Pelajaran yang Dipetik dari Maraknya Kebocoran Data Pribadi

JAKARTA - Oleh: Alfons Tanujaya
Pakar Keamanan Siber dan Pendiri Vaksincom

McDonald’s mengalami kebocoran data pada Juni 2021 dimana peretas berhasil mencuri data dari sistemnya di pasar Amerika, Korea Selatan dan Taiwan.



Mereka segera meminta bantuan konsultan eksternal yang kompeten dan terpercaya untuk melakukan investigasi untuk mengidentifikasi penyebab kebocoran dan mencegah hal yang sama terjadi lagi.

Apakah yang dilakukan oleh McDonald’s sudah cukup?

Tidak

Mereka mengumumkan data apa saja yang bocor, apakah data tersebut terkait karyawan, franchisee dan email pelanggannya.

Lalu, mereka menghubungi pemilik data supaya berhati-hati dengan email phishing yang mungkin dilakukan dengan data yang bocor tersebut.

Sebagai bentuk tanggung jawab, McDonald’s juga menghubungi pihak regulator di negara terkait dan memberikan informasi kebocoran data ini dan menghubungi satu per satu pelanggan dan karyawan yang datanya menjadi korban kebocoran sehingga tidak menjadi korban eksploitasi.

Mungkin bagi sebagian orang yang kurang mengerti etika mengelola data dan tanggung jawab mengelola data, kelihatan antisipasi yang dilakukan oleh McDonald’s ini sangat merepotkan.

Tetapi ini adalah bentuk tanggung jawab yang memang harus disadari oleh seluruh pengelola data.

Jika terjadi kebocoran data, pengelola data jelas mendapatkan malu. Tetapi yang menjadi korban dan mengalami kerugian terbesar dari kebocoran data itu bukan pengelola data melainkan pemilik data.

Hal ini yang sering terjadi di Indonesia dimana ketika kebocoran data terjadi, pengelolanya bukannya mengevaluasi diri, mengumumkan data apa saja yang bocor dan siapa saja yang mungkin terpengaruh supaya bisa melakukan antisipasi.

Sebaliknya, malah berusaha menyangkal dengan bermain-main dengan definisi kebocoran data atau sibuk melakukan lobi politik mengamankan posisinya dengan bombastis mengatakan bahwa ia mengelola big data yang besar dan kompleks.

Padahal justru karena mengelola big data yang besar dan kompleks itu berarti tanggung jawabnya besar dan kompleks dan tidak boleh bocor.



Pemegang KTP Indonesia sebenarnya sudah menjadi korban kebocoran data yang masif terindikasi dari banyaknya penyalahgunaan data kependudukan untuk kepentingan jahat.

Misalnya, membuka rekening bodong untuk menampung hasil kejahatan.

Atau, menggunakan KTP Aspal (KTP palsu dengan data asli) untuk mendapatkan keuntungan finansial seperti mendapatkan bantuan sosial dari pemerintah, penyalahgunaan data kependudukan untuk kepentingan lain seperti aktivasi kartu SIM Pra Bayar, sampai gangguan telemarketer atau teror debt collector yang menyalahgunakan database yang seharusnya tidak boleh dibagikan sembarangan.

Karena sering dan maraknya hal ini terjadi, hal ini dianggap sebagai suatu hal yang wajar. Padahal ini adalah hal yang tidak wajar melainkan kurang ajar dan melanggar hukum.

Apa yang harus dilakukan ke depan
Sehubungan dengan insiden ini, sebenarnya bisa menjadi pembelajaran dari pengelola data penting.

Pengamanan data tidak hanya cukup dilakukan dari sisi perlindungan terhadap penyanderaan data dengan mengenkripsi (ransomware) dimana antisipasi ransomware adalah backup data penting yang terpisah dari database utama.

Tetapi lebih jauh lagi data penting juga harus dilindungi dari aksi extortionware, dimana jika korbannya tetap tidak mau membayar karena memiliki backup data, maka data yang berhasil diretas diancam untuk disebarkan ke publik jika pengelola data tidak membayar uang tebusan yang diminta.

Karena itulah langkah antisipasi yang tepat harus dilakukan seperti mengenkripsi database sensitif di server sehingga sekalipun berhasil diretas tetap tidak akan bisa dibuka atau mengimplementasikan DLP Data Loss Prevention.