Langkah pertama mencegah kebocoran data nasabah bukan membeli alat baru, melainkan memeriksa siapa yang masih punya akses: daftar pengguna dan hak aksesnya di tiap aplikasi, salinan data di luar aplikasi utama seperti hasil ekspor, folder bersama, dan laptop pribadi, lalu SOP saat pegawai masuk, pindah tugas, dan keluar. Tulisan ini menjelaskan urutan pemeriksaannya dan bentuk SOP yang bisa dilaksanakan sekaligus dibuktikan kepada pemeriksa, dimulai dari satu proses yang paling jelas.
Seorang pegawai sudah pindah bagian, tetapi masih bisa membuka seluruh dokumen pembiayaan. Mantan pegawai masih tercatat sebagai anggota folder bersama. Sementara itu, hasil ekspor data nasabah tersimpan di laptop pribadi karena pernah dipakai untuk menyelesaikan pekerjaan.
Bayangkan situasi tersebut terjadi di lembaga Anda. Ketika ada dokumen tersebar, apakah pengelola bisa menelusuri siapa yang membuka, mengunduh, atau mengirimkannya?
Isu kebocoran data nasabah perlu membawa perhatian sampai ke pertanyaan operasional seperti ini. Bagi BPR, BPRS, dan koperasi simpan pinjam, pemeriksaan akses merupakan langkah konkret untuk memahami bagaimana data dikelola sehari-hari.
Data lama kembali beredar, pengelolaan akses tetap perlu diperiksa
Pada 2 Oktober 2026, Kementerian Komunikasi dan Digital menyampaikan bahwa pihaknya berkoordinasi dengan Polri untuk mengusut dugaan jual beli data pribadi ilegal. Berdasarkan penjelasan BSSN yang dikutip Komdigi, data yang sedang ramai tersebut merupakan data lama yang kembali beredar. Informasi ini perlu dibedakan dari kejadian kebocoran baru (sumber: siaran pers Komdigi).
Bagi pengelola lembaga, berita tersebut dapat menjadi pengingat untuk memeriksa data yang sudah lama tersimpan. Dokumen pengajuan, salinan identitas, rekening koran, dan hasil analisis mungkin masih berada di sejumlah tempat setelah proses pelayanan selesai.
Pertanyaannya: di mana salinan tersebut berada, siapa yang masih bisa membukanya, dan apakah penyimpanannya masih diperlukan?
Mulai dari daftar orang dan hak aksesnya
Pemeriksaan dapat dimulai dengan mencocokkan daftar pegawai aktif dengan daftar pengguna aplikasi, email, penyimpanan bersama, dan akses jarak jauh.
Perhatikan tiga keadaan: pegawai baru, pegawai yang pindah tugas, dan pegawai yang keluar. Setiap perubahan tersebut dapat memerlukan penyesuaian akses.
Sebagai contoh, pegawai yang berpindah dari bagian pembiayaan ke fungsi lain perlu ditinjau kembali kebutuhannya untuk membuka berkas pembiayaan. Akses sebelumnya tidak seharusnya terus melekat hanya karena belum ada permintaan penutupan.
Prinsip yang digunakan adalah memberikan akses sesuai kebutuhan pekerjaan. Panduan NIST untuk sektor jasa keuangan juga menekankan pembatasan hak akses serta pengelolaannya ketika seseorang bergabung, berpindah peran, atau meninggalkan lembaga (sumber: NIST SP 1800-9).
Daftar pemeriksaan awal dapat memuat:
- Nama pengguna dan unit kerjanya.
- Aplikasi atau folder yang dapat diakses.
- Hak melihat, mengubah, mengunduh, atau menyetujui.
- Pihak yang menyetujui pemberian akses.
- Tanggal peninjauan berikutnya.
Pisahkan pula akun pegawai dari akun penyedia layanan. Jika vendor membutuhkan akses untuk pemeliharaan, tentukan ruang lingkup, masa berlaku, dan penanggung jawab pendampingannya.
Telusuri salinan data di luar aplikasi utama
Pemeriksaan berikutnya adalah mengikuti perjalanan dokumen setelah keluar dari aplikasi.
Sebagai ilustrasi, rekening koran diterima petugas, dikirim kepada analis, diunduh ke laptop, lalu dilampirkan dalam pembahasan internal. Satu dokumen akhirnya memiliki beberapa salinan dengan pengaturan akses yang berbeda.
Lembaga perlu mengetahui tempat penyimpanan yang disetujui, cara pengiriman dokumen, serta ketentuan penyimpanan dan penghapusannya. Ketentuan tersebut harus mempertimbangkan kebutuhan pekerjaan dan kewajiban penyimpanan dokumen yang berlaku.
Beberapa pertanyaan untuk dibahas bersama tim:
- Apakah dokumen nasabah masuk ke email atau perangkat pribadi?
- Apakah tautan folder hanya dapat dibuka oleh penerima yang ditentukan?
- Apakah seluruh data perlu diekspor, atau cukup bagian yang dibutuhkan?
- Siapa yang bertanggung jawab meninjau salinan setelah pekerjaan selesai?
Pembahasan ini membantu lembaga menyusun aturan berdasarkan alur kerja yang benar-benar dijalankan pegawai.
Buat SOP yang bisa dilaksanakan dan dibuktikan
SOP pengelolaan akses perlu menjelaskan siapa yang meminta, siapa yang menyetujui, siapa yang menjalankan, dan bukti apa yang disimpan.
Misalnya, ketika pegawai keluar, bagian SDM memberi pemberitahuan kepada petugas pengelola akses. Petugas kemudian menonaktifkan akun yang terkait, memeriksa akses penyimpanan bersama, dan mencatat penyelesaiannya. Penanggung jawab memastikan seluruh langkah sudah dituntaskan.
Tentukan waktu pelaksanaan sesuai risiko dan keadaan lembaga. Proses penutupan akses perlu menjadi bagian dari serah terima pegawai, sehingga penyelesaiannya tidak bergantung pada ingatan seseorang.
Pada aplikasi yang mendukungnya, gunakan akun individual dan aktifkan autentikasi multifaktor atau MFA. NIST merekomendasikan penggunaan MFA pada akun yang menyediakan fitur tersebut untuk membantu mengurangi risiko pengambilalihan akun (sumber: NIST Small Business Cybersecurity).
Sebagai bacaan pendamping, lihat Keamanan Siber untuk BPRS Skala Kecil: Mulai dari Mana?
Mulai dengan satu proses yang paling jelas
Untuk memulai pembenahan, pilih satu proses, misalnya pengajuan pembiayaan. Petakan dokumen yang diterima, petugas yang mengolahnya, aplikasi yang digunakan, dan tempat penyimpanan akhirnya.
Dari pemetaan tersebut, susun daftar perbaikan beserta penanggung jawab dan target penyelesaiannya. Dahulukan temuan yang nyata, seperti akun mantan pegawai yang masih aktif atau folder data nasabah yang dapat dibuka terlalu banyak pengguna.
Setelah perbaikan dijalankan, periksa bukti pelaksanaannya. Apakah akun sudah ditutup? Apakah akses folder sudah dibatasi? Apakah pegawai memahami cara mengirim dokumen sesuai ketentuan?
Pengelolaan akses perlu mengikuti perubahan orang, pekerjaan, dan sistem. Pemeriksaan berkala membantu lembaga menjaga agar akses yang tersedia tetap sesuai kebutuhan.
RAFAKA DIGITAL menyediakan konsultasi proses bisnis dan TI serta penyusunan SOP. Jika lembaga Anda ingin membenahi alur pengelolaan data dan tanggung jawab akses, diskusikan kebutuhan Anda dengan RAFAKA DIGITAL.
