Dropbox, Cloud dan Email: Tiga Jalur yang Perlu Diwaspadai Perusahaan

Tiga Saluran yang Tersedia di Setiap Meja Kerja

Ketika membahas kebocoran data, perhatian biasanya tertuju pada peretas yang menembus jaringan dari luar. Namun dalam praktik sehari-hari, data justru paling sering keluar melalui alat yang sudah terpasang dan dipakai untuk bekerja: penyimpanan awan, aplikasi berbagi berkas, dan email.

Ketiganya punya kesamaan penting — legal, cepat, dan hampir tanpa gesekan. Seorang karyawan dapat memindahkan ratusan megabita dalam hitungan detik tanpa izin khusus, tanpa tanda bahaya, dan sering tanpa ada satu pun catatan yang tersimpan.

Jalur Pertama: Layanan Cloud Pribadi

Google Drive, Dropbox, OneDrive, dan sejenisnya dirancang untuk memudahkan. Dari sudut pandang karyawan, menyimpan dokumen ke akun pribadi terasa wajar: lebih aman daripada flashdisk, bisa dibuka di mana saja, dan membantu saat bekerja dari rumah. Masalahnya, akun tersebut sepenuhnya berada di luar kendali perusahaan.

Sekali berkas berpindah ke sana, organisasi kehilangan visibilitas: siapa yang dapat membukanya, di perangkat mana salinannya disimpan, dan apakah tautan berbagi dibiarkan terbuka. Tanpa pencatatan, perusahaan bahkan tidak tahu berkas itu pernah keluar dari kantor.

Jalur Kedua: Aplikasi Berbagi Berkas

Berbeda dari cloud yang menyimpan, aplikasi berbagi berkas — layanan transfer cepat, aplikasi pesan kerja, atau alat kirim dokumen — menekankan kecepatan. Berkas dikirim, tautan dibagikan, dan proses selesai, sering tanpa batas waktu dan tanpa jejak di sistem perusahaan.

Risikonya berlapis: siapa pun yang memegang tautan dapat mengunduh, tidak ada kontrol kedaluwarsa, dan tidak ada catatan siapa mengaksesnya. Untuk dokumen keuangan atau basis data pelanggan, satu tautan yang salah kirim sudah cukup untuk memicu insiden.

Jalur Ketiga: Email

Email adalah saluran tertua, paling terpercaya, dan karena itu paling sering diabaikan. Lampiran dapat dikirim ke alamat mana pun — pribadi, rekan di luar perusahaan, atau pihak ketiga — dan melewati batas organisasi dalam hitungan detik.

Kesalahan yang paling umum bukanlah niat jahat, melainkan kelalaian: salah penerima, alamat yang keliru, atau “cc” yang terlalu luas. Karena email bersifat sah dan rutin, pengiriman keluar yang sebenarnya tidak wajar sering hanya tampak sebagai aktivitas biasa.

Pola yang Menandai Kebocoran

Tanpa pengawasan, sulit membedakan pekerjaan normal dari pengiriman data yang berbahaya. Namun sejumlah pola biasanya muncul sebelum insiden terjadi:

• Volume data yang tiba-tiba jauh lebih besar daripada kebiasaan karyawan tersebut.
• Pengiriman keluar pada jam tidak wajar, misalnya menjelang resign atau di luar jam kerja.
• Berkas dari folder sensitif — keuangan, HRD, riset — menuju akun atau alamat pribadi.
• Penggunaan alat berbagi yang belum pernah dipakai untuk pekerjaan sebelumnya.

Bukan Melarang, Tetapi Mengendalikan

Melarang total cloud dan email pribadi biasanya gagal. Karyawan mencari jalan pintas, dan lalu lintas berpindah ke kanal yang lebih gelap. Pendekatan yang lebih realistis adalah mengendalikan: mencatat setiap perpindahan, menandai pola berisiko, dan memberi peringatan sebelum kerugian terjadi.

Prinsip yang sama berlaku pada kepatuhan. UU Perlindungan Data Pribadi No 27/2022 menuntut organisasi mampu menunjukkan kontrol nyata atas data — termasuk kemampuan menelusuri ke mana data bergerak dan siapa yang memindahkannya.

Langkah Praktis Sebelum Insiden Terjadi

Perusahaan dapat mulai dari hal-hal yang tidak menuntut perubahan besar: mendata jalur keluar apa saja yang aktif di perangkat karyawan, menandai folder paling sensitif, dan memastikan tersedia pencatatan aktivitas. Dari sana, kebijakan dibangun berdasarkan pola nyata, bukan asumsi.

Yang terpenting, perusahaan perlu sanggup menjawab satu pertanyaan sederhana kapan saja: berkas ini terakhir keluar melalui apa, ke mana, dan oleh siapa? Selama pertanyaan itu belum bisa dijawab dengan bukti, tiga jalur di atas akan tetap menjadi celah.

Membuktikan Kontrol Lewat Uji Simulasi Terkendali

Pertanyaan yang sering menggantung adalah: apabila data benar-benar dicoba dipindahkan, apakah pengendalian yang dipasang akan menangkapnya? Jawaban yang jujur biasanya belum diketahui sampai dicoba. Uji simulasi terkendali menjawabnya tanpa harus menunggu insiden nyata.

Caranya sederhana. Tandai beberapa berkas contoh di folder sensitif, lalu lakukan pemindahan yang meniru jalur keluar yang ingin diuji: unggah ke akun cloud pribadi, kirim lewat email pribadi, atau lewat aplikasi berbagi berkas. Tujuannya bukan membobol apa pun, melainkan melihat apakah perpindahan itu tercatat dan apakah peringatan muncul pada waktu yang tepat.

Dari uji tersebut empat hal dapat dinilai: apakah kejadian terdeteksi, berapa cepat peringatan muncul, seberapa lengkap detail yang tersimpan (berkas, tujuan, jam, volume), dan apakah aktivitas normal karyawan ikut terpicu. Uji yang menghasilkan banyak peringatan palsu sama pentingnya dengan uji yang menemukan celah deteksi.

• Gunakan berkas penanda, bukan data pelanggan sungguhan.
• Libatkan tim keuangan agar jalur yang diuji mencerminkan kebiasaan nyata.
• Simpan hasil uji sebagai bukti bahwa perusahaan mengendalikan perpindahan data, bukan sekadar mengaturnya di atas kertas.

Dijalankan sekali atau dua kali setahun, uji semacam ini mengubah asumsi menjadi bukti, dan bukti itulah yang membuat keputusan berikutnya lebih tenang.

Satu catatan penting: uji semacam ini harus diketahui oleh pihak yang berwenang di perusahaan, bukan dijalankan diam-diam. Persetujuan tertulis dan ruang lingkup yang terbatas melindungi semua pihak, sekaligus memastikan hasil uji dapat dipakai sebagai bukti kepatuhan tanpa menimbulkan ketegangan internal. Sertakan hasil dan tindak lanjutnya dalam laporan berkala, agar perbaikan yang dilakukan dapat ditelusuri dari waktu ke waktu.