2.1 Mengapa Password Harus Dilindungi?

Password merupakan salah satu mekanisme utama untuk membatasi akses ke akun dan sistem elektronik. Ketika seseorang berhasil mendapatkan password pengguna, mereka berpotensi memperoleh akses ke berbagai informasi dan layanan yang terhubung dengan akun tersebut.

Risikonya tidak hanya berupa kehilangan akses ke akun. Akun yang berhasil diambil alih dapat digunakan untuk mengakses email, dokumen, aplikasi perusahaan, data pribadi, atau sistem internal lainnya.

Karena itu, password harus diperlakukan sebagai informasi rahasia dan tidak boleh dibagikan kepada orang lain.

Prinsip sederhana

Password adalah kredensial untuk membuktikan bahwa Anda berhak mengakses suatu akun.

Namun, memiliki password tidak selalu berarti seseorang berhak menggunakan akun tersebut. Hak akses tetap bergantung pada kewenangan yang diberikan oleh pemilik sistem atau organisasi.

2.2 Risiko Password yang Tidak Aman

Beberapa kebiasaan yang meningkatkan risiko keamanan akun antara lain:

1. Menggunakan password yang mudah ditebak

Contohnya:

• Password123
• 12345678
• nama perusahaan
• nama pengguna
• tanggal lahir
• kombinasi informasi yang mudah ditemukan

Password seperti ini lebih mudah menjadi target serangan otomatis.

2. Menggunakan password yang sama di banyak akun

Ini disebut password reuse.

Misalnya:

Email       → Password123
LMS         → Password123
VPN         → Password123
Cloud       → Password123

Jika salah satu layanan mengalami kebocoran credential, password yang sama dapat dicoba pada layanan lainnya.

3. Membagikan password

Password tidak boleh diberikan melalui:

• WhatsApp
• email
• chat
• telepon
• screenshot
• catatan yang dapat diakses orang lain

Bahkan ketika seseorang mengaku sebagai administrator atau IT Support, pengguna harus mengikuti prosedur verifikasi organisasi.

4. Menyimpan password secara tidak aman

Contohnya:

Sticky note di meja
File Excel tanpa proteksi
Notepad di desktop
Screenshot password
Browser profile yang digunakan bersama

Cara tersebut meningkatkan kemungkinan credential diketahui oleh pihak lain.

2.3 Password Manager

Menggunakan password yang berbeda untuk setiap akun memang lebih aman, tetapi mengingat banyak password dapat menjadi sulit.

Password manager membantu menyimpan dan mengelola credential secara lebih terstruktur.

Dengan password manager, pengguna dapat:

• membuat password yang kuat dan unik;
• menyimpan password secara aman;
• mengurangi password reuse;
• mengurangi kebutuhan mencatat password secara manual;
• menggunakan password yang berbeda untuk setiap layanan.

Contoh

Daripada:

Email     → Password123
LMS       → Password123
VPN       → Password123

gunakan:

Email     → password unik
LMS       → password unik
VPN       → password unik

Password tersebut kemudian dikelola oleh password manager.

Password manager membantu mengurangi risiko password reuse, tetapi master password tetap harus dilindungi dengan baik.

2.4 Perspektif UU ITE

Keamanan password berkaitan dengan penggunaan sistem elektronik dan pengendalian akses terhadap sistem tersebut.

Dalam konteks UU ITE, pengguna harus memahami bahwa akses terhadap sistem elektronik harus dilakukan sesuai kewenangan dan tujuan penggunaan yang diberikan.

Password merupakan salah satu bagian dari mekanisme autentikasi yang digunakan sistem untuk membatasi akses.

Karena itu:

Memiliki credential ≠ memiliki kewenangan tanpa batas.

Contohnya, seorang karyawan memiliki akun untuk mengakses aplikasi tertentu. Credential tersebut diberikan untuk menjalankan pekerjaannya, bukan untuk digunakan mengakses akun pengguna lain atau sistem yang berada di luar kewenangannya.

Aktivitas seperti memperoleh, menggunakan, atau mengakses sistem elektronik secara tidak sah dapat memiliki konsekuensi hukum sesuai fakta dan unsur perbuatannya.

Catatan: penggunaan password yang lemah atau password reuse sendiri tidak otomatis merupakan tindak pidana. Yang menjadi perhatian adalah bagaimana credential tersebut digunakan dan apakah terdapat akses atau tindakan yang melanggar ketentuan hukum maupun kewenangan yang diberikan.

2.5 Perspektif UU PDP

Password juga memiliki hubungan erat dengan perlindungan data pribadi.

Ketika credential seseorang berhasil diperoleh oleh pihak yang tidak berwenang, credential tersebut dapat menjadi jalan masuk menuju berbagai data yang tersimpan dalam akun.

Contohnya:

Password dicuri
       ↓
Akun berhasil diakses
       ↓
Email / dokumen / aplikasi terbuka
       ↓
Data pribadi berpotensi terekspos

Dalam perspektif UU PDP, organisasi perlu memperhatikan keamanan pemrosesan dan perlindungan data pribadi yang berada dalam penguasaannya.

Karena itu, perlindungan akun bukan hanya tanggung jawab tim IT atau security.

Pengguna juga menjadi bagian dari rantai perlindungan data.

2.6 Contoh Skenario

Bayangkan seorang karyawan menggunakan password yang sama untuk:

Email pribadi
        ↓
LMS perusahaan
        ↓
Aplikasi internal
        ↓
VPN

Kemudian sebuah layanan yang digunakan karyawan mengalami kebocoran credential.

Penyerang memperoleh kombinasi:

Email + Password

Penyerang kemudian mencoba kombinasi tersebut pada sistem lain.

Jika password berhasil digunakan pada VPN atau aplikasi internal, risiko dapat berkembang menjadi account compromise dan akses terhadap informasi organisasi.

Apa yang salah?

Bukan hanya karena password akhirnya diketahui.

Masalahnya dimulai dari:

1. password digunakan kembali;
2. credential tidak dipisahkan antar layanan;
3. akun memiliki akses ke sistem penting;
4. tidak tersedia atau tidak digunakan MFA;
5. credential yang bocor dapat digunakan pada sistem lain.

2.7 Apa yang Harus Anda Lakukan?

Gunakan prinsip berikut ketika mengelola password:

DO

✅ Gunakan password yang panjang dan unik.
✅ Gunakan password manager.
✅ Aktifkan MFA jika tersedia.
✅ Gunakan password berbeda untuk setiap akun penting.
✅ Segera ubah password jika ada indikasi credential bocor.
✅ Laporkan aktivitas login yang mencurigakan.

DON’T

❌ Jangan menggunakan satu password untuk banyak akun.
❌ Jangan membagikan password.
❌ Jangan mengirim password melalui chat atau email.
❌ Jangan menyimpan password di tempat yang mudah diakses orang lain.
❌ Jangan menggunakan credential orang lain tanpa kewenangan.
❌ Jangan mengabaikan notifikasi login yang tidak Anda lakukan.

2.8 Prinsip Utama

Ingat tiga prinsip berikut:

1. Protect Your Credential

Password adalah informasi rahasia dan harus dilindungi.

2. Respect Authorization

Memiliki credential tidak berarti memiliki kewenangan untuk mengakses semua sistem atau data.

3. Protect Personal Data

Keamanan akun merupakan salah satu lapisan penting dalam perlindungan data pribadi.