Peritel online selalu mendapatkan persetujuan eksplisit pengguna sebelum berbagi data pelanggan dengan mitranya. Aplikasi navigasi menganonimkan data aktivitas sebelum menganalisisnya untuk tren perjalanan. Sekolah meminta orang tua untuk memverifikasi identitas mereka sebelum memberikan informasi siswa.
Ini hanyalah beberapa contoh bagaimana organisasi mendukung privasi data, prinsip bahwa orang harus memiliki kendali atas data pribadi mereka, termasuk siapa yang dapat melihatnya, siapa yang dapat mengumpulkannya, dan bagaimana data tersebut dapat digunakan.
Seseorang tidak dapat melebih-lebihkan pentingnya privasi data untuk bisnis saat ini. Peraturan yang luas seperti GDPR Eropa mengenakan denda yang tinggi pada organisasi yang gagal melindungi informasi sensitif. Pelanggaran privasi, baik yang disebabkan oleh peretas jahat atau kelalaian karyawan, dapat menghancurkan reputasi dan pendapatan perusahaan. Sementara itu, bisnis yang memprioritaskan privasi informasi dapat membangun kepercayaan dengan konsumen dan mendapatkan keunggulan dibandingkan pesaing yang tidak terlalu peduli dengan privasi.
Namun banyak organisasi mengalami kesulitan dalam perlindungan privasi meskipun memiliki niat terbaik. Privasi data lebih merupakan seni daripada ilmu pengetahuan, itu merupakan keseimbangan antara kewajiban hukum, hak pengguna, dan persyaratan keamanan siber tanpa menghalangi kemampuan bisnis untuk mendapatkan nilai dari data yang dikumpulkannya.
Pertimbangkan aplikasi penganggaran yang digunakan orang untuk melacak pengeluaran dan informasi keuangan sensitif lainnya. Ketika pengguna mendaftar, aplikasi menampilkan pemberitahuan privasi yang menjelaskan dengan jelas data yang dikumpulkannya dan bagaimana aplikasi menggunakan data tersebut. Pengguna dapat menerima atau menolak setiap penggunaan data mereka secara individual.
Misalnya, mereka dapat menolak untuk membagikan data mereka dengan pihak ketiga sambil mengizinkan aplikasi menghasilkan penawaran yang dipersonalisasi.
Aplikasi ini mengenkripsi semua data keuangan pengguna dengan ketat. Hanya administrator yang dapat mengakses data pelanggan di backend. Meskipun demikian, admin hanya dapat menggunakan data tersebut untuk membantu pelanggan memecahkan masalah akun, dan hanya dengan izin eksplisit dari pengguna.
Contoh ini menggambarkan tiga komponen inti dari kerangka kerja privasi data umum:
Kepatuhan terhadap peraturan yang relevan adalah dasar dari banyak upaya privasi data. Meskipun undang-undang perlindungan data berbeda-beda, namun secara umum undang-undang tersebut menetapkan tanggung jawab organisasi yang mengumpulkan data pribadi dan hak-hak subjek data yang memiliki data tersebut.
GDPR adalah peraturan privasi Uni Eropa yang mengatur bagaimana organisasi di dalam dan di luar Eropa menangani data pribadi penduduk UE. Selain mungkin menjadi undang-undang privasi yang paling komprehensif, ini adalah salah satu yang paling ketat. Denda atas ketidakpatuhan dapat mencapai hingga 20.000.000 EUR atau 4% dari pendapatan organisasi di seluruh dunia pada tahun sebelumnya, mana saja yang lebih tinggi.
Undang-Undang Perlindungan Data 2018, pada dasarnya, adalah versi Inggris dari GDPR. Undang-undang ini menggantikan undang-undang perlindungan data sebelumnya dan menerapkan banyak hak, persyaratan, dan hukuman yang sama dengan mitranya di Uni Eropa.
PIPEDA Kanada mengatur bagaimana bisnis sektor swasta mengumpulkan dan menggunakan data konsumen. PIPEDA memberikan subjek data sejumlah besar kontrol atas data mereka, tetapi hanya berlaku untuk data yang digunakan untuk tujuan komersial. Data yang digunakan untuk tujuan lain, seperti jurnalisme atau penelitian, dikecualikan.
Banyak negara bagian AS memiliki undang-undang privasi data mereka sendiri. Yang paling menonjol di antaranya adalah California Consumer Privacy Act (CCPA), yang berlaku untuk hampir semua organisasi yang memiliki situs web karena caranya mendefinisikan tindakan “melakukan bisnis di California”.
CCPA memberdayakan warga California untuk mencegah penjualan data mereka dan menghapusnya atas permintaan mereka, di antara hak-hak lainnya. Organisasi dapat dikenai denda hingga USD 7.500 per pelanggaran. Harganya dapat melejit dengan cepat. Jika bisnis menjual data pengguna tanpa persetujuan, setiap data yang dijual akan dianggap sebagai satu pelanggaran.
AS tidak memiliki peraturan privasi data yang luas di tingkat nasional, tetapi memiliki beberapa undang-undang yang lebih ditargetkan.
Berdasarkan Undang-Undang Perlindungan Privasi Online Anak (COPPA), organisasi harus mendapatkan izin orang tua sebelum mengumpulkan dan memproses data dari siapa pun yang berusia di bawah 13 tahun. Aturan untuk menangani data anak-anak mungkin akan menjadi lebih ketat jika Kids Online Safety Act (KOSA), yang saat ini sedang dipertimbangkan di Senat AS, menjadi undang-undang. KOSA akan mengharuskan layanan online untuk menggunakan pengaturan privasi tertinggi secara default bagi pengguna yang berusia di bawah 18 tahun.
Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPAA) adalah undang-undang federal yang berkaitan dengan bagaimana penyedia layanan kesehatan, perusahaan asuransi, dan bisnis lain melindungi informasi kesehatan pribadi.
Payment Card Industry Data Security Standard (PCI DSS) bukanlah undang-undang, tetapi serangkaian standar yang dikembangkan oleh konsorsium perusahaan kartu kredit, termasuk Visa dan American Express. Standar-standar ini menguraikan bagaimana bisnis harus melindungi data kartu pembayaran pelanggan.
Kendati PCI DSS bukan merupakan persyaratan hukum, perusahaan kartu kredit dan lembaga keuangan dapat mendenda bisnis yang gagal mematuhi atau bahkan melarang mereka memproses kartu pembayaran.
Kepatuhan privasi hanyalah permulaan. Meskipun mengikuti hukum dapat membantu menghindari hukuman, mungkin tidak cukup untuk sepenuhnya melindungi informasi identifikasi pribadi (PII) dan data sensitif lainnya dari peretas, penyalahgunaan, dan ancaman privasi lainnya.
Beberapa prinsip dan praktik umum yang digunakan organisasi untuk meningkatkan privasi data meliputi:
Untuk tata kelola data yang efektif, suatu organisasi perlu mengetahui jenis data yang dimilikinya, di mana data tersebut berada, dan bagaimana data tersebut digunakan.
Beberapa jenis data, seperti biometrik dan nomor jaminan sosial, memerlukan perlindungan yang lebih kuat daripada yang lain. Mengetahui bagaimana data bergerak melalui jaringan membantu melacak penggunaan, mendeteksi aktivitas yang mencurigakan, dan menempatkan langkah-langkah keamanan di tempat yang tepat.
Terakhir, visibilitas data penuh memudahkan untuk memenuhi permintaan subjek data untuk mengakses, memperbarui, atau menghapus informasi mereka. Jika organisasi tidak memiliki inventaris data yang lengkap, organisasi mungkin secara tidak sengaja meninggalkan beberapa catatan pengguna setelah permintaan penghapusan.
Peritel digital membuat katalog semua jenis data pelanggan yang berbeda yang dimilikinya, seperti nama, alamat email, dan informasi pembayaran yang disimpan. Ini memetakan bagaimana setiap jenis data berpindah antara sistem dan perangkat, siapa yang memiliki akses ke sana (termasuk karyawan dan pihak ketiga), dan bagaimana data tersebut digunakan. Terakhir, peritel mengklasifikasikan data berdasarkan tingkat sensitivitas dan menerapkan kontrol yang sesuai untuk setiap jenis. Perusahaan melakukan audit rutin untuk menjaga inventaris data tetap terkini.
Organisasi dapat membatasi risiko privasi dengan memberikan kontrol sebanyak mungkin kepada pengguna atas pengumpulan dan pemrosesan data. Jika bisnis selalu mendapatkan persetujuan pengguna sebelum melakukan apa pun dengan data mereka, sulit bagi perusahaan tersebut untuk melanggar privasi siapa pun.
Meskipun demikian, organisasi terkadang harus memproses data seseorang tanpa persetujuan mereka. Dalam hal ini, perusahaan harus memastikan bahwa perusahaan memiliki alasan hukum yang sah untuk melakukannya, seperti surat kabar yang memberitakan kejahatan yang ingin disembunyikan oleh para pelaku.
Situs media sosial membuat portal manajemen data layanan mandiri. Pengguna dapat mengunduh semua data yang mereka bagikan dengan situs, memperbarui atau menghapus data mereka, dan memutuskan bagaimana situs dapat memproses informasi mereka.
Mudah tergoda untuk melemparkan jaring yang luas, tetapi semakin banyak data pribadi yang dikumpulkan perusahaan, semakin besar ekspos pada risiko privasi. Sebaliknya, organisasi dapat mengadopsi prinsip pembatasan: mengidentifikasi tujuan spesifik untuk pengumpulan data dan mengumpulkan jumlah data minimum yang diperlukan untuk memenuhi tujuan tersebut.
Kebijakan retensi juga harus dibatasi. Organisasi harus membuang data segera setelah tujuan spesifiknya terpenuhi.
Badan kesehatan masyarakat sedang menyelidiki penyebaran penyakit di lingkungan tertentu. Agensi tidak mengumpulkan PII dari rumah tangga yang disurvei. Ini hanya mencatat apakah ada yang sakit. Ketika survei selesai dan tingkat infeksi ditentukan, agensi menghapus data.
Organisasi harus selalu memberikan informasi terbaru kepada pengguna tentang segala sesuatu yang mereka lakukan dengan data mereka, termasuk apa pun yang dilakukan oleh mitra pihak ketiga mereka.
Bank mengirimkan pemberitahuan privasi tahunan kepada semua pelanggannya. Pemberitahuan ini menguraikan semua data yang dikumpulkan bank dari pemegang rekening, bagaimana bank menggunakan data tersebut untuk hal-hal seperti kepatuhan terhadap peraturan dan keputusan kredit, dan berapa lama bank menyimpan data tersebut. Bank juga memberi tahu pemegang rekening tentang perubahan apa pun pada kebijakan privasinya segera setelah dibuat.
Langkah-langkah kontrol akses yang ketat dapat membantu mencegah akses dan penggunaan yang tidak sah. Hanya orang yang membutuhkan data untuk alasan yang sah yang harus memiliki akses ke sana. Organisasi harus menggunakan autentikasi multi-faktor (MFA) atau langkah-langkah kuat lainnya untuk memverifikasi identitas pengguna sebelum memberikan akses ke data. Solusi Manajemen Identitas dan Akses (IAM) dapat membantu menegakkan kebijakan kontrol akses terperinci di seluruh organisasi.
Perusahaan teknologi menggunakan kebijakan kontrol akses berbasis peran untuk menetapkan hak akses berdasarkan peran karyawan. Karyawan hanya dapat mengakses data yang mereka perlukan untuk melaksanakan tanggung jawab pekerjaan inti, dan mereka hanya dapat menggunakannya dengan cara yang telah disetujui. Misalnya, kepala SDM dapat melihat catatan karyawan, tetapi mereka tidak dapat melihat catatan pelanggan. Perwakilan layanan pelanggan dapat melihat akun pelanggan, tetapi mereka tidak dapat melihat data pembayaran yang disimpan pelanggan.
Organisasi harus menggunakan kombinasi alat dan taktik untuk melindungi data saat tidak aktif, dalam perjalanan, dan saat digunakan.
Penyedia layanan kesehatan mengenkripsi penyimpanan data pasien dan menggunakan sistem deteksi intrusi untuk memantau semua lalu lintas ke database. Ini menggunakan alat pencegahan kehilangan data (DLP) untuk melacak bagaimana data bergerak dan bagaimana penggunaannya. Jika mendeteksi aktivitas terlarang, seperti akun karyawan yang memindahkan data pasien ke perangkat yang tidak dikenal, DLP akan membunyikan alarm dan memutus koneksi.
Penilaian dampak privasi (PIA) menentukan seberapa besar risiko yang ditimbulkan oleh aktivitas tertentu terhadap privasi pengguna. PIA mengidentifikasi bagaimana pemrosesan data dapat membahayakan privasi pengguna dan cara mencegah atau mengurangi masalah privasi tersebut.
Perusahaan pemasaran selalu melakukan PIA sebelum menjalankan setiap proyek riset pasar baru. Perusahaan menggunakan kesempatan ini untuk menentukan aktivitas pemrosesan dengan jelas dan menutup celah keamanan data. Dengan cara ini, data hanya digunakan untuk tujuan tertentu dan dilindungi di setiap langkah. Jika perusahaan mengidentifikasi risiko serius yang tidak dapat dimitigasi secara wajar, perusahaan akan memperbaiki atau membatalkan proyek penelitian.
Privasi data secara desain dan default adalah filosofi bahwa privasi harus menjadi komponen inti dari semua hal yang dilakukan organisasi—setiap produk yang dibuat dan setiap proses yang diikuti. Pengaturan default untuk sistem apa pun harus yang paling ramah privasi.
Ketika pengguna mendaftar ke aplikasi kebugaran, pengaturan privasi aplikasi secara otomatis menjadi "jangan bagikan data saya dengan pihak ketiga". Pengguna harus mengubah pengaturan mereka secara manual untuk memungkinkan organisasi menjual data mereka.
Mematuhi undang-undang perlindungan data dan mengadopsi praktik privasi dapat membantu organisasi menghindari banyak risiko privasi terbesar. Namun, ada baiknya mensurvei beberapa penyebab paling umum dan faktor penyebab pelanggaran privasi sehingga perusahaan tahu apa yang harus diwaspadai.
Ketika organisasi tidak memiliki visibilitas lengkap dari jaringan mereka, pelanggaran privasi dapat berkembang di celah. Karyawan dapat memindahkan data sensitif ke aset IT bayangan yang tidak dilindungi. Mereka mungkin secara teratur menggunakan data pribadi tanpa izin subjek karena supervisor tidak memiliki pengawasan untuk menemukan dan memperbaiki perilaku tersebut. Penjahat siber dapat menyelinap di sekitar jaringan tanpa terdeteksi.
Seiring dengan semakin kompleksnya jaringan perusahaan—mencampur aset on premises, pekerja jarak jauh, dan layanan cloud—menjadi semakin sulit untuk melacak data di seluruh ekosistem TI. Organisasi dapat menggunakan alat seperti solusi manajemen permukaan serangan dan platform perlindungan data untuk membantu menyederhanakan proses dan mengamankan data di mana pun data berada.
Beberapa peraturan menetapkan aturan khusus untuk pemrosesan otomatis. Misalnya, GDPR memberi orang hak untuk menentang keputusan yang dibuat melalui pemrosesan data otomatis.
Munculnya kecerdasan buatan generatif dapat menimbulkan masalah privasi yang lebih rumit. Organisasi tidak selalu dapat mengontrol apa yang dilakukan platform ini dengan data yang mereka masukkan. Memasukkan data pelanggan ke platform seperti ChatGPT dapat membantu mengumpulkan insight audiens, tetapi AI dapat memasukkan data tersebut ke dalam model pelatihannya. Jika subjek data tidak menyetujui agar PII mereka digunakan untuk melatih AI, ini merupakan pelanggaran privasi.
Organisasi harus menjelaskan dengan jelas kepada pengguna bagaimana mereka memproses data mereka, termasuk pemrosesan AI apa pun, dan mendapatkan persetujuan subjek. Namun, bahkan organisasi mungkin tidak tahu semua yang dilakukan AI dengan datanya. Untuk alasan itu, bisnis harus mempertimbangkan untuk bekerja dengan aplikasi AI yang memungkinkan mereka mempertahankan kendali paling besar atas data mereka.
Akun yang dicuri adalah vektor utama untuk pelanggaran data, menurut laporan Biaya Pelanggaran Data IBM. Organisasi mempertaruhkan nasib ketika mereka memberikan hak istimewa kepada pengguna lebih dari yang mereka butuhkan. Semakin banyak izin akses yang dimiliki pengguna, semakin banyak kerusakan yang dapat dilakukan peretas dengan membajak akun mereka.
Organisasi harus mengikuti prinsip hak istimewa paling sedikit. Pengguna seharusnya hanya memiliki jumlah hak istimewa minimum yang mereka butuhkan untuk melakukan pekerjaan mereka.
Karyawan dapat secara tidak sengaja melanggar privasi pengguna jika mereka tidak mengetahui kebijakan organisasi dan persyaratan kepatuhan. Mereka juga dapat membahayakan perusahaan dengan gagal mempraktikkan kebiasaan privasi yang baik dalam kehidupan pribadi mereka.
Misalnya, jika karyawan berbagi secara berlebihan di akun media sosial pribadi mereka, penjahat siber dapat menggunakan informasi ini untuk membuat serangan phishing tombak dan serangan penyusupan email bisnis yang meyakinkan.
Berbagi data pengguna dengan pihak ketiga tidak secara otomatis merupakan pelanggaran privasi, tetapi dapat meningkatkan risiko. Semakin banyak orang yang memiliki akses ke data, semakin banyak pula peluang bagi peretas, ancaman orang dalam, atau bahkan kelalaian karyawan untuk menimbulkan masalah.
Selain itu, pihak ketiga yang tidak bertanggung jawab dapat menggunakan data perusahaan untuk tujuan mereka sendiri yang tidak sah, memproses data tanpa persetujuan subjek.
Organisasi harus memastikan bahwa semua pengaturan pembagian data diatur oleh kontrak yang mengikat secara hukum yang membuat semua pihak bertanggung jawab atas perlindungan dan penggunaan data pelanggan yang tepat.
PII merupakan target utama bagi para penjahat siber, yang dapat menggunakannya untuk melakukan pencurian identitas, mencuri uang, atau menjualnya di pasar gelap. Langkah-langkah keamanan data seperti enkripsi dan alat DLP sama pentingnya dengan menjaga privasi pengguna dan juga melindungi jaringan perusahaan.
Peraturan privasi semakin ketat di seluruh dunia, permukaan serangan rata-rata organisasi semakin meluas, dan kemajuan pesat dalam AI mengubah cara data digunakan dan dibagikan. Dalam lingkungan seperti ini, strategi privasi data organisasi dapat menjadi pembeda utama yang memperkuat postur keamanannya dan membedakannya dari pesaing.
Sebagai contoh, teknologi seperti enkripsi dan alat manajemen identitas dan akses (IAM). Solusi-solusi ini dapat membantu mengurangi dampak finansial akibat pelanggaran data yang berhasil, sehingga menghemat biaya organisasi lebih dari USD 572.000 menurut laporan Biaya Pelanggaran Data. Selain itu, praktik privasi data yang baik dapat menumbuhkan kepercayaan konsumen dan bahkan membangun loyalitas merek (tautan berada di luar ibm.com).
Karena perlindungan data menjadi semakin penting bagi keamanan dan kesuksesan bisnis, organisasi harus memperhitungkan prinsip-prinsip privasi data, peraturan, dan mitigasi risiko di antara prioritas utama mereka.
Jelajahi Guardium Data Protection