak diinginkan. Keamanan Informasi dibuat untuk memenuhi 3 prinsip utama, yaitu ConfidentialityIntegrity, dan Availability (CIA).
 
Insiden Keamanan Informasi: Merupakan potensi pelanggaran dan ancaman terhadap keamanan informasi, dapat melalui akses secara tidak sah atau percobaan peretasan oleh pihak yang tidak seharusnya memiliki akses terhadap informasi tersebut.
 
Jadi, apa yang dimaksud dengan Data Breach?
 
Semakin banyak data - data sensitif yang disimpan, dikelola, dan tersebar di dunia maya maka semakin besar pula risiko terhadap kerusakan, kehilangan dan akses data oleh pihak yang tidak bertanggung jawab.
Data Breach merupakan bagian dari Insiden Keamanan Informasi dimana data sensitif, terproteksi, atau rahasia berhasil disalin, dipindahkan, dilihat, dicuri, bahkan digunakan oleh pihak yang tidak seharusnya memiliki akses pada data tersebut.
Umumnya yang sering menjadi target adalah data - data sensitif berupa identitas pribadi, yang meliputi: Nomor KTP (NIK), Nama, Alamat, Tempat Tanggal Lahir, Nomor Rekening, Email, Password, bahkan data finansial seperti Nomor Rekening Bank dan Akun Kartu Kredit, yang disimpan oleh perusahaan besar seperti e-commerce, lembaga kesehatan, pemerintah, dan finansial.
 
Bagaimana Data Breach dapat terjadi?
 
Semakin banyaknya data pribadi yang tersimpan di dalam dunia maya menjadi "ladang basah" bagi peretas untuk melakukan tindakan pencurian data. Data yang berhasil diretas tersebut dimanfaatkan untuk penipuan, impersonasi, pemerasan, atau bahkan dijual pada Dark Web. Situs https://haveibeenpwned.com/ merupakan salah satu cara termudah bagi kita untuk mengecek apakah email kita telah menjadi salah satu korban pelanggaran data atau tidak.
 
 
Dilansir dari Badan Siber dan Sandi Negara (BSSN), Data Breach terjadi akibat beberapa kasus seperti:
a. Pencurian atau hilangnya perangkat penyimpanan data
b. Akses Ilegal terhadap Sistem atau Informasi
c. Adanya Keterlibatan Orang Dalam
d. Adanya Kelalaian dalam penerapan protokol pengamanan informasi.
 
Apa Penyebab Paling Umum terjadinya Data Breach?
Sumber Gambar: Verizon-2020-data-breach-investigations-report.pdf
  1. Peretasan (Hacking), menjadi nomor 1 penyebab utama dari Data Breach. Terdapat beberapa contoh jenis peretasan mulai dari menggunakan program backdoor, memanfaatkan kelemahan sistem, dan pencurian atau serangan terhadap data kredensial. Menurut data yang dikumpulkan oleh Verizon, serangan dan penyalahgunaan data kredensial menjadi opsi pelanggaran data yang paling sering dilakukan mengingat masih banyak user yang menggunakan password umum seperti "12345", "password", "qwerty" memudahkan peretas untuk melakukan serangan brute force.
  2. Error, yang dapat dibedakan menjadi beberapa jenis: Miskonfigurasi misalnya, dimana terdapat kelalaian dalam menyimpan data sensitif dimana biasanya perusahaan menyerahkan begitu saja kepada pihak ketiga tanpa mengecek kembali keamanannya. Terdapat juga Human Error, dimana ada unsur ketidaksengajaan dalam mengirimkan data rahasia kepada orang yang tidak seharusnya menerima atau memiliki akses terhadap informasi tersebut.
  3. Social Attacks. Phising! Menjadi salah satu cara favorit dalam melakukan social engineering. Phising (seperti fishing), adalah sebuah tindakan mengelabui target dengan menyamar sebagai pihak yang dikenal untuk memancing target agar dapat membuka tautan palsu dan mencuri data sensitif target. Contoh yang paling umum seperti clickbait, sms palsu, email palsu, telepon palsu dengan kata - kata yang menarik.
  4. Malware merupakan singkatan dari Malicous software. Merupakan program yang dirancang untuk mengeksploitasi data - data penting pada sistem dan database. Biasanya malware masuk ke dalam sistem melalui aplikasi yang kita instal sembarangan atau dari mengunduh attachment yang tidak dikenal. Malware mencakup virus, worm, trojan horse, sebagian besar rootkit, spyware, adware dan yang masih hits yaitu Ransomware.
 
Bagaimana Cara Kita Merespon Terhadap Data Breach?
 
BSSN telah membuat panduan dalam menghadapi data breach. Langkah dibawah ini dapat dilakukan apabila kita mendapati kasus data breach dalam perusahaan:
  1. Dokumentasikan hasil temuan kebocoran data, sekaligus membentuk Tim Insiden Respon.
  2. Memberikan imbauan dan membentuk satgas, termasuk melibatkan pihak eksternal.
  3. Mengamankan area kebocoran data.
  4. Menghentikan kebocoran data selanjutnya (biarkan perangkat offline tetap dalam kondisi offline, hindari menghidupkan perangkat hingga tim forensik tiba).
  5. Dokumentasikan apapun (mencatat siapa yang menemukan kebocoran data, siapa yangmelaporkan kebocoran data, siapa yang mengetahui kebocoran data, dan kebocoran dataseperti apa yang terjadi).
  6. Melakukan wawancara kepada pihak-pihak yang terlibat.
  7. Review protokol pemberitahuan orang yang terlibat dalam mempublikasikan informasi kebocoran data.
  8. Membuat skala prioritas dan risiko (membawa mitra forensik untuk menyelidiki lebih dalam).
  9. Laporkan kepada penegak hukum.
 
Apakah Dengan Menerapkan Standar Manajemen Keamanan Informasi (SMKI) seperti ISO 27001, perusahaan dapat 100% terhindar dari Data Breaching?
 
Sayangnya tidak. standar keamanan informasi diciptakan sebagai pedoman pengelolaan risiko keamanan informasi. Dalam ISO 27001 secara khusus telah memetakan Pengelolaan Insiden Keamanan Informasi yang terangkum pada Annex A.16, dan apabila kita lihat lebih dalam terdapat langkah – langkah memastikan pendekatan yang paling efektif dalam penanganan insiden keamanan informasi. Kita akan bahas di artikel selanjutnya ya.
 
Standar Keamanan Informasi yang ada merupakan alat bantu kita dalam mengelola keamanan informasi, sementara informasi dan data - data perusahaan merupakan tanggung jawab bersama yang perlu dijaga. Dengan menumbuhkan awareness terhadap keamanan informasi akan mengurangi chance terjadinya peretasan dan penyalahgunaan data.
Sampai jumpa pada artikel selanjutnya. Tetap waspada, dan selalu update pengetahuan kita terhadap teknologi informasi.
 
 
Sumber:
https://enterprise.verizon.com/resources/reports/2020-data-breach-investigations-report.pdf
https://bssn.go.id/panduan-menghadapi-data-breach/
https://www.itgovernance.co.uk/

Penulis

Vicho Septian Darta, S.T., M.T.I, COBIT-F

Email: vicho@indonesiare.co.id