Cyber Security Academy · Pelajaran

Klasifikasi dan Minimalisasi Data

Menangani data secara bertanggung jawab.

Klasifikasi dan Minimalisasi Data adalah pelajaran Cyber Security Academy gratis di CoddyKit. Ini adalah pelajaran 3 dari 4. Kamu bisa membaca pelajaran lengkapnya di bawah secara gratis — lalu praktikkan langsung di browser dengan editor kode bawaan dan tutor AI 24/7. Ini adalah bagian dari jalur belajar Cyber Security Academy, dan progresmu tersinkronisasi di web dan aplikasi CoddyKit. Kursus Cyber Security Academy mencakup 4 pelajaran total.

Mengapa Data Perlu Diklasifikasikan

Anda tidak dapat melindungi sesuatu yang belum dikategorikan. Klasifikasi data menetapkan tingkat sensitivitas agar kontrol sesuai dengan risikonya: semakin sensitif datanya, semakin kuat perlindungannya.

Klasifikasi menentukan kontrol akses, persyaratan enkripsi, periode penyimpanan, dan prioritas penanganan pelanggaran.

Tingkat Klasifikasi

Skema umum menggunakan empat tingkatan:

Publik: tidak menimbulkan kerugian jika diungkapkan
Internal: data bisnis rutin
Rahasia: data pelanggan, kontrak
Terbatas: data kategori khusus, rahasia, kredensial

Setiap tingkat dikaitkan dengan kontrol yang diwajibkan. Label harus cukup sederhana agar staf benar-benar dapat menerapkannya dengan benar.

Penemuan Data

Sebelum dapat mengklasifikasikan data, Anda harus menemukannya terlebih dahulu. Data pribadi dapat tersembunyi di dalam catatan aktivitas, cadangan, lembar kerja, tiket dukungan, dan basis data yang terlupakan (data bayangan).

Perangkat penemuan memindai penyimpanan untuk mencari pola seperti nomor identitas nasional, nomor kartu, dan alamat email guna membuat inventaris.

# Simple regex sweep for emails and card-like numbers in a codebase/logs
grep -rEn '[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Za-z]{2,}' ./logs
grep -rEn '\b(?:[0-9]{4}[ -]?){4}\b' ./logs

Pemetaan Data

Peta data melacak data pribadi sepanjang siklus hidupnya: tempat data masuk, tempat data disimpan, pihak yang dapat mengaksesnya, aliran datanya, dan tempat data tersebut keluar.

Titik pengumpulan (formulir, API, SDK)
Sistem penyimpanan
Pemroses pihak ketiga
Titik akhir penghapusan

Anda tidak dapat memenuhi permintaan penghapusan jika tidak mengetahui setiap tempat data seseorang berada.

Prinsip Minimisasi

Minimisasi data berarti hanya mengumpulkan dan menyimpan hal yang diperlukan untuk tujuan tertentu yang telah dinyatakan.

Jangan mengumpulkan suatu bidang hanya karena mungkin berguna suatu hari nanti
Jangan mencatat muatan lengkap jika sebuah ID sudah cukup
Jangan menyimpan data setelah tujuannya tercapai

Data yang lebih sedikit berarti dampak pelanggaran yang lebih kecil, beban kepatuhan yang lebih rendah, dan biaya penyimpanan yang berkurang.

Minimisasi dalam Praktik

Langkah konkret dalam rekayasa perangkat lunak:

Simpan nilai hash, bukan nilai mentah, jika Anda hanya perlu membandingkannya
Potong atau samarkan data dalam catatan aktivitas (tampilkan hanya 4 digit terakhir)
Agregasikan analitik, bukan menyimpan peristiwa per pengguna
Gunakan pemrosesan sementara yang tidak menyimpan data secara permanen

# Mask a card number in application logs, keep only last 4
# 4242 4242 4242 4242  ->  **** **** **** 4242
sed -E 's/[0-9]{4}([ -]?[0-9]{4}){2}([ -]?)([0-9]{4})/**** **** **** \3/g'

Penyimpanan dan Penghapusan

Pembatasan penyimpanan mengharuskan adanya periode penyimpanan yang ditetapkan dan penghapusan yang benar-benar dilakukan saat periode tersebut berakhir. Penyimpanan tanpa batas waktu adalah pelanggaran, bukan kemudahan.

Tetapkan jadwal penyimpanan untuk setiap kategori
Otomatiskan tugas penghapusan
Ingatlah cadangan dan catatan aktivitas, bukan hanya basis data utama

# Automated retention: purge support tickets closed over 24 months ago
DELETE FROM support_tickets
WHERE status = 'closed'
  AND closed_at < NOW() - INTERVAL '24 months';

Kontrol Akses dan Hak Istimewa Minimum

Klasifikasi hanya melindungi data jika akses disesuaikan dengannya. Terapkan hak istimewa minimum: orang dan layanan hanya mendapatkan akses minimum yang diperlukan untuk tugasnya.

Akses berbasis peran yang dikaitkan dengan tingkat klasifikasi
Akses tepat waktu untuk kueri sensitif
Tinjauan akses secara berkala dan pencabutan akses saat peran berubah

Data terbatas seharusnya dapat diakses oleh identitas sesedikit mungkin.

Enkripsi Berdasarkan Klasifikasi

Klasifikasi yang lebih tinggi memerlukan perlindungan yang lebih kuat:

Enkripsi saat tersimpan untuk data rahasia dan terbatas
Enkripsi saat transit (TLS) di mana pun
Enkripsi tingkat bidang atau tokenisasi untuk bidang yang paling sensitif

Enkripsi juga mengurangi kewajiban pemberitahuan pelanggaran: data yang dienkripsi dengan benar mungkin tidak dianggap sebagai paparan yang wajib dilaporkan.

Menanamkannya dalam Alur Pengembangan

Klasifikasi dan minimisasi paling efektif jika menjadi bawaan dalam alur pengembangan, bukan sekadar audit berkala.

Beri tag sensitivitas pada bidang dalam skema atau katalog data
Periksa bidang PII baru dalam tinjauan kode
Blokir pencatatan bidang terbatas melalui pencatat terpusat
Tinjau pengumpulan data dalam desain (Privacy by Design)

Cadangan dan Salinan Bayangan

Minimisasi dan penghapusan harus menjangkau lebih dari sekadar penyimpanan utama. Data pribadi tetap ada di tempat-tempat yang sering dilupakan tim:

Cadangan dan snapshot basis data
Agregasi catatan aktivitas dan alur analitik
Ekspor dan lembar kerja yang tersimpan dalam cache
Replika serta lingkungan pengembangan/pengujian yang diisi dengan data produksi

Permintaan penghapusan belum terpenuhi jika data masih berada di dalam cadangan semalam atau basis data pengujian.

Pemeriksaan Singkat

Ujilah pemahaman Anda tentang minimisasi.

Ringkasan

Anda telah mempelajari penanganan data yang bertanggung jawab:

Klasifikasikan data ke dalam tingkat sensitivitas untuk menentukan kontrol
Temukan dan petakan tempat data pribadi berada serta alirannya
Minimalkan: kumpulkan, catat, dan simpan hanya hal yang diperlukan
Terapkan penyimpanan/penghapusan, hak istimewa minimum, dan enkripsi berdasarkan klasifikasi
Tanamkan semuanya sebagai bawaan alur pengembangan

Berikutnya: apa yang harus dilakukan ketika terjadi kesalahan, yaitu pemberitahuan pelanggaran dan DPIA.

Pertanyaan yang Sering Diajukan

Apakah pelajaran “Klasifikasi dan Minimalisasi Data” gratis?

Ya — teks lengkap “Klasifikasi dan Minimalisasi Data” gratis dibaca di sini di web. Untuk praktiknya secara interaktif (editor kode bawaan dan tutor AI 24/7) dan buka sisa kursus Cyber Security Academy, upgrade ke CoddyKit PRO. Kursus Cyber Security Academy mencakup 4 pelajaran total.

Apa yang akan aku pelajari di “Klasifikasi dan Minimalisasi Data”?

Menangani data secara bertanggung jawab. Kamu berlatih Cyber Security Academy dengan kode praktik yang langsung kamu jalankan di browser, dan tutor AI 24/7 menjawab pertanyaanmu saat kamu mengerjakan pelajaran ini.

Apakah aku perlu pengalaman untuk memulai Cyber Security Academy?

Tidak diperlukan pengalaman sebelumnya. Cyber Security Academy di CoddyKit dirancang untuk pemula hingga pelajar tingkat lanjut, jadi kamu bisa memulai di sini atau dari awal dan belajar sesuai kecepatan kamu sendiri. Ini adalah pelajaran 3 dari 4.

Berapa lama pelajaran “Klasifikasi dan Minimalisasi Data” memakan waktu?

Sebagian besar pelajaran CoddyKit memakan waktu sekitar 5–10 menit. Setiap pelajaran ringkas dan interaktif, jadi kamu membuat kemajuan stabil dan melanjutkan dari tempat kamu tinggalkan di web dan aplikasi.

Bisakah aku menulis dan menjalankan kode dalam pelajaran Cyber Security Academy ini?

Ya. Setiap pelajaran Cyber Security Academy menyertakan editor kode bawaan, jadi kamu menulis dan menjalankan kode nyata langsung di browser dan mendapatkan umpan balik AI instan — tidak diperlukan penyiapan lokal.

Semua pelajaran dalam kursus ini

← Kembali ke Cyber Security Academy