Privasi sejak Perancangan dan Kebijakan Retensi Data

Privacy by Design (PbD) adalah kerangka kerja yang dikembangkan oleh Ann Cavoukian pada 1990-an yang memperlakukan privasi sebagai Requirement arsitektur mendasar, bukan sesuatu yang dipikirkan belakangan. Alih-alih menambahkan controls privasi setelah sistem selesai dibangun, PbD mengintegrasikannya sejak keputusan design pertama. Pasal 25 GDPR secara resmi menetapkan PbD sebagai Requirement hukum untuk sistem yang ditujukan bagi EU, dengan mewajibkan perlindungan Data berdasarkan design dan secara default—artinya pengaturan default harus selalu menjadi opsi yang paling Protect privasi yang tersedia.

Tujuh prinsip Cavoukian adalah: Proaktif, bukan reaktif—mengantisipasi dan mencegah peristiwa privasi sebelum terjadi. Privasi sebagai default—tidak diperlukan tindakan User untuk Protect privasi. Privasi tertanam dalam design—bukan ditambahkan sebagai lapisan. Fungsionalitas penuh—privasi tidak mengharuskan pengorbanan Security atau fungsionalitas. Security menyeluruh dari awal hingga akhir—perlindungan sepanjang lifetime, dari pengumpulan hingga pemusnahan. Visibilitas dan transparansi—operasi terbuka untuk verifikasi independen. Menghormati privasi User—controls yang berpusat pada User dan pengaturan default yang kuat.

Privasi secara default berarti pengaturan yang paling Protect privasi sudah aktif sejak awal—User tidak perlu memilih untuk menolak pengumpulan Data atau Restrict berbagi Data; sebaliknya, berbagi Data memerlukan persetujuan aktif. Contoh praktis: profil media sosial harus secara default bersifat privat, bukan publik; alat analitik harus secara default mengumpulkan Data seminimal mungkin; aplikasi harus secara default tidak meminta izin lokasi. Prinsip PbD mengharuskan para engineer menjadikan pilihan yang Protect privasi sebagai tindakan Automatic, bukan mengandalkan kesadaran User.

Minimalisasi Data adalah prinsip PbD dan Requirement hukum GDPR: kumpulkan hanya Data pribadi yang benar-benar diperlukan untuk tujuan yang ditentukan. Sebelum membangun fitur, engineer harus bertanya: "Apakah kita benar-benar memerlukan field ini?" Teknik minimalisasi yang umum mencakup pengumpulan nilai turunan alih-alih Data mentah (rentang usia, bukan tanggal lahir), penggunaan pseudonymization (mengganti pengenal langsung dengan token), dan penerapan anonimisasi jika analysis tingkat individu tidak diperlukan. Data yang tidak pernah Anda kumpulkan tidak dapat mengalami pelanggaran.

Pseudonymization mengganti Data yang mengidentifikasi secara langsung dengan pengenal buatan (token), sambil mempertahankan mapping table sehingga identitas dapat diidentifikasi kembali menggunakan kunci. GDPR mengakui pseudonymization sebagai teknik pengurangan Risk, tetapi TIDAK mengecualikan Data pseudonim dari GDPR—Data tersebut tetap merupakan Data pribadi. Anonimisasi menghapus kemampuan untuk mengidentifikasi individu secara tidak dapat dipulihkan. Data yang benar-benar anonim berada di luar ruang lingkup GDPR, tetapi anonimisasi yang sesungguhnya sulit dilakukan secara teknis—banyak dataset yang diklaim anonim dapat diidentifikasi kembali menggunakan Data tambahan atau serangan inferensi.

Privacy Impact Assessment (PIA), yang disebut Data Protection Impact Assessment (DPIA) berdasarkan GDPR, mengevaluasi Risk privasi sebelum sistem atau proses baru diluncurkan. GDPR mewajibkan DPIA ketika pemrosesan kemungkinan menimbulkan Risk tinggi—misalnya pemrosesan Data sensitif berskala besar, pembuatan profil sistematis, atau penggunaan teknologi baru. DPIA mendokumentasikan: tujuan pemrosesan, penilaian kebutuhan, identifikasi Risk, dan langkah-langkah mitigasi Risk. Menyelesaikan DPIA sejak awal mencegah design ulang yang mahal setelah sistem dibangun.

kebijakan penyimpanan Data menetapkan berapa lama setiap kategori Data disimpan sebelum harus dimusnahkan dengan aman. Keputusan penyimpanan menyeimbangkan dua tekanan yang berlawanan: menyimpan Data cukup lama untuk memenuhi Requirements hukum, operasional, dan audit, tetapi tidak menyimpannya terlalu lama hingga menjadi Risk yang tidak perlu. Prinsip pembatasan penyimpanan GDPR mewajibkan penghapusan Data ketika tidak lagi diperlukan untuk tujuan Original. Jadwal penyimpanan harus didokumentasikan dan ditegakkan secara teknis melalui pekerjaan penghapusan Automatic dan pengaturan kedaluwarsa arsip.

Jadwal penyimpanan harus memiliki mekanisme pengecualian untuk penangguhan hukum. Ketika litigasi diperkirakan akan terjadi atau telah dimulai, organisasi berkewajiban menyimpan semua Data yang mungkin relevan, terlepas dari jadwal penyimpanan normal. Memusnahkan Data yang berada dalam penangguhan hukum dapat dianggap sebagai pemusnahan bukti dan mengakibatkan putusan pengadilan yang merugikan atau sanksi. Perangkat lunak penangguhan hukum menempatkan tanda pelestarian teknis pada Data yang terdampak, sehingga mencegah penghapusan Automatic hingga penangguhan tersebut dicabut oleh tim hukum. Penangguhan hukum harus dilacak dan didokumentasikan selama berlangsung.

Ketika Data mencapai akhir masa penyimpanannya, Data tersebut harus dimusnahkan dengan cara yang membuat pemulihan tidak mungkin dilakukan. Untuk Data digital: penghapusan kriptografis (pemusnahan kunci Encrypt membuat ciphertext tidak berguna), degaussing (untuk media magnetis), penimpaan yang aman (NIST SP 800-88 Clear atau Purge), atau pemusnahan fisik (pencacahan, pembakaran). Organisasi sebaiknya menerbitkan sertifikat pemusnahan—terutama untuk pemusnahan media oleh pihak ketiga—sebagai bukti dalam audit kepatuhan. Untuk penyimpanan cloud, penghapusan kriptografis biasanya merupakan satu-satunya metode yang layak.

Organisasi yang mengandalkan persetujuan sebagai dasar hukum wajib memelihara catatan persetujuan yang membuktikan: siapa yang memberikan persetujuan, kapan persetujuan diberikan, pemrosesan spesifik apa yang disetujui, dan melalui mekanisme apa. Catatan ini harus disimpan selama pemrosesan berlangsung, ditambah waktu yang wajar setelahnya untuk penyelesaian sengketa. Platform manajemen persetujuan (CMP) mengotomatiskan persetujuan cookie, pencatatan preferensi, dan penarikan persetujuan. Jejak audit perubahan persetujuan sangat penting — jika pengguna menarik persetujuan tetapi datanya tetap diproses, organisasi tersebut menghadapi tanggung jawab hukum yang signifikan berdasarkan GDPR.

Penerapan privasi sejak tahap perancangan berarti arsitek menanyakan hal-hal terkait privasi pada waktu perancangan. Utamakan rendering di sisi server daripada beacon analitik di sisi klien. Gunakan tokenisasi alih-alih menyimpan nomor kartu mentah. Terapkan enkripsi tingkat kolom dalam basis data untuk bidang sensitif. Rancang lapisan akses data yang menerapkan batas minimum data yang diperlukan untuk setiap kueri. Simpan PII dalam skema basis data terpisah dengan pembatasan yang lebih ketat. Terapkan privasi diferensial pada keluaran analitik. Pilihan-pilihan ini secara kumulatif menghasilkan sistem yang benar-benar sulit dieksploitasi, bahkan oleh pihak internal.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari: Privasi sejak Perancangan menanamkan privasi ke dalam sistem sejak awal melalui tujuh prinsip dasar, termasuk privasi sebagai pengaturan bawaan; minimisasi data dan pseudonimisasi mengurangi nilai data bagi penyerang sekaligus tetap memungkinkan analitik; dan kebijakan penyimpanan data menyeimbangkan kewajiban hukum dengan risiko penyimpanan data yang tidak diperlukan melalui pemusnahan aman pada akhir masa penggunaan. Selanjutnya kita akan membahas keamanan Endpoint: antivirus, EDR, dan XDR.