(0275) 2974 127
Jawabannya tidak sepenuhnya berada di tangan penyedia layanan cloud maupun pelanggan. Keduanya memiliki tanggung jawab keamanan yang berbeda sesuai dengan jenis layanan, konfigurasi, dan infrastruktur yang digunakan. Pembagian tanggung jawab inilah yang dikenal sebagai Shared Responsibility Model.
Memahami Shared Responsibility Model sangat penting untuk mencegah kesalahan konfigurasi, kebocoran data, akses ilegal, dan berbagai risiko keamanan lainnya. Dengan mengetahui batas tanggung jawab masing-masing pihak, perusahaan dapat menerapkan perlindungan yang tepat tanpa menganggap bahwa seluruh aspek keamanan sudah ditangani oleh penyedia cloud.
Shared Responsibility Model adalah model pembagian tanggung jawab keamanan antara penyedia layanan cloud (cloud service provider) dan pelanggan yang menggunakan layanan tersebut.
Dalam model ini, penyedia cloud bertanggung jawab melindungi infrastruktur yang mendukung layanan cloud, sedangkan pelanggan bertanggung jawab mengamankan data, identitas pengguna, aplikasi, dan komponen lain sesuai dengan jenis layanan yang digunakan.
Sebagai contoh, ketika perusahaan menyimpan data pelanggan di layanan cloud, penyedia cloud bertanggung jawab menjaga keamanan infrastruktur pusat data dan perangkat kerasnya. Sementara itu, perusahaan tetap harus memastikan bahwa data tersebut tidak dapat diakses oleh pihak yang tidak berwenang, izin pengguna telah diatur dengan benar, dan informasi sensitif mendapatkan perlindungan yang memadai.
Artinya, menggunakan layanan cloud tidak berarti seluruh tanggung jawab keamanan otomatis berpindah kepada penyedia layanan.
Pembagian tanggung jawab ini dapat berbeda antara satu layanan dan layanan lainnya. Pada layanan infrastruktur cloud, pelanggan biasanya memiliki kendali lebih besar terhadap sistem operasi dan konfigurasi server. Sebaliknya, pada layanan aplikasi siap pakai, penyedia layanan menangani lebih banyak komponen teknis.
Shared Responsibility Model membantu perusahaan memahami aspek keamanan yang menjadi tanggung jawab penyedia cloud dan aspek yang harus dikelola sendiri. Dengan memahami pembagian ini, perusahaan dapat mencegah kesalahan konfigurasi pada pengaturan akses, jaringan, penyimpanan, dan aplikasi yang berpotensi membuka celah keamanan. Pembagian tanggung jawab yang jelas juga membantu mengurangi risiko kebocoran data karena setiap pihak mengetahui perannya dalam melindungi, memantau, dan mengelola akses terhadap informasi.
Selain itu, Shared Responsibility Model memperjelas koordinasi antara perusahaan dan penyedia cloud ketika terjadi gangguan atau insiden keamanan. Model ini juga membantu perusahaan mengidentifikasi kontrol keamanan yang diperlukan untuk memenuhi regulasi perlindungan data dan persyaratan industri. Dengan mempertimbangkan jenis layanan cloud, sensitivitas data, serta kemampuan tim internal, perusahaan dapat mengelola risiko secara lebih efektif.
Tanpa pemahaman yang tepat, perusahaan dapat keliru menganggap bahwa penyedia cloud bertanggung jawab atas seluruh aspek keamanan atau sebaliknya, merasa harus mengelola sendiri semua komponen infrastruktur. Shared Responsibility Model membantu menghindari kedua kesalahpahaman tersebut sehingga perlindungan cloud dapat diterapkan secara lebih terarah dan menyeluruh.
Shared Responsibility Model membagi tanggung jawab keamanan menjadi dua bagian, yaitu security of the cloud dan security in the cloud.
1. Security of the Cloud
Security of the cloud merupakan tanggung jawab penyedia cloud untuk melindungi infrastruktur yang menjalankan layanan, termasuk pusat data, server fisik, jaringan, dan sistem virtualisasi. Penyedia juga memastikan infrastruktur tersebut dipelihara dan diamankan sesuai layanan yang ditawarkan.
2. Security in the Cloud
Security in the cloud merupakan tanggung jawab pelanggan untuk melindungi data, akun, aplikasi, dan konfigurasi yang digunakan. Tanggung jawab ini mencakup pengaturan hak akses, pembaruan sistem yang dikelola sendiri, serta memastikan data sensitif tidak dapat diakses oleh pihak yang tidak berwenang.
Perbedaan kedua konsep tersebut dapat dirangkum sebagai berikut.
| Aspek | Security of the Cloud | Security in the Cloud |
|---|---|---|
| Pihak utama | Penyedia cloud | Pelanggan |
| Fokus keamanan | Infrastruktur penyedia | Data dan sumber daya yang digunakan pelanggan |
| Contoh komponen | Pusat data, server fisik, jaringan fisik, virtualisasi | Akun, izin akses, data, aplikasi, konfigurasi |
| Pengelolaan | Operasional infrastruktur cloud | Pengaturan dan penggunaan layanan cloud |
| Tujuan | Menjaga keamanan infrastruktur cloud | Menjaga keamanan data dan beban kerja pelanggan |
Pembagian tersebut merupakan gambaran umum. Tanggung jawab aktual harus diperiksa berdasarkan layanan yang digunakan karena sebagian kontrol dapat dibagi atau dialihkan kepada penyedia layanan terkelola.
Pembagian tanggung jawab keamanan bergantung pada jenis layanan cloud yang digunakan. Secara umum, semakin banyak komponen yang dikelola penyedia, semakin sedikit tanggung jawab teknis pelanggan. Tiga model layanan cloud yang umum digunakan adalah IaaS, PaaS, dan SaaS.
1. Infrastructure as a Service (IaaS)
Infrastructure as a Service (IaaS) menyediakan sumber daya seperti server virtual, penyimpanan, dan jaringan. Penyedia bertanggung jawab atas infrastruktur fisik dan virtualisasi, sedangkan pelanggan mengelola sistem operasi, aplikasi, konfigurasi keamanan, dan data. Model ini cocok bagi perusahaan yang membutuhkan fleksibilitas dan kendali lebih besar atas infrastrukturnya.
2. Platform as a Service (PaaS)
Platform as a Service (PaaS) menyediakan platform untuk mengembangkan dan menjalankan aplikasi tanpa harus mengelola seluruh infrastruktur server. Penyedia menangani infrastruktur dan platform dasar, sedangkan pelanggan bertanggung jawab atas aplikasi, data, dan pengaturan akses. Model ini cocok bagi tim pengembang yang ingin berfokus pada pembuatan aplikasi.
3. Software as a Service (SaaS)
Software as a Service (SaaS) menyediakan aplikasi siap pakai melalui internet. Penyedia mengelola infrastruktur dan pemeliharaan aplikasi, sedangkan pelanggan tetap bertanggung jawab atas akun pengguna, izin akses, dan perlindungan data. Contohnya adalah layanan email bisnis berbasis cloud yang dapat digunakan tanpa mengelola server sendiri.
Keamanan cloud mencakup berbagai aspek, mulai dari perlindungan data hingga pemantauan sistem. Setiap komponen perlu dikelola sesuai pembagian tanggung jawab antara penyedia cloud dan pelanggan.
Untuk memahami penerapan Shared Responsibility Model, perhatikan beberapa skenario berikut.
Sebuah perusahaan menjalankan website pada server virtual di cloud. Penyerang berhasil mengeksploitasi plugin yang tidak diperbarui dan memperoleh akses ke sistem.
Dalam situasi ini, penyedia cloud bertanggung jawab menjaga keamanan infrastruktur fisik dan virtualisasi yang dikelolanya. Sementara itu, perusahaan bertanggung jawab memelihara sistem operasi, memperbarui plugin, mengamankan konfigurasi server, serta membatasi akses administrator.
Jika insiden berasal dari kerentanan plugin yang dikelola pelanggan, penyebabnya berada pada komponen yang umumnya menjadi tanggung jawab pelanggan, bukan otomatis kesalahan penyedia cloud.
Sebuah perusahaan menyimpan dokumen pelanggan pada layanan penyimpanan cloud. Karena pengaturan akses yang keliru, dokumen tersebut dapat dilihat oleh siapa saja yang memiliki tautan publik.
Penyedia cloud mungkin telah menyediakan mekanisme kontrol akses dan fitur untuk membatasi akses publik. Namun, pelanggan tetap harus mengatur izin penyimpanan dengan benar dan memeriksa siapa saja yang dapat mengakses dokumen.
Contoh ini menunjukkan bahwa infrastruktur cloud dapat berfungsi normal, tetapi data tetap berisiko akibat konfigurasi yang tidak tepat.
Seorang penyerang memperoleh kredensial administrator perusahaan melalui phishing. Setelah berhasil masuk, penyerang membuat akun baru dan mengakses data penting.
Penyedia cloud bertanggung jawab menjaga keamanan infrastruktur autentikasi dan layanan sesuai lingkupnya. Pelanggan bertanggung jawab melindungi kredensial pengguna, menerapkan MFA, membatasi hak administrator, serta memantau aktivitas akun.
Penerapan autentikasi yang kuat dan pembatasan hak akses dapat mengurangi risiko pengambilalihan akun serta membatasi dampak jika kredensial berhasil dicuri.
Sebuah aplikasi bisnis tidak dapat diakses karena gangguan pada infrastruktur penyedia cloud.
Penyedia bertanggung jawab menangani komponen infrastruktur yang mengalami gangguan sesuai layanan dan ketentuan yang berlaku. Namun, pelanggan tetap perlu menyiapkan strategi pemulihan, backup, serta prosedur kesinambungan bisnis yang sesuai dengan kebutuhan operasionalnya.
Tanggung jawab tersebut tidak berarti pelanggan selalu dapat mencegah gangguan penyedia, tetapi pelanggan dapat mempersiapkan sistem agar dampak gangguan dapat dikurangi.
Kesalahan memahami pembagian tanggung jawab dapat membuat perusahaan mengabaikan kontrol keamanan yang seharusnya diterapkan. Beberapa risiko yang dapat muncul meliputi:
Kebocoran data → pengaturan penyimpanan atau izin akses yang salah menyebabkan informasi sensitif dapat diakses pihak yang tidak berwenang.
Serangan siber → sistem operasi, aplikasi, atau dependensi yang tidak diperbarui membuka peluang eksploitasi kerentanan.
Pengambilalihan akun → kredensial yang lemah atau tidak adanya MFA mempermudah penyerang memperoleh akses.
Kehilangan data → pencadangan yang tidak memadai atau pemulihan yang belum diuji dapat memperparah dampak insiden.
Gangguan operasional → ketidakjelasan tanggung jawab memperlambat koordinasi ketika terjadi insiden atau kegagalan layanan.
Masalah kepatuhan → perusahaan dapat gagal memenuhi kewajiban perlindungan data karena menganggap penyedia cloud menanggung seluruh risiko.
Perlu diingat bahwa menggunakan penyedia cloud bereputasi baik dapat membantu mengurangi sebagian risiko infrastruktur, tetapi tidak otomatis menjamin aplikasi dan data pelanggan aman. Keamanan tetap bergantung pada konfigurasi, proses operasional, dan pengelolaan risiko kedua pihak.
Agar pembagian tanggung jawab benar-benar membantu meningkatkan keamanan, perusahaan perlu menerapkannya dalam proses pengelolaan cloud sehari-hari.
1. Identifikasi Seluruh Layanan Cloud yang Digunakan
Mulailah dengan mendata seluruh layanan cloud yang digunakan, termasuk server virtual, penyimpanan, database, platform aplikasi, dan aplikasi SaaS.
Untuk setiap layanan, identifikasi data yang disimpan, tingkat sensitivitasnya, pihak yang memiliki akses, dan komponen yang dikelola penyedia. Inventarisasi ini membantu perusahaan memahami cakupan aset yang perlu dilindungi.
2. Periksa Dokumentasi Tanggung Jawab Penyedia
Setiap penyedia cloud dapat menerapkan pembagian tanggung jawab yang berbeda. Oleh sebab itu, jangan hanya mengandalkan pemahaman umum mengenai IaaS, PaaS, atau SaaS.
Pelajari dokumentasi resmi, ketentuan layanan, fitur keamanan, dan batas dukungan yang ditawarkan. Pastikan juga perusahaan memahami kewajiban masing-masing pihak dalam pemantauan, pencadangan, pemulihan, dan penanganan insiden.
3. Buat Matriks Tanggung Jawab Keamanan
Matriks tanggung jawab membantu perusahaan mendokumentasikan siapa yang mengelola setiap kontrol keamanan. Matriks dapat disusun berdasarkan komponen teknis, tim internal, dan penyedia cloud.
Contoh sederhana:
| Aktivitas keamanan | Penyedia cloud | Pelanggan |
|---|---|---|
| Keamanan fisik pusat data | Bertanggung jawab | Memverifikasi jaminan keamanan penyedia sesuai kebutuhan |
| Pemeliharaan infrastruktur fisik | Bertanggung jawab | Memantau informasi layanan yang relevan |
| Pengelolaan akun pengguna | Menyediakan kemampuan terkait sesuai layanan | Bertanggung jawab mengelola akun dan izin |
| Pembaruan sistem operasi virtual | Bergantung pada layanan terkelola | Umumnya bertanggung jawab pada IaaS |
| Perlindungan kode aplikasi sendiri | Menyediakan lingkungan dan fitur pendukung sesuai layanan | Bertanggung jawab atas kode yang dikembangkan |
| Klasifikasi dan penggunaan data | Menyediakan fitur perlindungan sesuai layanan | Bertanggung jawab menentukan klasifikasi dan penggunaan yang tepat |
| Pencadangan dan pemulihan | Menyediakan fitur jika termasuk layanan | Menentukan kebutuhan backup dan menguji pemulihan |
| Respons insiden | Menangani aspek yang berada dalam lingkupnya | Menangani aspek yang berada dalam kendalinya dan berkoordinasi dengan penyedia |
Matriks tersebut merupakan contoh umum dan perlu disesuaikan dengan kontrak, layanan, serta arsitektur cloud yang digunakan.
4. Terapkan Kontrol Akses yang Ketat
Gunakan prinsip hak akses minimum untuk seluruh akun dan layanan. Hindari penggunaan akun administrator bersama, batasi izin istimewa, dan aktifkan MFA jika tersedia.
Perusahaan juga perlu meninjau izin secara berkala agar perubahan peran karyawan tidak meninggalkan akses yang sudah tidak diperlukan.
5. Aktifkan Fitur Keamanan yang Relevan
Manfaatkan fitur keamanan yang disediakan penyedia cloud, seperti enkripsi, firewall, pencatatan aktivitas, deteksi ancaman, dan peringatan konfigurasi berisiko.
Namun, pastikan setiap fitur telah diaktifkan dan dikonfigurasi sesuai kebutuhan. Ketersediaan fitur tidak selalu berarti fitur tersebut aktif secara otomatis atau mencakup seluruh sumber daya yang digunakan.
6. Susun Prosedur Backup dan Pemulihan
Tentukan data yang perlu dicadangkan, frekuensi backup, masa penyimpanan, serta target waktu pemulihan. Jika memungkinkan, gunakan salinan cadangan yang terlindungi dari perubahan atau penghapusan oleh akun yang telah disusupi.
Lakukan simulasi pemulihan untuk memastikan prosedur dapat dijalankan ketika terjadi gangguan.
7. Lakukan Audit dan Evaluasi Berkala
Periksa konfigurasi cloud, hak akses, pembaruan keamanan, aktivitas pengguna, dan efektivitas kontrol secara rutin.
Evaluasi juga perubahan layanan yang digunakan karena migrasi dari IaaS ke PaaS, penambahan layanan SaaS, atau penggunaan fitur baru dapat mengubah pembagian tanggung jawab keamanan.
8. Siapkan Prosedur Penanganan Insiden
Dokumentasikan langkah yang harus dilakukan ketika ditemukan kebocoran data, akses ilegal, atau gangguan layanan.
Tentukan pihak yang harus dihubungi, bukti yang perlu dikumpulkan, cara membatasi dampak, dan mekanisme pemulihan. Perusahaan juga perlu memahami prosedur pelaporan insiden dari penyedia serta kewajiban pemberitahuan yang berlaku.
Shared Responsibility Model juga berhubungan erat dengan tata kelola keamanan dan kepatuhan. Meskipun penyedia cloud memiliki sertifikasi atau memenuhi standar tertentu, hal tersebut tidak otomatis membuat seluruh penggunaan layanan oleh pelanggan menjadi patuh.
Misalnya, penyedia mungkin memiliki kontrol keamanan untuk melindungi pusat data dan infrastruktur. Namun, pelanggan masih harus mengelola akses, menentukan kebijakan retensi data, mengatur pemrosesan informasi pribadi, dan memenuhi kewajiban yang berlaku bagi organisasinya.
Karena itu, perusahaan sebaiknya memperhatikan beberapa hal berikut:
Persyaratan perlindungan data
identifikasi kewajiban yang berlaku terhadap data pelanggan dan informasi pribadi.
Audit keamanan
periksa dokumentasi kepatuhan penyedia dan lakukan evaluasi terhadap kontrol internal.
Pengelolaan risiko pihak ketiga
pahami ketergantungan pada penyedia cloud, layanan tambahan, dan pihak lain yang terlibat.
Kontrak dan tingkat layanan
tinjau ketentuan mengenai keamanan, ketersediaan, pelaporan insiden, dan pemulihan layanan.
Dokumentasi kontrol
simpan bukti konfigurasi, kebijakan, hasil pengujian, dan evaluasi keamanan yang diperlukan.
Dengan pendekatan tersebut, perusahaan dapat memanfaatkan layanan cloud sambil tetap mengelola kewajiban keamanan dan kepatuhan secara bertanggung jawab.
Shared Responsibility Model adalah prinsip penting dalam keamanan cloud yang menjelaskan pembagian tanggung jawab antara penyedia layanan dan pelanggan. Penyedia umumnya bertanggung jawab atas keamanan infrastruktur cloud, sedangkan pelanggan bertanggung jawab atas data, identitas, konfigurasi, serta komponen lain sesuai dengan jenis layanan yang digunakan.
Pada IaaS, pelanggan biasanya mengelola lebih banyak komponen teknis. Pada PaaS, sebagian tanggung jawab infrastruktur dialihkan kepada penyedia. Sementara itu, SaaS memungkinkan pelanggan menyerahkan lebih banyak pengelolaan teknis, tetapi tanggung jawab terhadap penggunaan data dan pengaturan akses tetap harus diperhatikan.
Oleh karena itu, perusahaan perlu memahami batas tanggung jawab setiap layanan, menerapkan kontrol keamanan yang tepat, melakukan evaluasi secara berkala, dan menyiapkan prosedur penanganan insiden. Keamanan cloud yang efektif bukan hanya bergantung pada penyedia layanan, tetapi juga pada cara pelanggan mengelola dan melindungi sumber daya yang digunakan.
Untuk memahami lebih banyak tentang website, hosting, cloud, cybersecurity, dan perkembangan teknologi digital, simak berbagai artikel informatif lainnya di Blog Hosteko.
Database relasional merupakan salah satu jenis database yang banyak digunakan untuk menyimpan, mengelola, dan menghubungkan…
Dalam dunia bisnis, istilah Customer Experience dan Customer Service sering digunakan secara bersamaan karena keduanya…
Nomor HP kini tidak hanya digunakan untuk menelepon atau mengirim pesan, tetapi juga menjadi bagian…
Dalam dunia bisnis modern, keberhasilan perusahaan tidak hanya ditentukan oleh kualitas produk atau harga yang…
Memilih layanan hosting merupakan salah satu langkah penting ketika membangun website. Hosting berperan sebagai tempat…
Dalam pengembangan software, arsitektur aplikasi berpengaruh terhadap cara sistem dibangun, dikembangkan, diuji, dan dipelihara. Dua…