Bagaimana DSPM Mendeteksi dan Mengurangi Risiko Kebocoran Data Akibat Ancaman dari Dalam di Lingkungan Awan

Paparan data akibat ancaman dari dalam di lingkungan cloud menandai pergeseran mendasar dari masalah keamanan tradisional yang berfokus pada pertahanan perbatasan. Berbeda dengan pelanggaran yang dipicu oleh malware, paparan data akibat ancaman dari dalam sering kali bermula dari pola akses yang sah, yang secara bertahap berkembang menjadi kehilangan data melalui pembagian, pengunduhan, dan penyimpangan izin di berbagai aplikasi SaaS, penyimpanan cloud, dan platform kolaborasi.

Seperti Apa Bentuk Kebocoran Data Akibat Ancaman dari Dalam di Lingkungan Cloud

Ancaman internal modern mencakup tiga kategori pelaku risiko: karyawan berniat jahat yang berusaha mencuri data, pengguna yang lalai sehingga secara tidak sengaja membocorkan informasi, serta akun yang telah diretas dan dimanfaatkan oleh penyerang eksternal.

Menurut Panduan Mitigasi Ancaman dari Dalam yang diterbitkan oleh CISA, dampak negatif dari ancaman dari dalam sering kali disebabkan oleh penyalahgunaan akses yang sah, bukan oleh intrusi sistem yang tidak sah.

Karyawan secara rutin menyinkronkan berkas-berkas sensitif ke perangkat pribadi mereka, berbagi dokumen dengan mitra kerja eksternal melalui tautan yang dihasilkan oleh peramban, mengunduh laporan untuk analisis secara offline, serta menyalin kumpulan data ke berbagai platform analitik. Setiap tindakan tersebut merupakan bagian dari produktivitas bisnis yang wajar, namun secara keseluruhan, hal-hal tersebut menciptakan area serangan yang semakin meluas, yang sulit dipantau oleh sistem pengamanan tradisional.

Analisis yang dilakukan oleh Cloud Security Alliance mengenai bagaimana data sensitif di cloud dapat terekspos mengidentifikasi beberapa vektor eksposur utama: replikasi data antar layanan cloud, konfigurasi berbagi yang tidak tepat, perpindahan data antar aplikasi yang tidak diizinkan, serta kesalahan konfigurasi IAM yang memberikan akses berlebihan.

Berbeda dengan lingkungan on-premises di mana data biasanya disimpan di segmen jaringan yang terkendali, data cloud kini tersebar di berbagai aplikasi SaaS, platform kolaborasi, dan mekanisme berbagi eksternal yang melewati batas-batas keamanan tradisional.

Bayangkan seorang karyawan bagian keuangan yang mengunduh data akun pelanggan dari platform analitik berbasis cloud untuk menyusun laporan triwulanan. Karyawan tersebut mengunggah berkas tersebut ke penyimpanan cloud pribadinya untuk dikerjakan pada akhir pekan, membagikan data tersebut kepada mitra konsultan eksternal melalui tautan browser, dan membiarkan repositori aslinya tetap dapat diakses oleh kelompok proyek yang luas setelah proyek tersebut berakhir. Tidak ada malware yang terlibat. Tidak ada aturan firewall yang terpicu. Namun, data sensitif telah keluar dari kendali yang dimaksudkan.

Menurut Laporan Investigasi Pelanggaran Data (DBIR) Verizon 2026, sebagian besar pelanggaran melibatkan faktor manusia. Berdasarkan analisis terhadap lebih dari 22.000 insiden keamanan dan 12.195 pelanggaran yang terkonfirmasi, laporan tersebut mengidentifikasi perilaku manusia, manajemen identitas dan akses yang lemah, serta paparan ekosistem pihak ketiga sebagai pemicu utama pelanggaran. Hal ini semakin memperkuat kenyataan bahwa akses yang sah dan berizin sering kali menjadi jalur utama hilangnya data sensitif.

Mengapa Sistem Pengendalian Tradisional Tidak Mampu Mendeteksi Risiko dari Pihak Dalam di Era Komputasi Awan

Alat analisis perilaku pengguna dan pemantauan titik akhir dirancang untuk lingkungan yang berpusat pada jaringan, di mana pergerakan data terjadi melalui saluran yang dapat diprediksi. Sistem-sistem ini unggul dalam mendeteksi anomali perilaku, namun tidak memiliki konteks data yang diperlukan untukmenilaitingkat keparahan risiko paparan di lingkungan cloud.

Sistem UEBA dapat mendeteksi ketika seorang pengguna mengunduh file dalam volume yang tidak biasa besar atau mengakses aplikasi di luar pola normal, tetapi sistem tersebut tidak dapat menentukan apakah file-file tersebut berisi kode sumber, catatan keuangan, informasi pribadi pelanggan (PII), atau data operasional rutin. Tanpa memahami tingkat sensitivitas data, tim keamanan dihadapkan pada pilihan yang mustahil: menyelidiki setiap anomali dan kewalahan oleh hasil positif palsu, atau menaikkan ambang batas peringatan dan berisiko melewatkan ancaman yang sebenarnya.

Aplikasi SaaS berbasis browser, sinkronisasi langsung ke cloud, dan berbagi melalui tautan web dapat melewati kontrol titik akhir tradisional. Seorang karyawan dapat berbagi data sensitif dengan mitra kerja eksternal sepenuhnya melalui sesi browser tanpa memicu sistem deteksi berbasis titik akhir. Pola kolaborasi cloud modern ini terjadi melalui saluran yang tidak dapat dipantau sepenuhnya oleh agen titik akhir.

DLP tradisional unggul dalam memeriksa lampiran email, transfer melalui USB, dan lalu lintas jaringan, namun kesulitan dalam menilai tingkat paparan repositori penyimpanan awan, izin platform kolaborasi, atau konfigurasi berbagi eksternal. Sistem-sistem ini sering kali mendeteksi perpindahan data setelah kondisi paparan sudah terjadi, alih-alih mengidentifikasi repositori yang terlalu terbuka sebelum upaya eksfiltrasi terjadi.

Sistem IAM melacak siapa yang mengakses aplikasi cloud mana dan kapan, tetapi data telemetri ini hanya menjadi berguna untuk mendeteksi ancaman dari dalam jika digabungkan dengan klasifikasi data dan konteks paparan.

Sinyal Data yang Mengungkap Risiko Pihak Dalam Sebelum Terjadinya Pencurian Data

Deteksi ancaman internal yang efektif di lingkungan cloud memerlukan identifikasi kondisi kerentanan sebelum data keluar dari kendali organisasi. DSPM mengidentifikasi beberapa kategori sinyal risiko pra-kerugian yang biasanya terlewatkan oleh alat pemantauan konvensional.

DSPM secara terus-menerus memindai repositori-repositori ini untuk mengidentifikasi data sensitif yang mungkin telah diunggah, disinkronkan, atau direplikasi tanpa sepengetahuan tim keamanan. Platform cloud dan alur kerja kolaborasi dapat menghasilkan izin berbagi yang luas atau yang diwariskan, yang memperluas akses melampaui batas yang dimaksudkan oleh tim.

DSPM mengidentifikasi repositori yang berisi data sensitif yang dapat diakses oleh kelompok pengguna yang besar, mitra eksternal, atau tautan publik yang tetap aktif melampaui batas waktu proyek. Ketika diintegrasikan dengan DLP, CASB, SSE, atau analitik perilaku, DSPM membantu mengidentifikasi skenario berisiko tinggi seperti pengunduhan berkas sensitif, penerusan ke email pribadi, atau sinkronisasi ke perangkat yang tidak dikelola, dengan menambahkan konteks sensitivitas data dan paparan data.

DSPM mengidentifikasi repositori bayangan dan penyimpangan konfigurasi ini sebelum keduanya menjadi vektor kehilangan data yang aktif.

Kerangka kerja MITRE ATT&CK mendokumentasikan cara para penyerang dan pihak internal yang disusupi mencuri data melalui layanan penyimpanan awan dan aplikasi web yang sah. Memahami pola serangan ini membantu tim keamanan mengenali kapan pola penggunaan awan yang normal dapat menandakan adanya persiapan untuk pencurian data.

Mengapa DSPM Menjadi Landasan Penting dalam Deteksi Ancaman dari Dalam di Lingkungan Awan

DSPM menangani deteksi ancaman dari dalam dengan menyediakan konteks data yang dibutuhkan oleh kontrol keamanan lainnya agar dapat berfungsi secara efektif di lingkungan cloud. Alih-alih menggantikan analisis perilaku atau pemantauan akses, DSPM berfungsi sebagai lapisan dasar.

Panduan Pasar Gartner untuk Manajemen Postur Keamanan Data(DSPM), 2025, menekankan bahwa nilai inti DSPM terletak pada kemampuan untuk mengidentifikasi dan mengklasifikasikan data terstruktur dan tidak terstruktur, memberikan gambaran yang jelas mengenai aset data, serta membantu mengurangi risiko yang berkaitan dengan privasi, keamanan, dan kecerdasan buatan (AI).

DSPM membantu mengidentifikasi kombinasi berisiko, seperti data yang sangat sensitif yang dipadukan dengan izin akses luas dan pembagian data ke pihak eksternal, terutama ketika diintegrasikan dengan data telemetri perangkat dan akses dari SSE, CASB, atau kontrol identitas.

Sistem IAM tradisional melacak hak akses, namun DSPM mengaitkan izin-izin tersebut dengan tingkat sensitivitas data yang sebenarnya untuk mengidentifikasi risiko eskalasi hak akses, akun tidak aktif yang masih memiliki akses ke data sensitif, serta mitra eksternal yang tetap memiliki akses melampaui batas waktu proyek. DSPM secara terus-menerus memantau perubahan-perubahan ini untuk mendeteksi ketika aktivitas operasional rutin secara tidak sengaja menciptakan vektor kerentanan baru.

DSPM dapat mengirimkan informasi repositori berisiko tinggi ke data loss prevention , memberikan konteks data kepada platform UEBA, serta menyediakan metrik paparan kepada sistem SIEM. Korelasi itulah yang mengubah aktivitas mentah menjadi intelijen ancaman internal yang dapat ditindaklanjuti.

Cara Menentukan Prioritas Investigasi Ancaman dari Dalam Berdasarkan Risiko Bisnis

Tidak semua insiden di lingkungan cloud memerlukan respons yang sama. Tim keamanan dapat mengurangi gangguan dan meningkatkan kualitas respons dengan mengklasifikasikan insiden berdasarkan dampaknya terhadap bisnis, alih-alih memperlakukan setiap kejadian sebagai potensi pelanggaran keamanan.

Pertimbangkan terlebih dahulu tingkat sensitivitas data yang bersangkutan. Catatan pelanggan, data penggajian, kode sumber, kekayaan intelektual, dan konten yang diatur oleh peraturan harus menjadi prioritas utama. Klasifikasi data sangat penting karena pola akses yang sekilas tampak tidak berbahaya bisa menjadi jauh lebih serius jika melibatkan informasi yang sangat sensitif.

Selanjutnya, evaluasi aksesibilitas. Repositori yang terbuka bagi kelompok internal yang luas, mitra eksternal, atau tautan publik memiliki risiko yang jauh lebih tinggi dibandingkan folder dengan cakupan yang ketat dan hak akses terbatas. Tingkat keparahan paparan risiko meningkat jika akses tetap berlaku setelah proyek berakhir, ketika berkas disalin ke lokasi yang tidak terkelola, atau ketika izin akses menyimpang dari tujuan bisnis semula.

Selanjutnya, pertimbangkan konteks pengguna dan perangkat. Akses dari perangkat yang tidak dikelola, lokasi yang tidak biasa, atau sesi peramban yang tidak standar mungkin tidak menunjukkan adanya niat jahat, tetapi hal tersebut dapat meningkatkan kemungkinan bahwa data sensitif akan disalin, dibagikan, atau disimpan di luar kendali yang telah disetujui.

Waktu dan pola perilaku dasar juga penting. Unduhan berukuran besar dari ruang kerja bidang keuangan selama proses penutupan kuartal mungkin merupakan hal yang wajar. Namun, tindakan yang sama yang dilakukan oleh seorang karyawan yang akan keluar dari organisasi, mengakses repositori untuk pertama kalinya, atau menggunakan perangkat yang tidak dikenalnya, perlu diteliti lebih lanjut.

Hasilnya adalah model triase yang memusatkan perhatian pada kombinasi antara sensitivitas data, status paparan, dan perilaku, alih-alih hanya pada satu indikator saja secara terpisah.

Arsitektur Modern untuk Deteksi Paparan Data Ancaman Internal di Awan

Deteksi ancaman internal yang efektif di lingkungan cloud memerlukan visibilitas terpadu di seluruh repositori data, sistem kontrol akses, dan saluran aktivitas pengguna, alih-alih hanya mengandalkan alat keamanan yang terpisah-pisah. Data plane menjadi landasannya.

DSPM mendeteksi dan mengklasifikasikan data sensitif di lingkungan cloud dan SaaS. Sistem ini mengidentifikasi lokasi penyimpanan data, cara penandaan data, serta repositori mana saja yang terlalu terbuka. Visibilitas tersebut menjadi lapisan konteks bagi semua hal lainnya.

Rencana akses memberikan konteks yang sangat penting. Sistem IAM, izin kolaborasi, dan pengaturan berbagi eksternal menunjukkan siapa saja yang dapat mengakses data sensitif serta dalam kondisi apa. Jika digabungkan dengan klasifikasi data, informasi ini mengungkap hak akses mana yang menimbulkan risiko nyata dan mana yang hanya bersifat teoritis.

Kontrol yang terkait dengan SSE dapat membantu menerapkan kebijakan akses dan berbagi yang lebih konsisten di seluruh saluran web dan cloud ketika dipadukan dengan masukan konteks data dari DSPM. Cloud Access Security Broker memberikan visibilitas terperinci mengenai penggunaan aplikasi cloud sekaligus memungkinkan penerapan kebijakan yang terperinci berdasarkan sensitivitas data dan konteks akses. Secure Web Gateway dapat mencegah pengunggahan data sensitif ke layanan cloud yang tidak disetujui, sementara kemampuan DLP yang terintegrasi dapat memeriksa konten di seluruh email, platform kolaborasi, dan transfer penyimpanan cloud.

Pemantauan berkelanjutan memastikan bahwa kondisi paparan dapat terdeteksi seiring dengan perubahan konfigurasi cloud, pembuatan tautan kolaborasi baru, atau perubahan peran pengguna dari waktu ke waktu.

Kesalahan Umum yang Dilakukan Perusahaan Saat Menangani Kebocoran Data oleh Pihak Dalam

Salah satu kesalahan yang paling umum adalah menganggap setiap kejadian akses yang tidak biasa sebagai ancaman yang sudah pasti. Pendekatan tersebut menyebabkan kelelahan akibat peringatan berlebihan dan menyamarkan sejumlah kecil insiden yang benar-benar penting. Strategi yang lebih baik adalah menggabungkan analisis perilaku dengan tingkat sensitivitas data dan status paparan.

Kesalahan lainnya adalah hanya mengandalkan log identitas. Memahami siapa saja yang mengakses suatu sistem memang berguna, tetapi hal itu tidak menjelaskan apakah data yang terlibat bersifat sensitif, dibagikan ke pihak luar, atau disimpan di repositori yang terlalu terbuka.

Tim-tim tersebut juga cenderung meremehkan jumlah akses berbasis browser dan perangkat yang tidak dikelola. Kolaborasi berbasis cloud sering kali terjadi di luar jangkauan kontrol titik akhir (endpoint) yang sudah ada, sehingga program keamanan yang hanya berfokus pada laptop yang dikelola akan melewatkan sebagian besar jalur kerentanan.

Masalah terkait lainnya adalah penyebaran alat yang berlebihan. Organisasi sering kali menerapkan alat-alat terpisah untuk DLP, UEBA, IAM, CASB, dan SSE tanpa mengintegrasikannya ke dalam satu model data bersama. Akibatnya, visibilitas menjadi terfragmentasi dan terjadi duplikasi pekerjaan.

Penelitian Ponemon Institute mengenai risiko internal menekankan bahwa karyawan yang ceroboh dan lalai merupakan ancaman keamanan yang signifikan dan merugikan, setara dengan pelaku yang secara sengaja melakukan tindakan jahat. Program penanggulangan ancaman internal yang komprehensif harus menangani semua kategori risiko internal, bukan hanya berfokus pada pencurian data yang disengaja.

Penerapan kebijakan yang terlalu ketat dan menghambat kolaborasi yang sah dapat mendorong adopsi TI bayangan serta menciptakan vektor kerentanan baru.

Hal-hal yang Perlu Diperhatikan dalam Memilih Solusi untuk Deteksi Kebocoran Data Akibat Ancaman dari Dalam

Pendekatan yang efektif dimulai dengan proses penelusuran. Platform tersebut harus dapat mengidentifikasi data sensitif di seluruh repositori cloud, aplikasi SaaS, dan lingkungan kolaborasi tanpa perlu melakukan penandaan manual di setiap tempat.

Sistem tersebut juga harus mendukung klasifikasi, pemetaan eksposur, dan penegakan kebijakan dalam satu alur kerja. Hal ini memungkinkan tim tidak hanya mengetahui di mana data sensitif tersimpan, tetapi juga siapa saja yang dapat mengaksesnya dan apakah akses tersebut sesuai dengan kebutuhan bisnis.

Integrasi sangat penting. Sistem yang paling bermanfaat terintegrasi dengan kontrol IAM, SIEM, DLP, CASB, dan SSE sehingga tingkat sensitivitas data dapat menjadi pertimbangan dalam pengambilan keputusan keamanan yang lebih luas. Alur kerja investigasi harus menggabungkan status paparan, perilaku pengguna, dan konteks akses, alih-alih memaksa analis untuk membandingkan data dari berbagai konsol.

Dukungan kepatuhan juga sangat penting. Tim keamanan memerlukan bukti mengenai lokasi penyimpanan data yang diatur, siapa saja yang dapat mengaksesnya, bagaimana data tersebut dibagikan, serta tindakan perbaikan apa yang telah dilakukan setelah terungkapnya kebocoran data.

Fitur investigasi yang didukung AI dapat membantu mengaitkan tingkat sensitivitas data, pola akses, dan perilaku pengguna guna memprioritaskan insiden yang berisiko lebih tinggi.

Bagi organisasi yang menginginkan perlindungan komprehensif terhadap ancaman dari dalam, pengakuan Gartner terhadap para pemimpin di bidang keamanan SSE menegaskan pentingnya platform terintegrasi yang menggabungkan visibilitas data, kontrol akses, dan pemantauan perilaku dalam arsitektur terpadu.