Perlindungan Data Pribadi menggunakan Enkripsi?

Enkripsi adalah produk teknologi informasi yang berbasiskan perhitungan matematika kompleks dengan melibatkan algoritma berulang dan bilangan prima tinggi. Dengan enkripsi, data akan tersamarkan, tidak dapat dibaca kembali dan hanya dengan dekripsi (lawan dari enkripsi) data akan kembali seperti semula, namun apakah harus menggunakan Enkripsi agar data kita terlindungi? Mari kita simak.

Perlindungan data pribadi diatur dalam Undang-undang negara, diundangkannya tepat pada bulan Oktober 2022, dan nanti dibulan Oktober 2024 sudah berumur dua tahun semenjak diundangkannya. UU No 27 tahun 2022 lebih dikenal sebagai UU PDP, dan memiliki kemiripan dengan produk hukum dari Eropa yang dikenal sebagai GDPR (General Data Protection Regulation). UU PDP menyangkut perlindungan data pribadi, tentunya data pribadi yang dikelola oleh institusi publik, seperti perusahaan yang melayani umum, pemerintahan, dan lainnya. Semoga dengan diundangkannya UU PDP ini, tidak lagi terjadi kebocoran data (data leaks) yang kerap terjadi dimasa terdahulu. Karena bilamana masih terjadi kebocoran data, maka pihak yang dirugikan dapat menuntut pengelola data tersebut secara hukum.

Oleh karena itu, implementasi keamanan sistem dan data menjadi hal yang sangat krusial dan keteledoran dalam pelaksanaanya dapat berakibat fatal, termasuk kerugian yang sangat besar secara finansial dan nama baik perusahaan. Ada beberapa pelaksanaan kegiatan sebagai mitigasi yang dapat dilakukan oleh instansi baik itu perusahaan swasta, BUMN, maupun badan pemerintahan, sebagai berikut:

1. Asessment dan hardening sistem secara menyeluruh. Tidak hanya sistem operasi yang dipergunakan oleh Server Aplikasi maupun database, namun keseluruhan sistem yang terlibat didalamnya. Tata cara administrasi pengelolaan sistem termasuk bagian yang perlu diassess.
2. Audit internal terkait adanya potensi system breach (pembobolan sistem), seperti misalnya akses aplikasi, akses database, pengaturan tingkatan hak akses, termasuk melaksanakan assessment terhadap SOP terkait seperti: SOP Application Maintenance, SOP Support and escallation, SOP Supervisor priviledge access, SOP Troubleshooting, SOP Hardware Replacing, SOP OS Administrasi, dll.
3. Assessment khusus terkait pada potensi data leak (kebocoran data), SOP Backup, SOP Restore, SOP Archive, SOP Storage Management, etc.
4. Application Security and Access Assessment. Kegiatan ini bisa menggunakan layanan dari pihak ketiga seperti Security Consultant, untuk melakukan blackbox testing, atau Code Inspection.
5. Implementasi Data Anonimity. Kerahasiaan data pribadi dibangun dari hubungan antara informasi identitas diri dengan informasi penyerta atau pelengkap, bilamana hubungan antara tersebut dikaburkan, tentu mengurangi dampak bilamana terjadi kebocoran data. Namun hal ini tidak cukup bilamana fraud (kecurangan) akan pembobolan sistem dilakukan oleh seseorang yang dapat mengakses sistem dengan lebih dekat sehingga keseluruhan data dapat diambil dan bukanlah hal yang sulit untuk membangun kembali hubungan antara identitas dengan data penyertanya bilamana keduanya tersebut dan dengan mudah diakses.
6. Implementasi Enkripsi data. Data yang di enkripsi tidak dapat dibuka dengan mudah tanpa menggunakan kunci yang tepat, meskipun terjadi pembobolan sistem secara masif ataupun proses loading data yang dilakukan oleh pelaku kecurangan internal. Hal itu dimungkinkan oleh adalah manajemen kunci yang baik dan sesuai dengan best practice, umumnya dengan mengaplikasikan HSM (Hardware Security Module) sehingga tercipta konteks end-to-end security, pelaksanaan keamanan data yang menyeluruh, menghindarkan setiap titik dari adanya intervensi MITM (Man-In-The-Middle)
7. Implementasi Session Token pada string koneksi ke Server Database. Umumnya string koneksi tidak diperkuat dengan mekanisme lain, seperti SSO, Dongle, atau lainnya. Lebih seringnya data yang berisi informasi user dan password akses ke database disimpan pada satu variable string yang disebut string koneksi, dan diletakkan disatu tempat dalam host yang sama dengan Aplikasi, sehingga bilamana Host dimana aplikasi tersebut dijebol oleh penyerang, maka dengan mudah penyerang mengakses masuk kedalam Pusat Data pelanggan kita, yaitu Server Database. Hal ini tentunya mementahkan semua proteksi keamanan yang sudah diimplementasikan diatasnya. Dengan sebuah algoritma tertentu, kita dapat menerapkan sebuah mekanisme yang dinamis seperti penggunaan Session Token, agar akses yang tidak berwenang ke Server Database dapat dicegah.
8. Penerapan tingkat hak akses pada Database. Secara umum, akses pada Database dapat kita kategorikan dalam beberapa kelompok hak akses seperti akses dari pelanggan, akses dari sistem (pemrosesan data lanjutan), akses dari admin untuk mendapatkan laporan, dan lainnya. Dengan mempertimbangkan role masing-masing user, maka dapat dikelompokan dalam bentuk ROLE, sehingga akses kedalam database dapat dilakukan dengan menggunakan ROLE tersebut, sehingga setiap tipe koneksi kedalam database memiliki ROLE dan resikonya masing-masing. Seperti misalnya ROLE dari proses konsolidasi, dilaksanakan secara otomatis dan berkala, dan melakukan proses UPDATE, dan lainnya pada tabel terkait finansial, sehingga ROLE pelanggan bisa dihindarkan untuk mengakses langsung pada data finansial. Dengan demikian, untuk menghindari data leaks agar tidak terjadi bilamana terjadi security breach.

Kesemua langkah diatas dapat dilaksanakan secara sekaligus, untuk dapat lebih meningkatkan tingkat keamanan sistem, agar semakin tidak mudah dibobol. Namun, sebagai catatan: Data Anonimity menjadi tidak terlalu relevan bilamana sudah terimplementasi Data Enkripsi yang mumpuni. Untuk point 1 sampai 4 tetap seharusnya dilaksanakan, meskipun dengan kelebihan dan kekurangannya masing-masing, karena umumnya tidak mudah melaksanakan audit maupun assessment terkait aplikasi atau kode pemrograman, harus dilaksanakan oleh mereka yang mumpuni dan memiliki jam terbang yang tinggi.

11DB/Postgres, dengan fitur enkripsinya beserta mekanisme authentikasinya didisain untuk dapat memberikan solusi pada tingkat yang lebih maksimal dan mengimplementasikan fitur-fitur pada point 6, 7, dan 8 dan setidaknya meskipun Aplikasi belum sempat disentuh seperti pada point 1 sampai 5 diatas, namun data sudah cukup baik teramankan pada sistem yang matang dan memiliki fitur enkripsi dan data proteksi yang sangat mumpuni.

Lebih lanjut bisa mempelajari lebih jauh ada https://11db.asia