Keamanan Jaringan Kantor: Sepuluh Langkah Dasar

1. Ganti kata sandi bawaan semua perangkat

Router, switch, access point, perekam CCTV, printer jaringan, dan mesin absensi semuanya datang dengan kata sandi bawaan. Kata sandi itu sama untuk semua unit model yang sama, dan daftarnya tersedia bebas di internet.

Periksa satu per satu, jangan diasumsikan. Yang paling sering terlewat adalah printer jaringan dan perekam CCTV, karena keduanya jarang dianggap sebagai perangkat yang perlu diamankan.

Ini langkah pertama karena menutup risiko terbesar dengan usaha paling kecil.

2. Pisahkan WiFi tamu dari jaringan kantor

Kalau tamu dan karyawan memakai jaringan yang sama, perangkat tamu bisa menjangkau berkas bersama, printer, dan perangkat CCTV. Perangkat tamu adalah perangkat yang tidak Anda kendalikan sama sekali.

Pemisahan yang benar dibuat di tingkat jaringan, bukan sekadar kata sandi berbeda. Sebagian besar router modern menyediakan fitur jaringan tamu yang melakukan ini.

Ganti kata sandi WiFi tamu secara berkala. Kata sandi yang tidak pernah diganti akan menyebar jauh melebihi orang yang masih berkepentingan.

3. Tutup akun karyawan yang sudah keluar

Ini temuan yang hampir selalu muncul saat audit. Akun email, akun komputer, akun sistem, dan akses ke berkas bersama sering tetap aktif berbulan-bulan setelah orangnya keluar.

Yang perlu dibuat adalah prosedur, bukan sekadar ingatan. Setiap kali ada karyawan keluar, ada daftar yang dijalankan: akun mana saja yang ditutup, siapa yang menjalankannya, dan kapan.

Bandingkan daftar akun aktif dengan daftar karyawan dari bagian personalia setidaknya tiap kuartal.

4. Hentikan pemakaian akun admin bersama

Satu akun admin yang dipakai beberapa orang berarti tidak ada jejak siapa melakukan apa. Saat ada sesuatu yang perlu ditelusuri, tidak ada yang bisa ditelusuri.

Yang benar adalah tiap orang punya akun sendiri dengan hak sesuai perannya. Ini juga memudahkan saat ada yang keluar — cukup tutup akunnya, tanpa perlu mengganti kata sandi yang dipakai semua orang.

Untuk perangkat yang hanya mendukung satu akun admin, catat siapa saja yang tahu kata sandinya dan ganti setiap kali salah satu dari mereka keluar.

5. Batasi hak akses sesuai kebutuhan

Susunan yang paling cepat dipasang adalah satu folder bersama yang bisa diakses semua orang. Itu juga yang paling sering disesali.

Yang benar adalah hak akses mengikuti pembagian divisi, dengan hak baca dan tulis yang berbeda. Bagian keuangan tidak perlu bisa mengubah berkas produksi, dan sebaliknya.

Ini butuh pembicaraan dengan tiap bagian karena tidak bisa ditebak dari luar. Sekali disusun, pemeliharaannya ringan.

6. Perbarui perangkat lunak secara berkala

Pembaruan sistem operasi dan perangkat jaringan sering memperbaiki celah keamanan yang sudah diketahui umum. Perangkat yang tidak diperbarui rentan terhadap celah yang cara memanfaatkannya sudah tersedia bebas.

Yang paling penting diperbarui: router dan perangkat yang menghadap internet, karena itu yang paling terpapar. Lalu sistem operasi komputer, lalu perangkat lunak yang sering dipakai seperti peramban.

Untuk perangkat yang tidak bisa diperbarui lagi karena pabrikan sudah berhenti mendukungnya, pertimbangkan penggantian — terutama kalau perangkat itu menghadap internet.

7. Pastikan cadangan data benar-benar berjalan

Cadangan adalah pertahanan terakhir terhadap hampir semua jenis insiden, termasuk perangkat lunak jahat yang mengenkripsi data.

Yang perlu diperiksa bukan jadwalnya melainkan catatan hasilnya. Cadangan berhenti diam-diam karena penyimpanan penuh atau kata sandi berubah, dan tidak ada notifikasi karena tidak pernah dipasang.

Yang sama pentingnya: cadangan tidak boleh selalu tersambung sebagai drive jaringan. Perangkat lunak jahat yang mengenkripsi data akan mencari semua penyimpanan yang bisa dijangkau, termasuk cadangan.

8. Pisahkan perangkat yang tidak bisa diperbarui

Di banyak kantor ada perangkat yang menjalankan perangkat lunak lama dan tidak bisa diperbarui: komputer pengendali mesin, perangkat medis, atau sistem lama yang masih dipakai.

Perangkat seperti ini tidak bisa diamankan dengan pembaruan, jadi yang bisa dilakukan adalah membatasi apa yang bisa menjangkaunya. Tempatkan di jaringan terpisah dengan jalur terbatas ke jaringan utama.

Ini pekerjaan yang butuh perangkat jaringan yang mendukung pemisahan, tetapi banyak switch kelas usaha yang sudah dimiliki kantor sebenarnya mendukungnya tanpa perlu membeli apa pun.

9. Aktifkan pencatatan aktivitas

Pencatatan tidak mencegah apa pun, tetapi menentukan apakah Anda bisa mengetahui apa yang terjadi setelahnya.

Yang perlu dicatat minimal: siapa masuk ke sistem dan kapan, perubahan pada hak akses, dan percobaan masuk yang gagal. Yang terakhir sering paling berguna.

Catatan yang tidak pernah dilihat tetap berguna saat ada kejadian, tetapi jauh lebih berguna kalau ada yang memeriksanya berkala. Percobaan masuk gagal yang tiba-tiba banyak adalah tanda yang layak diperhatikan.

10. Beri tahu karyawan apa yang perlu mereka tahu

Sebagian besar insiden dimulai dari orang, bukan dari perangkat. Tetapi pelatihan keamanan yang panjang jarang diingat.

Yang lebih berguna adalah tiga hal sederhana yang diulang: jangan membuka lampiran dari pengirim yang tidak dikenal, jangan memberikan kata sandi kepada siapa pun termasuk yang mengaku dari IT, dan laporkan hal yang terasa janggal meski tidak yakin.

Yang terakhir paling penting dan paling sering terhambat. Karyawan yang takut disalahkan tidak akan melapor, dan keterlambatan pelaporan yang membuat insiden kecil jadi besar.

Yang perlu disiapkan sebelum insiden terjadi

Sepuluh langkah sebelumnya mengurangi kemungkinan. Bagian ini tentang apa yang menentukan seberapa parah akibatnya kalau tetap terjadi.

Siapkan daftar kontak darurat yang bisa diakses tanpa komputer. Kalau seluruh sistem tidak bisa diakses, daftar kontak yang tersimpan di server tidak bisa dibuka. Cetak dan tempel di tempat yang diketahui beberapa orang.

Tetapkan siapa yang berwenang memutuskan mematikan jaringan. Pada insiden yang menyebar, memutus sambungan lebih cepat jauh lebih baik daripada menunggu persetujuan. Tanpa kewenangan yang jelas, keputusan itu tertunda berjam-jam.

Pastikan ada satu salinan cadangan yang tidak tersambung ke jaringan mana pun. Ini pertahanan terakhir dan satu-satunya yang benar-benar bertahan terhadap perangkat lunak jahat yang mengenkripsi seluruh isi.

Latih pemulihan setidaknya setahun sekali. Bukan membaca prosedurnya, melainkan benar-benar memulihkan satu sistem dari cadangan dan mengukur berapa lama waktunya. Angka nyata dari latihan hampir selalu berbeda jauh dari perkiraan, dan lebih baik diketahui saat latihan.

Terakhir, sepakati bahwa melaporkan insiden tidak akan berujung sanksi bagi yang melapor. Keterlambatan pelaporan karena takut disalahkan adalah faktor yang paling sering mengubah insiden kecil jadi besar.