Pelajaran Insiden Keamanan Informasi 2015 Untuk Menghadapi 2016

Tahun 2016 merupakan tahun yang penuh dengan tantangan maupun peluang yang baru. Namun, perlu disadari pula bahwa saat ini kita hidup dalam masa dimana peningkatan teknologi jauh lebih cepat daripada kemampuan manusia dalam memanfaatkannya. Bila dilihat dari sisi positifnya, maka perusahaan yang dapat memanfaatkan teknologi secara optimal tentunya akan memiliki competitive advantage dibandingkan para pesaing yang ada. Namun bila dilihat dari sisi negatifnya, kemajuan teknologi juga memberikan peluang bagi orang maupun organisasi yang ingin bertindak jahat pada perusahaan. Perusahaan yang keamanan informasinya tidak dikelola dengan baik tentu akan menjadi sasaran yang semakin empuk seiring kemajuan teknologi.

Bila melihat berita yang sering muncul akhir-akhir ini, jumlah insiden keamanan informasi yang terjadi dari tahun ke tahun terus menerus bertambah. Salah satu contoh insiden keamanan informasi yang sering ditakuti oleh perusahaan adalah pelanggaran/pembobolan data (data breach). Pelanggaran / pembobolan data (data breach) adalah insiden dimana adanya data ataupun informasi sensitif yang didapatkan oleh pihak yang tidak berwenang. Ketika ada data-data sensitif perusahaan yang bocor, maka kerugian secara materiil maupun reputasi tidak dapat dihindari oleh perusahaan. Terlebih lagi bila ada data sensitif seperti strategi atau rencana bisnis perusahaan yang bocor ke perusahaan pesaingnya, hal ini tentunya akan menimbulkan kerugian yang tidak sedikit jumlahnya. Bila perusahaan ingin dapat terhindar dari insiden seperti ini, maka perusahaan sebaiknya harus selalu mengikuti perkembangan insiden keamanan yang terjadi di dunia, agar dapat mengantisipasi.

Cukup beruntung bahwa setiap tahunnya ada organisasi-organisasi yang mau merilis atau bahkan mempublikasikan secara gratis laporan tahunan terkait insiden keamanan informasi yang terjadi di dunia. Salah satu organisasi yang merilis laporan insiden keamanan informasi yang cukup dinantikan setiap tahunnya adalah Verizon. Laporan investigasi pelanggaran/pembobolan data (Data Breach Investigation Report) 2015 yang dibuat oleh salah satu perusahaan telekomunikasi terbesar di dunia ini, berhasil melibatkan perusahaan-perusahaan di 61 negara(salah satunya Indonesia) dan berhasil mengumpulkan data 79.790 insiden keamanan informasi, dimana 2.122 merupakan insiden pelanggaran data. Berikut ini adalah fakta ataupun informasi penting yang sekiranya dapat membantu perusahaan dalam menjalani tahun 2016 dengan lebih efektif:

Bidang industri apa yang paling sering mengalami insiden?

Bidang industri yang paling sering mendapatkan insiden adalah industri yang bergerak di sektor publik, informasi dan jasa keuangan. Industri yang bergerak di sektor publik menempati posisi pertama dengan jumlah insiden sebesar 50.315. Angka ini sangat jauh berbeda dengan sektor informasi yang berjumlah 1.496 insiden dan jasa keuangan yang hanya berjumlah 642 insiden. Ketiga sektor ini ternyata juga menempati posisi yang sama di laporan tahun sebelumnya.

Pihak internal dan eksternal, manakah yang lebih perlu diwaspadai?

Berdasarkan data yang ada, ancaman lebih banyak datang dari pihak eksternal daripada pihak internal. Lebih dari 80 persen insiden terjadi karena pihak eksternal, sedangkan sisanya terjadi karena adanya keterlibatan internal. Perlu juga diketahui bahwa angka ini didapatkan dari kesediaan informasi perusahaan-perusahaan yang bersedia memberikan data insidennya. Hal ini tidak menutup kemungkinan bahwa perusahaan cenderung menutupi insiden yang timbul dari dalam, karena bila hal tersebut diekspos ada risiko reputasi perusahaan yang akan jauh lebih menurun. Bila melihat dari data yang ada, maka perusahaan sebaiknya lebih banyak berfokus pada ancaman yang datang dari luar, namun bukan berarti bahwa ancaman yang datang dari dalam dapat diabaikan.

Ancaman apa yang perlu diwaspadai?

Semua jenis ancaman keamanan informasi selayaknya perlu mendapatkan perhatian. Namun ancaman berupa phishing masih menjadi salah satu metode yang efektif hingga saat ini. Konsep phishing sebenarnya hampir mirip dengan kata fishing yang artinya memancing. Metode yang sebenarnya sudah cukup lama ini, berusaha memancing korban yang ada di dalam perusahaan untuk menjalankan suatu file yang berisi program jahat secara tidak sengaja. Metode ini biasanya menggunakan e-mail yang berisi informasi yang berusaha menipu korban untuk membuka file terlampir pada e-mail tersebut, yang ternyata file terlampir tersebut merupakan program jahat. Cukup ironi bahwa metode phishing telah berhasil menyumbangkan sekitar 23 persen dari total insiden yang ada, dan hal ini meningkat dari tahun sebelumnya yang bahkan tidak menyentuh 20 persen. Metode sederhana yang mungkin dianggap remeh ini, justru berhasil menjadi metode dengan tingkat kesuksesan yang meningkat dari tahun sebelumnya.

Bagaimana ancaman melalui mobile device?

Tidak dapat dipungkiri bahwa saat ini mobile device seperti smartphone merupakan kebutuhan hidup yang hampir tidak dapat dihindari oleh para pebisnis/pengusaha. Penggunaan mobile device saatbekerja dapat menimbulkan risiko-risiko insiden keamanan yang belum ada sebelumnya. Namun dari data yang didapatkan dari seluruh mobile device yang ada, program jahat yang menjangkit mobile device umumnya hanya berusaha mengganggu atau merusak data yang ada pada mobile device tersebut. Hanya 0.03 persen dari total yang ada ditemukan terinfeksi dengan program jahat yang dapat berujung pada insiden keamanan informasi. Hal ini dinilai masih sangat kecil dan belum memberi dampak yang besar pada insiden keamanan informasi. Tidak menutup kemungkinan ketika bekerja akan cenderung menggunakan mobile device, maka ancaman ini mungkin baru akan meningkat.

Sedikit berkaca dari tahun 2015, cukup banyak perusahaan yang tidak mengetahui bahwa sebenarnya mereka telah atau bahkan sedang mengalami insiden keamanan informasi. Banyak perusahaan yang baru memperhatikan keamanan informasi setelah mengalami insiden. Bila perusahaan ingin menjalani tahun 2016 dengan efektif dan terhindar dari insiden keamanan informasi, maka kesadaran keamanan informasi perusahaan harus dibangun sebaik mungkin dan selalu ditingkatkan dengan mengikuti perkembangan terkait keamanan informasi yang ada. Hal ini memang tidak mudah, tetapi akan lebih tidak mudah lagi bila menghadapi potensi kerugian yang akan timbul bila insiden terjadi.

“Insiden keamanan informasi lebih banyak terjadi bukan karena ketidakmampuan perusahaan dalam mencegahnya, namun justru karena perusahaan bahkan tidak sadar dengan adanya ancaman-ancaman yang ada di sekitarnya”