Strategy

Jurus Perusahaan Jasa Keuangan Menangkal Serangan Siber dan Melindungi Data Nasabah

Ilustrasi foto : Istimewa

Serangan siber senantiasa memicu kekhawatiran lantaran aksi tak terpuji ini mencuri data dan aset digital. Guna menangkal serangan siber, perusahaan hingga lembaga pemerintah dihimbau memperkuat sistem teknologi informasi. Sebab, serangan siber tak kunjung berhenti. Jumlah serangan siber tak bisa dihitung jari. Kapersky, perusahaan keamanan siber, menyebut Kapersky berhasil memblokir total 5.863.955 ancaman online selama Januari hingga Maret 2024 ini. Berdasarkan data dari Badan Siber dan Sandi Negara (BSSN), serangan siber di Indonesia pada tahun lalu itu sekitar 400 juta. Gejala ini dapat mempengaruhi kinerja dan memungkinkan pencurian data.

Merujuk data BSSN pada pertengahan tahun lalu, sektor keuangan menempati peringkat ketiga yang paling banyak menerima serangan siber. Berpijak dari data ini, perusahaan jasa keuangan perlu ada antisipasi mumpuni dalam menghadapi ancaman serangan siber yang semakin rumit dan canggih.

PT Krom Bank Indonesia Tbk (BBSI), misalnya, memperkuat sistem teknologi informasi (TI) untuk melindungi dan mengamankan data nasabah. Presiden Direktur Krom Bank, Anton Hermawan, menyampaikan Krom Bank fokus pada dua strategi untuk menjaga keamanan dana nasabah.“Kami fokus mempertahankan kesehatan bisnis dengan melaksanakan tata kelola dan praktik manajemen risiko yang baik serta berinvestasi dalam sistem dan teknologi untuk memberikan layanan dan produk perbankan digital yang unggul,” ujar Anton dalam bincang-bincang bersama wartawan di Jakarta, Selasa (9/7/2024).

Krom Bank memprioritaskan keamanan data nasabah seiring penerapan standar ISO 27001:2022, risk management plan dan disaster recovery yang diuji dan ditinjau berkala, enkripsi tingkat tinggi berbagai data nasabah dan penerapan PIN, password, dan one time password atau OTP yang memperkuat keamanan transaksi para nasabah Krom Bank di aplikasi bank digital.

Tak jauh berbeda, Royke Tumilaar, Direktur Utama PT Bank Negara Indonesia (Persero) Tbk mengungkan kiat BNI memproteksi data dengan standar keamanan terbaik untuk melindungi data nasabah di aplikasi wondr By BNI. "Ada beberapa layer yang digunakan, pertama kami mengedukasi nasabah untuk merahasiakan password-nya kemudian ada kontrol terhadap aplikasi, termasuk mengapplikasikan AI (artificiall intelligence) hingga seluruh keamanan yang terkait server, termasuk backup data-nya," ungkap Royke di sela-sela peluncuran aplikas wondr By BNI di Jumat pekan lalu.

Bergeser ke perusahaan asuransi. PT Prudential Life Assurance (Prudential Indonesia) menegaskan komitmen perusahaan menjaga keamanan data nasabah yang berlandaskan tata kelola perusahaan yang baik. Hingga saat ini, Prudential Indonesia terus meningkatkan layanan proteksi terhadap nasabah melalui berbagai solusi perlindungan inovatif, seraya konsisten menjunjung tinggi tata kelola perusahaan yang baik (good corporate governance) di seluruh proses bisnis dan operasional perusahaan. Tujuannya adalah memberikan perlindungan dan rasa aman secara berkelanjutan kepada seluruh nasabah hingga ke masa depan.

Karin Zulkarnaen, Chief Customer & Marketing Officer Prudential Indonesia, mengatakan Prudential Indonesia memastikan bahwa data seluruh nasabah Prudential berada dalam kondisi aman dan terlindungi. Prudential Indonesia dan Prudential Syariah selalu menerapkan standar pengaturan keamanan yang tinggi terkait data pribadi nasabah sesuai standar dan aturan hukum yang berlaku. “Seraya menjunjung tinggi good corporate governance, kami berupaya terus menempatkan nasabah sebagai prioritas utama. Untuk itu, setiap karyawan Prudential Indonesia selalu dibekali oleh pengetahuan atas pengelolaan risiko yang baik, agar hak dan kepentingan nasabah selalu terlindungi,” ujar Karin.

Perihal upaya menangkal serangan siber, Edwin Lim, Country Director di Fortinet Indonesia, memaparkan lanskap keamanan siber yang semakin hari semakin berubah menuntut adanya pendekatan baru. Seiring makin meluasnya permukaan serangan dan minimnya tenaga ahli keamanan siber di seluruh industri, makin besar pula tantangan yang dihadapi dunia bisnis dalam mengelola infrastruktur kompleks yang terdiri dari beragam solusi, apalagi merespons banyaknya jumlah peringatan dari point product (produk yang menyediakan solusi untuk satu masalah ketimbang memenuhi semua kebutuhan) serta berbagai taktik, teknik, dan prosedur yang dimanfaatkan oleh pelaku ancaman untuk menyerang targetnya.

Keamanan terpadu dan platform jaringan Fortinet menjawab kompleksitas ini dengan menyediakan perlindungan ancaman komprehensif, pengelolaan celah keamanan otomatis, dan operasi yang efisien. “Strategi terintegrasi ini tidak hanya mengurangi biaya dan kerumitan operasional, tetapi juga memastikan bahwa perusahaan dapat beradaptasi dengan cepat terhadap ancaman baru, sehingga mampu membangun operasi keamanan siber yang tangguh dan siap menghadapi masa depan,” ungkap Edwin.

Senada dengan Edwin, Rashish Pandey, Vice President of Marketing and Communications Fortinet di Kawasan Asia, Australia & Selandia Baru, menyampaikan pentingnya berkolaborasi transparansi, dan akuntabilitas pada skala yang lebih besar daripada masing-masing perusahaan dalam ruang keamanan siber. Tiap perusahaan memiliki tempat pada rantai disrupsi melawan ancaman siber (cyberthreat).

Kolaborasi dengan sejumlah perusahaan terkemuka dan kenamaan, baik dari sektor publik maupun privat, termasuk tim respons darurat keamanan siber (Cybersecurity Emergency Response Team/CERT), lembaga pemerintahan, dan kalangan akademis, adalah aspek fundamental dari komitmen Fortinet untuk meningkatkan ketahanan siber (cyber resilience) secara global.

Seiring makin canggihnya ancaman keamanan siber, mengadopsi pendekatan yang berpusat pada platform itu semakin penting. Pendekatan ini menggabungkan piranti keamanan, meningkatkan efisiensi kegiatan operasional, dan memungkinkan adaptasi cepat terhadap ancaman baru. “Sehingga membantu perusahaan membangun pertahanan keamanan siber yang tangguh dan siap menghadapi masa depan,” papar Rashish.

Inovasi dan kolaborasi teknologi yang konstan dari seluruh industri dan kelompok kerja, seperti Cyber Threat Alliance, Network Resilience Coalition, Interpol, the World Economic Forum (WEF) Partnership Against Cybercrime, dan WEF Cybercrime Atlas, secara kolektif akan menjadi kunci peningkatan perlindungan dan membantu perjuangan melawan kejahatan siber secara global.

Terkait inovasi menangkal serangan siber, hal senada disampaikan Muhammad Nidhal, Peneliti Muda Center for Indonesian Policy Studies (CIPS). Dia menyarankan kebijakan yang inovatif untuk mengatasi tantangan-tantangan yang menghambat Indonesia untuk dapat sepenuhnya memanfaatkan potensi sektor digitalnya. "Pendekatan inovatif dan peraturan yang mendukung akan diperlukan untuk mempersempit jurang digital antar daerah, membangun keterampilan digital yang diperlukan, dan meningkatkan investasi sektor digital sehingga memastikan tidak ada yang tertinggal dalam agenda transformasi digital," ujar Nidhal pada keterangan tertulisnya.

Serangan ransomware terhadap salah satu lembaga dalam negeri, Pusat Data Nasional, telah meningkatkan kekhawatiran keamanan siber. Ransomware menjadi salah satu ancaman keamanan siber paling berbahaya di Indonesia maupun di tingkat global. Ransomware adalah varian malware berbahaya yang digunakan oleh peretas untuk mengunci akses ke data korban dan meminta uang tebusan untuk pemulihannya. “Serangan ransomware di Indonesia tidak hanya menginfeksi komputer, tetapi juga menargetkan perangkat seluler dan Internet of Things (IoT). Ini menunjukkan bahwa seluruh ekosistem digital kita rentan,” kata Dr. Erza Aminanto, Asisten Profesor dan Koordinator Program Magister Keamanan Siber Monash University.

Erza berpendapat ransomware mengeksploitasi kemajuan teknologi seraya mencari celah kerentanan manusia dalam berkegiatan siber. Contoh bahaya ransomware adalah serangan ransomware di Inggris pada awal Juni 2024, yang berdampak sangat buruk lantaran melumpuhkan layanan kesehatan di beberapa rumah sakit dan pusat patologi, sehingga menyebabkan layanan donor darah terhenti selama berhari-hari. Situasi mendesak ini merupakan taktik yang digunakan para peretas untuk menekan korban agar memenuhi tuntutannya. Indonesia juga menghadapi ancaman serupa. “Ini mempertegas pentingnya membangun sistem keamanan siber yang kuat dan responsif untuk melawan serangan ransomware yang semakin canggih,” kata Erza.

Dari perspektif keamanan siber, salah satu cara ransomware menyusup adalah melalui pencurian data pribadi via email (phishing email) yang tidak terlihat mencurigakan. Setelah berhasil melakukan phishing, peretas mendapat akses ke jaringan internal dan mengenkripsi data penting, kemudian menguncinya dan mendesak korban untuk membayar uang tebusan.

Kata sandi di era digitalisasi merupakan penting bagi pengguna perangkat atau jasa yang terhubung di dunia maya. Lemahnya kata sandi menjadi makanan empuk bagi pelaku kejahatan. Edwin menyampaikan kata sandi berperan utama sekaligus menjadi gerbang awal dari pengguna yang aktif menggunakan jasa atau perangkat yang terhubung di dunia maya tersebut.

Ada beberapa cara terbaik agar kata sandi menjadi kuat dan aman. Pendekatan untuk membuat kata sandi yang aman harus komprehensif, menggabungkan daya ingat dan kerumitan. Edwin menyampaikan ada satu strategi efektif yang dianjurkan, yaitu menggunakan teknik mnemonik. “Teknik ini meliputi pembuatan kata sandi yang mudah diingat tetapi cukup rumit agar aman, seperti menggunakan huruf kedua dari kata dalam kutipan atau lirik lagu favorit dan menggabungkan huruf kapital dan karakter-karakter tertentu” ujar Edwin.

Menurutnya, mengatasi permasalah terkait kata sandi yang lemah merupakan sesuatu yang sangat penting tidak hanya pada level individu namun juga esensial dalam memperkuat keamanan siber di tingkat perusahaan. Data Fortinet yang terangkum pada survei The Fortinet 2023 Security Operations menunjukkan phishing dan pencurian identitas masih menjadi ancaman kejahatan siber yang paling menonjol di Indonesia. Lebih dari separuh organisasi yang disurvei mengidentifikasi ini sebagai bentuk kekhawatiran mereka. Ancaman ini berkembang seiring dengan integrasi teknologi kecerdasan buatan (AI) lantaran algortima AI saat ini mampu menganalisa data pribadi dalam jumlah besar untuk membuat email phishing yang meyakinkan dan disesuaikan dengan perilaku individu.

Edwin menyampaikan pelaku kejahatan siber kini semakin banyak memanfaatkan pencurian informasi berupa perangkat lunak berbahaya yang dirancang untuk mengambil data pribadi secara diam-diam, termasuk nama pengguna dan kata sandi. Data kredensial tersebut tidak hanya digunakan untuk membobol jaringan perusahaan namun juga dijual di pasar gelap dunia maya, meraup harga tinggi dari mereka yang terlibat penipuan dan pencurian identitas.

Penggunaan kata sandi disarankan untuk menghindari unsur-unsur umum dan mudah ditebak. Edwin menyarankan untuk tidak menggunakan informasi pribadi seperti tanggal lahir, nomor telpon, atau bahkan istilah umum dan detail perusahaan. Sebagai gantinya, kata sandi harus berisi gabungan huruf kapital dan huruf kecil, angka, serta simbol, dan idealnya harus sepanjang 10 karakter untuk meningkatkan keamanan.

Hal penting lainnya adalah menggunakan kata sandi yang unik untuk setiap akun. Hal ini membatasi kerugian jika satu akun berada dalam bahaya, sehingga menghindari pelaku kriminal siber memperoleh akses ke akun lainnya dengan data kredensial yang sama. Guna mengelola banyak kata sandi yang unik, Edwin menyarankan untuk menggunakan pengelola kata sandi atau password manager. Dengan pengelola kata sandi, pengguna hanya perlu mengingat satu kata sandi utama yang memberi mereka akses ke seluruh kata sandi, sehingga memudahkan keamanan mereka tanpa kompromi. Dengan mengikuti cara-cara ini, individu dan lembaga dapat meningkatkan postur keamanan digital, yang secara efektif melindungi data dan sistem mereka dari akses ilegal dan ancaman siber.

Ada beberapa langkah yang disarankan oleh Fortinet Indonesia ini. Langkah ini dapat digunakan oleh individu dan organisasi di Indonesia guna meningkatkan praktik-praktik keamanan siber demi menangkal serangan siber yang makin canggih. Metode Multi-Factor Authentication (MFA) adalah cara menambah lapisan penting dalam sistem keamanan. Sistem tersebut meminta pengguna mengonfirmasikan identitas yang menggunakan berbagai bentuk verifikasi, misalnya token berbasis fisik atau seluler, yang secara efektif memblokir akses tidak sah meskipun kata sandi sudah disusupi.

Kemudian, Single Sign-On (SSO) yang menyederhanakan proses autentikasi dengan memungkinkan pengguna untuk mengakses beberapa aplikasi dengan satu set data kredensial. Cara ini tidak hanya meningkatkan kenyamanan pengguna namun juga memperketat keamanan dengan mengurangi jumlah permukaan serangan atau titik yang mungkin diakses oleh pelaku kejahatan dunia maya.

Pengawasan rutin dapat memitigasi potensi serangan siber. Selain itu, edukasi berkelanjutan bagi karyawan berperan penting dalam membentengi pertahanan keamanan siber. Fortinet, perusahaan yang bergerak di keamanan siber, menyodorkan solusi keamanan yang selama ini dilakukan oleh Perusahaan yang dinaunginya. Rangkaian solusi keamanan siber Fortinet, meliputi sistem Endpoint Detection and Response (EDR) dan layanan pengintaian seperti FortiRecon, dirancang untuk memberdayakan pengguna internet di Indonesia untuk menangkis serangan siber, terutama yang melibatkan kompromi kredensial.

Strategi Cegah Serangan Siber

Pertama, semua data penting harus dicadangkan secara teratur, lalu disimpan di lokasi terpisah untuk meminimalkan kehilangan data. Cadangan data tersebut harus dienkripsi dan diuji secara rutin untuk memastikan pemulihannya berfungsi segera setelah dibutuhkan. Kedua, penting untuk memperkenalkan redundansi sebagai upaya mengurangi risiko kegagalan sistem secara keseluruhan. Redundansi dapat mencakup perangkat keras ganda, penyimpanan komputasi awan (cloud), atau server cadangan yang siap beroperasi jika sistem utama gagal.

Ketiga, membangun Pusat Pemulihan Data, atau data recovery center yang dapat segera beroperasi jika sistem utama mengalami gangguan. Fasilitas ini harus memiliki infrastruktur yang setara atau lebih baik dari sistem utama demi memastikan kelancaran operasionalnya.

Adapun langkah-langkah selanjutnya mencakup upaya peningkatan kepatuhan terhadap aturan dan kode etik, serta penerapan sanksi tegas untuk memastikan semua entitas mengikuti standar keamanan yang ditetapkan. Selain itu, penting juga untuk menggelar pelatihan berkala tentang ancaman dan metode identifikasi serangan siber kepada para petugas terkait, yang merupakan garda terdepan dalam menangani ransomware melalui phishing atau bentuk-bentuk serangan sejenis lainnya.

Goutama Bachtiar, IT Advisory Director di Grant Thornton Indonesia, mengatakan investasi dalam teknologi keamanan siber harus menjadi prioritas utama. "Namun, lebih dari itu, kita perlu membangun budaya keamanan siber yang mencakup semua level organisasi, dari karyawan hingga eksekutif. Kesadaran dan pendidikan tentang ancaman siber sangat penting untuk menciptakan lingkungan yang aman,” sebut Goutama.

Selain itu, serangan siber ini juga menggarisbawahi pentingnya penilaian risiko secara berkala dan pembaruan infrastruktur teknologi informasi (TI) untuk mengidentifikasi dan menutupi celah keamanan sebelum dimanfaatkan oleh pihak yang tidak bertanggung jawab. “Evaluasi terus menerus dan pembaruan sistem keamanan dan juga proses serta SDM sangat penting untuk menjaga ketahanan terhadap ancaman yang selalu berkembang,” tambah Goutama.

Hendry Wirawijaya, Country Manager di CyberArk Indonesia, menyampaikan perusahaan menjadi sasaran empuk bagi segala jenis ancaman siber yang berbasis browser, termasuk pembajakan cookie, yang membantu penyerang mencuri data untuk meniru pengguna resmi. Serangan malware pada perangkat tidak dikelola (unmanaged devices) yang digunakan karyawan untuk mengakses materi perusahaan; dan masuknya pengguna tak berizin untuk mengambil data sensitif karena aksesnya tidak dibatasi secara memadai.

Hendry menyampaikan browser yang tidak terhubung dengan infrastruktur keamanan identitas dari hulu ke hilir (end-to-end) dalam lingkungan TI yang makin kompleks ini membawa risiko yang masif. Identitas tenaga kerja dan perilaku mereka dalam lingkungan browser sering kali tidak terlihat oleh tim keamanan, sehingga menjadi titik lemah yang mempermudah pencurian data perusahaan.

Solusi paling logis bagi para pemangku kepentingan di bidang keamanan siber adalah dengan mencari cara untuk menggabungkan keamanan identitas dan akses ke dalam lingkungan browser itu.

Hendry menyebutkan upaya yang harus dilakukan untuk melindungi lingkungan internal melalui browser. Pentingnya perlindungan identitas melalui browser merupakan bagian penting dunia kerja masa kini, web browser memberikan akses ke aplikasi bisnis penting dan data rahasia yang diperlukan bagi karyawan dan kontraktor pihak ketiga untuk menyelesaikan pekerjaan.

Hendry mencontohkan pembajakan cookie tatkala penyerang mencuri sesi cookie untuk meniru pengguna, melewati autentikasi multifaktor (Multi-Factor Authentication/MFA), membajak sesi untuk mencuri data, kemudian menyebar untuk meningkatkan hak istimewa. Menurutnya, perusahaan memerlukan strategi identitas menyeluruh dengan kendali akses pintar yang memberi perlindungan hingga ke lingkungan browser guna mengamankan aset digital.

Hal ini dapat diwujudkan dengan menerapkan pendekatan manajemen identitas yang telah teruji ke ruang browser, memungkinkan team IT untuk memberlakukan prinsip Least Privilege dan akses terbatas sesuai kebutuhan saja (Just-In-Time/JIT) berdasarkan profil risiko pada karyawan yang bekerja dari berbagai lokasi, sekaligus para vendor dan mitra.

Untuk mewujudkan keamanan web yang optimal tanpa mengurangi produktivitas tenaga kerja, perusahaan memerlukan enterprise browser khusus yang tetap mudah digunakan dan terintegrasi secara mulus dengan solusi keamanan yang selama ini diterapkan. Ini akan memungkinkan tim keamanan siber perusahaan untuk menerapkan keamanan berbasis identitas yang mampu mencegah serangan modern sekaligus mengamankan perusahaan.

Adapun, Grant Thornton Indonesia berkomitmen untuk bekerja sama dengan lembaga pemerintah dan swasta guna memberikan solusi keamanan siber yang terintegrasi dan menyeluruh. “Kami siap memberikan dukungan teknis dan strategis untuk membantu organisasi mengatasi tantangan keamanan siber yang kompleks. Dengan pendekatan yang holistik dan kolaboratif, kita dapat menciptakan lingkungan digital yang lebih aman bagi semua.” tutur Goutama. (*)


© 2023-2024 SWA Media Inc.

All Right Reserved