Tren Data Breach

DALAM lima bulan terakhir ini, salah satu isu yang senantiasa menarik perhatian dan menjadi perbincangan di ruang siber adalah seputar pencurian data. Bila kita runut ke belakang terdapat sejumlah kasus pencurian data, mulai kasus Bukalapak, Tokopedia, dan data KPU.

Dalam dunia keamanan komputer, istilah untuk pencurian data yang lebih umum digunakan adalah data breach. Salah satu definisi data breach yang digunakan adalah kejadian apa pun di mana informasi rahasia atau sensitif telah diakses tanpa izin.

Kejadian tersebut hasil dari aktivitas ilegal di ruang siber, di mana pihak tertentu mendapatkan akses tidak sah ke dalam sistem komputer atau jaringan dan kemudian mendapatkan data- data yang sifatnya sensitif atau rahasia.

Definisi lainnya adalah sebagaimana yang digunakan oleh Department of Justice Amerika, yaitu the loss of control, compromise, unauthorized disclosure, unauthorized acquisition, access for an unauthorized purpose, or other unauthorized access, to data, whether physical or electronic.

Kuncinya adalah aktivitas unauthorized.

Dari tahun ke tahun, laporan yang terungkap ke publik tentang data breach selalu meningkat. Ini sejalan dengan semakin banyaknya data yang dikelola oleh aplikasi atau institusi serta semakin banyaknya pengguna yang terdaftar pada aplikasi dan institusi tertentu.

Menurut Statista, sepanjang 2019 tercatat 2.013 aktivitas data breach yang terkonfirmasi, salah satunya kasus data 267 juta pengguna Facebook yang terpublikasi pada 19 Desember 2019. Dalam hal jumlah data yang dicuri, data breach yang dialami oleh Yahoo pada Oktober 2017 masih memegang rekor dengan sebanyak 3 miliar akun.

Hal yang menarik dari semua kejadian data breach adalah rentang waktu antara kemungkinan aktivitas infiltrasi ke dalam sistem dengan rilis kepada publik. Laporan yang dibuat oleh IBM menyebutkan bahwa rata-rata waktu yang diperlukan untuk mengidentifikasi terjadinya pencurian adalah 206 hari atau mendekati waktu tujuh bulan.

Misalnya, apabila muncul berita bahwa suatu data telah dicuri, maka aktivitas pencuriannya itu sendiri bisa jadi sejak tujuh bulan lalu. Atau, data yang diklaim sebagai data yang dicuri telah ada di forum-forum darkweb sejak tujuh bulan lalu, tapi baru terekspose ke publik belakangan ini.

Untuk itu, penanganan data breach berbeda dengan penanganan keamanan komputer secara umum. Bila terjadi infiltrasi terhadap sistem yang menyebabkan komputer down, atau terserang malware, maka hal ini harus ditangani secara cepat melalui mekanisme kerja dari “Incident Response Team”.

Namun penanganan terhadap kejadian data breach memiliki karakteristik berbeda sehingga tidak bisa hanya ditangani oleh tim keamanan atau Incident Response Team, tapi harus melibatkan tenaga ahli dari berbagai bidang dari yang kemudian tergabung dalam “Data Breach Response Team”.

Data Breach Response Team adalah sebuat tim multidisiplin yang setidaknya melibatkan orang-orang dari disiplin ilmu teknologi informasi (untuk keamanan dan forensik digital), bidang hukum untuk penanganan aspek hokum serta ahli komunikasi publik untuk mengelola informasi kepada publik.

Tim tersebut memiliki fungsi utama untuk melakukan respons yang tepat terhadap adanya dugaan data breach yang tereskpose kepada publik. Bahkan, setiap ada dugaan data breach walaupun sifatnya personal adalah menjadi tugas dari tim tersebut.

Dalam hal ini, salah satu tugasnya adalah memberikan tanggapan yang tepat dan efektif untuk setiap informasi adanya data breach baik yang ditujukan kepada masyarakat luas maupun kepada individu yang menjadi bagian dari lingkup datanya.

Intinya adalah bagaimana jangan sampai isu data breach ini menurunkan kredibilitas dan integritas perusahaan/institusi dalam hal menjalankan proses bisnisnya yang menggunakan data-data yang dikelolanya dan diduga telah terkena data breach tersebut.

Secara teknis tim tersebut bekerja untuk memastikan bahwa celah yang menjadi sumber dari data breach ini telah dapat diatasi (aspek keamanan komputer), kemudian bukti-bukti aktivitas data breach dijadikan sebagai bahan untuk melakukan rekontruksi bagaimana data breach itu terjadi (digital forensics).

Dari sisi legal, sudut pandang hukum diperlukan untuk melihat ada tidaknya tindakan hukum yang dapat dilakukan kepada pihak-pihak yang terlibat dalam aktivitas data breach. Sementara aspek komunikasi adalah bagaimana mengelola informasi yang disampaikan kepada semua pihak sebagai bagian dari respons dan komunikasi publik.

Sistem perundangan dan peraturan telah memberikan penekanan kepada kewajiban setiap perusanaan/institusi untuk memastikan bahwa pengelolaan data-data yang berada dalam lingkup proses bisnisnya terjaga keamanan dan privasinya.

Respons yang lambat terhadap adanya laporan data breach atau pelanggaran privasi akan berdampak pada hukuman atau denda. Untuk itu, keberadaan unit Data Breach Response Team menjadi sangatlah strategis dalam mendukung aktivitas perusahaan pada era siber saat ini.

Melihat tren ke depan, isu seputar pencurian data tidak akan pernah hilang atau berkurang. Banyak hal dari ekosistem cybercrime yang mendukung aktivitas data breach ini, seperti berkembangnya malware, phising, hacking, zero-day attack, crypto currency dan lain-lain.

Maka, sebelum perusahaan/institusi kita menjadi korban dari data breach akan lebih baik jika secara proaktif segera mempersiapkan unit Data Breach Response Team. Kerugian finansial yang muncul sebagai dampai dari adanya data breach mungkin bisa terukur dan bisa segera dapat di lakukan proses pemulihannya.

Namun, kerugian nonfinansial yang berdampak pada reputasi, kredibilitas, integritas, kepercayaan dari masyarakat akan sulit untuk diukur dan membutuhkan masa pemulihan yang sangat lama.

Keberadaan Data Breach Response Team akan menjadi solusi tepat saat ini terutama untuk menangulangi dampak no finansial dari adanya data breach pada perusahaan/institusi kita.

Jangan menunggu kita menjadi korban dari data breach, tapi bersiap diri dari kemungkinan tersebut jauh lebih baik melalui keberadaan Data Breach Response Team.

Penulis adalah Kepala Pusat Studi Forensika Digital Universitas Islam Indonesia.