6.1 Mengapa Keamanan Akun Berkaitan dengan Data Pribadi?

Akun sering menjadi pintu masuk menuju berbagai informasi yang tersimpan dalam sistem organisasi.

Satu akun dapat memberikan akses ke:

• email;
• dokumen;
• informasi pelanggan;
• data karyawan;
• data keuangan;
• sistem internal;
• aplikasi bisnis;
• data pribadi lainnya.

Karena itu, menjaga keamanan akun merupakan bagian dari upaya menjaga keamanan data.

Akun
 ↓
Authentication
 ↓
Application / System
 ↓
Data
 ↓
Personal Data

Ketika akun berhasil diambil alih, risiko tidak berhenti pada kehilangan akses akun. Data yang dapat diakses melalui akun tersebut juga berpotensi terekspos.

6.2 Apa yang Dimaksud Data Pribadi?

Data Pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi, baik secara tersendiri maupun dikombinasikan dengan informasi lainnya.

UU No. 27 Tahun 2022 membedakan Data Pribadi menjadi Data Pribadi yang bersifat spesifik dan Data Pribadi yang bersifat umum. Data spesifik antara lain mencakup data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi. Data umum antara lain mencakup nama lengkap, jenis kelamin, kewarganegaraan, agama, dan status perkawinan. Database Peraturan | JDIH BPK

Dalam pekerjaan sehari-hari, pengguna dapat berinteraksi dengan berbagai jenis data tersebut tanpa menyadarinya.

Contohnya:

Email
 ↓
Attachment
 ↓
Data Karyawan
 ↓
Nama + Nomor Identitas + Informasi Kontak

6.3 Akun sebagai Lapisan Perlindungan Data

Bayangkan sebuah akun memiliki akses ke database pelanggan.

Jika password akun tersebut dicuri:

Password Dicuri
      ↓
Account Compromise
      ↓
System Access
      ↓
Customer Data
      ↓
Potential Data Exposure

Inilah alasan mengapa account security dan data protection tidak dapat dipisahkan.

Kontrol seperti:

• password yang kuat;
• MFA;
• access control;
• session management;
• logging;
• monitoring;

membantu mengurangi risiko akses tidak sah terhadap data.

6.4 Tanggung Jawab Pengguna

Perlindungan data bukan hanya tugas IT atau Data Protection Officer.

Setiap pengguna yang memiliki akses terhadap sistem dan data memiliki tanggung jawab untuk menggunakan akses tersebut secara benar.

Pengguna harus:

1. Menjaga credential

Password, OTP, recovery code, dan authentication information harus dilindungi.

2. Menggunakan akses sesuai kebutuhan

Jangan membuka atau menggunakan data yang tidak diperlukan untuk pekerjaan.

3. Tidak membagikan data secara sembarangan

Pastikan penerima dan media pengiriman sesuai dengan prosedur organisasi.

4. Mengamankan perangkat

Gunakan screen lock dan jangan meninggalkan perangkat dalam kondisi terbuka ketika tidak digunakan.

5. Melaporkan insiden

Segera laporkan apabila terjadi:

• salah kirim data;
• kehilangan perangkat;
• phishing;
• account takeover;
• akses tidak dikenal;
• data yang seharusnya tidak dapat diakses.

6.5 Prinsip Least Privilege

Salah satu konsep penting dalam perlindungan data adalah Least Privilege.

Artinya, pengguna hanya diberikan akses yang diperlukan untuk menjalankan tugasnya.

Contoh:

User A
 ├── Email       ✓
 ├── LMS         ✓
 ├── HR Database ✕
 └── Finance     ✕

User A tidak membutuhkan akses ke HR Database atau Finance untuk menjalankan pekerjaannya.

Dengan membatasi akses, organisasi dapat mengurangi dampak apabila sebuah akun berhasil dikompromikan.

6.6 Jangan Mengakses Data Hanya Karena Bisa

Kesalahan yang cukup umum adalah menganggap:

“Kalau sistem memberikan akses, berarti saya boleh melihatnya.”

Tidak selalu demikian.

Seseorang mungkin secara teknis dapat membuka sebuah file, database, atau folder, tetapi belum tentu memiliki kebutuhan bisnis atau kewenangan untuk menggunakan informasi tersebut.

Contoh:

Seorang administrator menemukan folder yang berisi data pribadi karyawan.

Meskipun secara teknis administrator dapat membuka folder tersebut, akses harus tetap dilakukan berdasarkan kebutuhan pekerjaan dan kewenangan yang berlaku.

Prinsipnya:

Technical access ≠ Business authorization.

6.7 Perspektif UU ITE

Dalam perspektif UU ITE, penggunaan sistem elektronik harus memperhatikan kewenangan akses.

UU No. 1 Tahun 2024 merupakan perubahan kedua atas UU ITE dan saat ini menjadi salah satu dasar hukum yang relevan dalam penggunaan sistem elektronik. Database Peraturan | JDIH BPK

Bagi pengguna, prinsip yang penting adalah:

• gunakan akun sesuai kewenangan;
• jangan menggunakan credential milik orang lain;
• jangan mencoba mengakses sistem yang bukan hak Anda;
• jangan menggunakan akses untuk tujuan di luar kewenangan;
• jangan memanfaatkan kelemahan sistem untuk memperoleh akses yang tidak semestinya.

Dengan kata lain:

Bisa mengakses
      ≠
Berhak mengakses

Penilaian apakah suatu tindakan merupakan pelanggaran hukum tetap bergantung pada fakta dan unsur hukum yang berlaku.

6.8 Perspektif UU PDP

UU No. 27 Tahun 2022 mengatur berbagai aspek pelindungan Data Pribadi, termasuk kewajiban Pengendali Data Pribadi dan Prosesor Data Pribadi dalam pemrosesan data. Database Peraturan | JDIH BPK

Salah satu prinsip penting dalam praktik keamanan adalah memastikan bahwa data pribadi:

• hanya dapat diakses oleh pihak yang berwenang;
• diproses sesuai kebutuhan dan tujuan yang sah;
• dilindungi dari akses atau penggunaan yang tidak semestinya.

UU PDP juga mengatur kewajiban pemberitahuan apabila terjadi kegagalan Pelindungan Data Pribadi. Dalam kondisi tersebut, Pengendali Data Pribadi wajib menyampaikan pemberitahuan tertulis paling lambat 3 × 24 jam kepada Subjek Data Pribadi dan lembaga yang ditentukan UU, dengan informasi tertentu mengenai data yang terungkap, waktu/cara terungkap, serta upaya penanganan dan pemulihan. Database Peraturan | JDIH BPK

Bagi pengguna, hal ini memperkuat pentingnya segera melaporkan insiden.

Pengguna tidak perlu menunggu sampai dapat memastikan sendiri apakah telah terjadi kebocoran data.

6.9 Contoh Skenario

Anda menerima email dari rekan kerja yang berisi file:

Data Karyawan — Confidential.xlsx

Anda sebenarnya tidak membutuhkan data tersebut untuk pekerjaan Anda.

Namun file tersebut dapat dibuka.

Apa yang harus dilakukan?

Jangan membuka atau menggunakan data hanya karena Anda memiliki kemampuan teknis untuk mengaksesnya.

Jika file tersebut salah kirim:

1. Jangan meneruskan file.
2. Jangan menyalin data.
3. Jangan mengunduh untuk penggunaan pribadi.
4. Beri tahu pengirim bahwa file salah kirim.
5. Laporkan sesuai prosedur organisasi jika diperlukan.
6. Hapus salinan sesuai instruksi organisasi.

6.10 Contoh Lain — Salah Kirim Data

Bayangkan Anda bermaksud mengirim dokumen kepada:

finance@company.com

Tetapi secara tidak sengaja mengirimkannya ke:

finance@company.co

Alamat tersebut ternyata merupakan alamat eksternal.

Dokumen berisi informasi pribadi karyawan.

Jangan lakukan:

“Saya hapus email dari Sent Items, jadi masalah selesai.”

Penghapusan email dari folder Sent tidak berarti penerima sudah kehilangan salinan email.

Yang harus dilakukan:

Segera laporkan.

Informasikan:

• apa yang terkirim;
• kepada siapa;
• kapan dikirim;
• jenis data yang terdapat di dalamnya;
• apakah attachment ikut terkirim;
• tindakan yang sudah dilakukan.

Tim yang menangani insiden kemudian dapat menentukan langkah selanjutnya.

6.11 Apa yang Harus Anda Lakukan?

DO

✅ Gunakan akses sesuai kebutuhan pekerjaan.
✅ Lindungi credential.
✅ Gunakan MFA.
✅ Periksa penerima sebelum mengirim data.
✅ Pastikan media penyimpanan dan pengiriman sesuai prosedur.
✅ Laporkan salah kirim data.
✅ Laporkan kehilangan perangkat.
✅ Laporkan indikasi account compromise.

DON’T

❌ Jangan membuka data yang tidak diperlukan.
❌ Jangan mengambil data organisasi untuk penggunaan pribadi.
❌ Jangan mengirim data ke alamat yang tidak terverifikasi.
❌ Jangan menyimpan data pribadi pada media yang tidak disetujui.
❌ Jangan membagikan credential.
❌ Jangan menyembunyikan kesalahan pengiriman data.

6.12 Prinsip Utama

1. Access Only What You Need

Akses data sesuai kebutuhan pekerjaan.

2. Protect What You Access

Jika Anda diberikan akses terhadap data, Anda juga memiliki tanggung jawab untuk menjaganya.

3. Report, Don’t Hide

Kesalahan dapat terjadi.

Yang penting adalah segera melaporkan agar organisasi dapat melakukan containment dan menentukan langkah penanganan.