BYOD: Risiko Keamanan Data Perusahaan dan Cara Melindungi Dokumen

BYOD memungkinkan karyawan menggunakan perangkat pribadi untuk mengakses data dan menjalankan pekerjaan perusahaan. Ketika dokumen kerja dibuka melalui laptop, tablet, atau smartphone pribadi, perusahaan perlu memastikan akses tersebut tetap mengikuti aturan keamanan yang berlaku.

Risiko muncul ketika data perusahaan tersimpan di perangkat pribadi, dibagikan melalui aplikasi yang tidak dikendalikan perusahaan, atau tetap dapat diakses setelah kebutuhan pengguna berakhir. Kondisi tersebut membuat perlindungan data perlu berjalan bersama dengan keamanan perangkat.

BYOD dapat dikelola dengan menetapkan aturan penggunaan perangkat, membatasi akses data, memisahkan data pribadi dan perusahaan, serta menelusuri aktivitas dokumen. Artikel ini membahas risiko BYOD dari sudut pandang keamanan dokumen dan data perusahaan, termasuk komponen kebijakan serta kontrol yang dapat diterapkan.

Apa Itu BYOD?

BYOD adalah praktik menggunakan perangkat pribadi untuk menjalankan aktivitas kerja dan mengakses sumber daya perusahaan. National Institute of Standards and Technology (NIST) mendefinisikan BYOD sebagai praktik melakukan aktivitas pekerjaan menggunakan perangkat yang dimiliki secara pribadi.

Perangkat tersebut dapat berupa smartphone, tablet, atau perangkat lain yang digunakan untuk mengakses sistem dan data perusahaan. Organisasi tetap perlu menetapkan siapa yang boleh menggunakan perangkat pribadi, data apa yang dapat diakses, dan kontrol keamanan yang harus dipenuhi.

Dalam praktiknya, BYOD bukan berarti perangkat pribadi dapat mengakses seluruh sistem perusahaan tanpa batas. Policy tetap diperlukan untuk menentukan penggunaan yang diperbolehkan, perangkat yang dapat digunakan, serta kewajiban pengguna selama mengakses sumber daya perusahaan.

Bagaimana BYOD Memengaruhi Keamanan Data Perusahaan?

BYOD memengaruhi keamanan data perusahaan dengan memperluas akses data ke perangkat yang berada di luar kendali penuh organisasi. Perusahaan perlu mempertimbangkan variasi perangkat, sistem operasi, aplikasi, konfigurasi keamanan, dan kebiasaan pengguna saat menerapkan BYOD.

NIST mencatat bahwa perbedaan jenis, usia, sistem operasi, dan karakteristik perangkat dapat menciptakan tantangan keamanan dan privasi yang berbeda. Kondisi ini membuat kontrol yang digunakan pada perangkat perusahaan tidak selalu cukup untuk skenario BYOD.

Untuk dokumen yang diakses melalui perangkat pribadi, perusahaan juga perlu mengetahui siapa yang membuka dokumen dan aktivitas apa yang dilakukan. Jejak Audit Mekari Sign dapat digunakan untuk mendukung penelusuran aktivitas penting pada dokumen.

Manfaat dan Tantangan BYOD bagi Perusahaan

BYOD memberi fleksibilitas dalam bekerja dan dapat mengurangi kebutuhan penyediaan perangkat, tetapi perusahaan perlu menghadapi tantangan pada keamanan, privasi, dan pengelolaan akses data. Dampaknya bergantung pada bagaimana perusahaan menetapkan policy dan menerapkan kontrol keamanan.

Perangkat pribadi dapat membuat proses kerja lebih fleksibel karena karyawan menggunakan perangkat yang sudah mereka kenal. Di sisi lain, perusahaan harus menangani lebih banyak variasi perangkat dan lingkungan penggunaan dibandingkan ketika seluruh perangkat disediakan serta dikendalikan oleh organisasi.

Risiko BYOD terhadap Dokumen Perusahaan

Risiko BYOD terhadap dokumen perusahaan mencakup akses tanpa izin, pencampuran data pribadi dan perusahaan, sharing yang sulit dikontrol, perangkat hilang, serta akses yang belum dicabut setelah pengguna keluar.

1. Akses Dokumen oleh Pihak yang Tidak Berwenang

Akses dokumen oleh pihak yang tidak berwenang dapat terjadi ketika perangkat pribadi digunakan oleh orang lain atau akun kerja tetap terbuka tanpa kontrol yang memadai.

Perangkat pribadi dapat digunakan bersama anggota keluarga atau pihak lain. Ketika dokumen perusahaan tersimpan secara lokal atau akun kerja tetap terbuka, pihak yang tidak memiliki kewenangan dapat memperoleh akses.

Kontrol akses perlu dikaitkan dengan identitas pengguna dan kebutuhan pekerjaan. Pengguna sebaiknya hanya menerima akses terhadap dokumen yang dibutuhkan untuk menjalankan perannya.

2. Data Perusahaan Bercampur dengan Data Pribadi

Data perusahaan dapat bercampur dengan data pribadi ketika dokumen kerja disimpan pada perangkat yang juga digunakan untuk foto, aplikasi, file, dan backup pribadi.

Kondisi tersebut dapat menyulitkan perusahaan menjaga data bisnis tetap berada dalam lingkungan yang sesuai. Perusahaan perlu menentukan lokasi penyimpanan dokumen serta batas penggunaan perangkat pribadi untuk data perusahaan.

Pemisahan data perusahaan dan data pribadi menjadi salah satu aspek penting dalam penerapan BYOD karena organisasi juga perlu menjaga privasi pengguna.

3. Dokumen Dibagikan melalui Saluran Pribadi

Dokumen perusahaan berisiko keluar dari kontrol organisasi ketika dibagikan melalui email pribadi, aplikasi pesan, atau layanan penyimpanan yang tidak ditetapkan perusahaan.

Setiap saluran tambahan membuat perusahaan perlu mempertimbangkan kembali bagaimana akses dan salinan dokumen dikendalikan. Dokumen yang sudah berada di luar sistem perusahaan juga lebih sulit ditarik atau dilacak ketika akses pengguna berubah.

BYOD policy perlu menentukan saluran yang boleh digunakan untuk menyimpan dan membagikan dokumen kerja. Aturan dapat dibedakan berdasarkan tingkat sensitivitas informasi.

4. Perangkat Hilang atau Dicuri

Perangkat yang hilang atau dicuri dapat mengekspos dokumen perusahaan yang tersimpan di perangkat atau memberikan akses ke akun kerja yang masih aktif.

Perusahaan perlu memiliki prosedur untuk melaporkan insiden, mengamankan akun, mencabut akses, dan menilai dampak terhadap data. Pengguna juga perlu mengetahui siapa yang harus dihubungi dan tindakan apa yang harus dilakukan setelah perangkat hilang.

Prosedur tersebut sebaiknya sudah ditetapkan sebelum program BYOD berjalan agar respons tidak bergantung pada keputusan saat insiden terjadi.

5. Akses Tetap Terbuka setelah Karyawan Keluar

Akses dokumen perlu dicabut ketika karyawan keluar agar akun dan data perusahaan tidak tetap dapat digunakan dari perangkat pribadi.

Perangkat tetap berada di tangan pengguna, sehingga proses offboarding perlu mencakup pencabutan akses terhadap sistem dan dokumen perusahaan. Data perusahaan yang masih berada di perangkat juga perlu dikelola sesuai kebijakan yang telah ditetapkan.

Proses ini perlu terhubung dengan perubahan status pengguna agar akses yang sudah tidak dibutuhkan tidak terus aktif.

Apa yang Perlu Diatur dalam BYOD Policy?

Komponen utama BYOD policy mencakup perangkat, akses data, autentikasi, aplikasi, penyimpanan, sharing, privasi, penanganan insiden, dan offboarding. Sembilan area tersebut memberi batas yang jelas mengenai bagaimana perangkat pribadi dapat digunakan untuk pekerjaan.

IBM juga memasukkan acceptable use, permitted devices, security measures, privacy and permissions, serta offboarding sebagai bagian dari BYOD policy. Detail kebijakan perlu disesuaikan dengan jenis data dan kebutuhan organisasi.

Bagaimana Cara Melindungi Dokumen dalam Lingkungan BYOD?

Lindungi dokumen dalam lingkungan BYOD dengan membatasi akses, memisahkan data, mengontrol sharing, memperkuat autentikasi, dan mencatat aktivitas dokumen. Kontrol tersebut perlu disesuaikan dengan tingkat sensitivitas informasi dan risiko proses bisnis.

1. Batasi Akses Berdasarkan Peran

Akses dokumen sebaiknya diberikan berdasarkan peran dan kebutuhan pekerjaan agar pengguna hanya dapat membuka informasi yang diperlukan.

Perusahaan juga perlu meninjau akses ketika seseorang berpindah jabatan atau tanggung jawab. RACI Matrix untuk Proses Bisnis dapat menjadi referensi ketika Anda perlu memperjelas ownership dan keterlibatan setiap pihak dalam proses.

2. Gunakan Autentikasi yang Sesuai Risiko

Autentikasi yang lebih kuat membantu memastikan bahwa akses ke akun dan dokumen berasal dari pengguna yang berwenang.

Password yang kuat dapat dilengkapi dengan multi-factor authentication (MFA) sesuai tingkat risiko. Kontrol tambahan dapat diterapkan pada sistem dan dokumen yang mengandung informasi lebih sensitif.

NIST SP 800-124 Rev. 2 membahas access control, authentication, continuous monitoring, dan pengamanan perangkat mobile sepanjang lifecycle, termasuk skenario perangkat yang dimiliki secara pribadi.

3. Pisahkan Data Perusahaan dan Data Pribadi

Pemisahan data membantu perusahaan menjaga informasi bisnis tetap berada dalam lingkungan yang ditetapkan tanpa mencampurkannya dengan data pribadi pengguna.

Perusahaan perlu menentukan apakah dokumen boleh disimpan secara lokal atau harus tetap berada di sistem yang dikendalikan organisasi. Untuk informasi sensitif, pembatasan penyimpanan lokal dapat menjadi bagian dari policy.

Pembahasan tentang enkripsi end-to-end juga dapat menjadi referensi ketika Anda perlu memahami perlindungan kerahasiaan data selama komunikasi.

4. Gunakan Saluran Sharing yang Terkontrol

Dokumen sebaiknya dibagikan melalui saluran yang ditentukan perusahaan agar akses dan distribusi file lebih mudah dikendalikan.

Aturan sharing dapat mencakup siapa yang boleh menerima dokumen, jenis dokumen yang dapat dibagikan, dan kondisi yang membutuhkan persetujuan tambahan.

Untuk organisasi dengan volume dokumen yang besar, Document Management System (DMS) dapat menjadi pendekatan untuk mengatur access control, version control, workflow, approval, dan document lifecycle.

5. Catat Aktivitas pada Dokumen

Aktivitas penting pada dokumen perlu dicatat agar perusahaan dapat menelusuri tindakan pengguna dan memeriksa kejadian ketika terjadi insiden.

Catatan aktivitas membantu perusahaan melihat perubahan atau tindakan tertentu pada dokumen dari waktu ke waktu. Untuk kebutuhan tersebut, audit trail dapat menjadi salah satu mekanisme penelusuran aktivitas dokumen digital.

Apakah BYOD Memerlukan MDM?

BYOD tidak selalu memerlukan MDM, tetapi Mobile Device Management dapat menjadi salah satu lapisan untuk mengelola keamanan perangkat yang digunakan dalam program BYOD. Kebutuhan MDM bergantung pada jenis perangkat, sistem yang diakses, tingkat risiko, dan kontrol yang sudah dimiliki perusahaan.

MDM dapat membantu organisasi mengelola konfigurasi perangkat, menerapkan kebijakan keamanan, dan menangani kondisi seperti perangkat hilang. Fungsi ini berada pada lapisan pengelolaan perangkat, sehingga tetap perlu dilengkapi kontrol pada identitas, data, dan dokumen.

Untuk dokumen perusahaan, perusahaan tetap perlu mengatur access control, penyimpanan, sharing, dan pencatatan aktivitas. Pengelolaan endpoint saja tidak menentukan siapa yang boleh melihat atau membagikan dokumen tertentu.

Contoh BYOD Policy untuk Akses Dokumen Perusahaan

Contoh BYOD policy untuk akses dokumen mencakup aturan perangkat, autentikasi, akses data, penyimpanan, sharing, pelaporan kehilangan, monitoring, dan pencabutan akses. Format berikut dapat disesuaikan dengan kebutuhan keamanan dan kebijakan internal perusahaan.

Kebijakan tertulis perlu disertai sosialisasi agar pengguna memahami batas penggunaan perangkat pribadi. Perusahaan juga perlu meninjau policy secara berkala berdasarkan perubahan teknologi, jenis data, dan risiko yang dihadapi.

Baca juga: Document Management System (DMS): Panduan Kelola Dokumen dalam Workflow Bisnis

Checklist Penerapan BYOD untuk Perusahaan

Checklist penerapan BYOD mencakup kesiapan policy, standar perangkat, kontrol akses, aturan data, prosedur insiden, dan mekanisme offboarding.

• Menentukan jenis perangkat yang diizinkan untuk mengakses sistem perusahaan.
• Menetapkan standar keamanan perangkat dan autentikasi pengguna.
• Menentukan data dan dokumen yang boleh diakses dari perangkat pribadi.
• Menetapkan lokasi penyimpanan dan kanal sharing yang diperbolehkan.
• Memisahkan data perusahaan dari data pribadi sejauh kemampuan sistem.
• Menyiapkan prosedur untuk perangkat hilang, dicuri, atau mengalami masalah keamanan.
• Menghubungkan pencabutan akses dengan proses offboarding.
• Menentukan aktivitas dokumen yang perlu dicatat dan ditinjau.
• Melakukan review terhadap BYOD policy secara berkala.

Baca juga: Data Governance: Panduan Membangun Tata Kelola Data

BYOD Perlu Diikuti Kontrol Dokumen yang Jelas

BYOD perlu diikuti kontrol dokumen yang jelas agar fleksibilitas perangkat pribadi tetap berjalan bersama pengamanan data perusahaan. Policy perlu menetapkan batas penggunaan perangkat, data yang dapat diakses, cara dokumen disimpan dan dibagikan, serta tindakan ketika status pengguna berubah.

Dari sisi dokumen, perusahaan perlu memperhatikan access control, autentikasi, pemisahan data, sharing, dan audit trail secara bersamaan. Pendekatan ini membantu menjaga dokumen tetap berada dalam workflow yang dapat dipantau meskipun pengguna mengaksesnya dari perangkat pribadi.

Jejak Audit Mekari Sign dapat membantu mencatat aktivitas penting pada dokumen, sementara Manajemen Pengguna Mekari Sign mendukung pengelolaan pengguna dan akses dalam lingkungan kerja digital.

Referensi

• National Institute of Standards and Technology (NIST) — Mobile Device Security: Bring Your Own Device (BYOD)
• National Institute of Standards and Technology (NIST) — Guidelines for Managing the Security of Mobile Devices in the Enterprise
• International Business Machines (IBM) — What is Bring Your Own Device (BYOD)?