Bagaimana Sistem DLP Membantu Memantau Pengguna dengan Hak Akses Istimewa

Oleh Mairi Herman, Direktur SearchInform Indonesia

Setiap lingkungan TI perusahaan memiliki pengguna dengan hak akses istimewa. Sebagian merupakan karyawan internal, seperti administrator system, sedangkan sebagian lainnya merupakan pihak eksternal, termasuk kontraktor dan pengembang yang bekerja melalui penyedia jasa alih daya alih daya. Mereka semua memiliki hak akses yang lebih luas ke dokumen TI, sehingga dapat menimbulkan risiko keamanan jika akses tersebut disalahgunakan.

Pada Oktober 2025, Intel mengajukan gugatan yang menuduh salah satu insinyurnya menyalin hampir 18.000 berkas perusahaan, termasuk sejumlah berkas bertanda “Intel Top Secret”, ke media penyimpanan jaringan pribadinya. Menurut gugatan tersebut, dugaan penyalinan data itu setelah ia menerima pemberitahuan pemutusan hubungan kerja, tetapi saat itu masih berstatus karyawan.

Bagaimana perusahaan dapat mengurangi risiko tersebut? Dalam artikel ini, saya menjelaskan bagaimana salah satu klien SearchInform, sebuah perusahaan besar di bidang rekayasa dan konstruksi, menggunakan sistem pencegahan kebocoran data (data loss prevention, DLP) untuk mendeteksi ancaman dari dalam organisasi serta menggabungkannya dengan sistem manajemen akses Istimewa (privileged access management, PAM) guna memperkuat pengawasan terhadap pengguna dengan hak akses istimewa.

Apakah Ini Kesalahan Administrator?

Salah satu kelompok server terminal (terminal server farm) milik klien tiba-tiba berhenti beroperasi. Pemantauan infrastruktur tidak menunjukkan gangguan teknis, sementara sistem keamanan informasi tidak mencatat aktivitas mencurigakan. Administrator TI yang bertanggung jawab atas layanan tersebut menyatakan bahwa nama pengguna dan kata sandinya mungkin bocor akibat dugaan peretasan jaringan rumahnya. Namun, saat insiden terjadi, administrator tersebut berada di kantor, sehingga gangguan pada jaringan rumahnya tidak mungkin memengaruhi pekerjaannya.

Untuk mengetahui apa yang terjadi, tim keamanan informasi klien memeriksa secara mendetail aktivitas administrator di Server Manager, alat administrasi Windows Server yang digunakan untuk menonaktifkan kelompok server terminal tersebut. Mereka juga meninjau log jaringan dari sistem akses jarak jauh serta seluruh log keamanan yang tersedia. SearchInform Risk Monitor, solusi DLP generasi baru, kemudian menunjukkan proses apa saja yang berjalan di komputer administrator bersamaan dengan Server Manager. Informasi ini diperoleh melalui ProgramController, modul pemantauan aplikasi yang melacak aktivitas pengguna di komputer kerja.

Penyelidikan tidak menemukan proses yang mencurigakan. Ternyata administrator tersebut secara tidak sengaja menghapus kelompok server melalui Server Manager, tetapi tidak melaporkan kesalahannya kepada atasan maupun tim keamanan informasi. Penyelidikan mengesampingkan kemungkinan akses tanpa izin dan memastikan bahwa gangguan layanan disebabkan oleh kesalahan administrasi. Alasan administrator tidak melaporkan kesalahannya kemudian ditidaklanjuti oleh manajemen.

Spyware di Komputer Karyawan TI

SearchInform Risk Monitor mendeteksi insiden lain. Melalui ProgramController, tim keamanan informasi menemukan bahwa seorang karyawan departemen TI telah memasang aplikasi pengambil tangkapan layer yang tidak berlicensi di komputer kerjanya. MailController, modul pemantauan email masuk dan keluar, menunjukkan perilaku mencurigakan pada aplikasi tersebut: setiap tangkapan layar yang dibuat secara otomatis dikirim melalui protokol SMTP ke domain milik pengembang perangkat lunak tersebut.

Dengan ProgramController, tim mengidentifikasi nilai hash berkas aplikasi, cara perangkat lunak tersebut dipasang, dan berbagai detail terkait. Selanjutnya, mereka menerapkan aturan untuk memblokir proses aplikasi tersebut di Risk Monitor dan sistem antivirus perusahaan agar aplikasi tersebut tidak dapat digunakan lagi. Pada dasarnya, aplikasi itu merupakan spyware yang mengirimkan data ke luar. Karena penggunanya bekerja di bagian TI, tangkapan layar berpotensi memuat informasi sensitif tentang infrastruktur perusahaan dan meningkatkan risiko peretasan system di kemudian hari.

Sistem DLP membantu menangani ancaman tersebut. Tim memblokir perangkat lunaknya dan menggunakan Risk Monitor untuk memeriksa apakah informasi penting telah bocor. Hasil pemeriksaan memastikan bahwa tidak terjadi kebocoran informasi penting.

Mengapa Pemantauan Itu Penting?

Perusahaan memiliki banyak administrator, pengembang, penguji perangkat lunak, serta spesialis TI lainnya. Seluruhnya memiliki akses yang lebih luas ke sistem perusahaan sehingga menimbulkan risiko keamanan informasi tambahan. Karena itu, perusahaan memasukkan mereka ke dalam kelompok berisiko lebih tinggi dan menetapkan prosedur internal yang ketat untuk memantau aktivitas serta mengendalikan risiko tersebut:

1. Karyawan hanya memperoleh hak akses tambahan ke sistem TI setelah mengajukan permohonan. Setiap permohonan harus memiliki alasan yang jelas, mencantumkan kebutuhan akses, tingkat hak akses yang diminta, dan dalam kondisi tertentu, masa berlaku akses yang diminta. Setiap permohonan wajib disetujui oleh pimpinan departemen TI departemen keamanan informasi.
2. Perusahaan secara rutin mengaudit seluruh sistem untuk menemukan hak akses yang berlebihan dan akun pengguna yang tidak lagi diperlukan. Hak akses staf keamanan informasi juga termasul dalam audit ini. Untuk audit tersebut, perusahaan menggunakan system PAM, yang memungkinkan pengelolaan terpusat atas akun dengan hak istimewa, termasuk kata sandi dan kunci akses. Hal ini mengurangi kemungkinan akses tanpa izin ke sumber daya perusahaan.
3. Pengguna dengan hak akses istimewa tetaplah manusia. Mereka bisa melakukan kesalahan, sengaja mengganggu operasional, menyebabkan kebocoran data, dan sebagainya. Karena itu, perusahaan memantau seluruh pengguna tanpa pengecualian menggunakan Risk Monitor. Solusi ini membantu tim keamanan informasi melakukan penyelidikan mendalam dan mengetahui apa yang sebenarnya terjadi saat timbul masalah.

Risk Monitor juga menyediakan alat khusus untuk memantau pengguna dengan hak akses istimewa. Misalnya, perusahaan dapat menetapkan skenario penggunaan yang aman untuk sarana akses jarak jauh, memantau penggunaannya, dan memblokir tindakan berbahaya.

Pemantauan pengguna dengan hak akses istimewa akan lebih efektif jika menggabungkan kebijakan internal dan kontrol teknis. Dalam kasus klien ini, kombinasi sistem DLP dan PAM terbukti efektif. DLP memberikan Gambaran terperinci tentang aktivitas pengguna dengan hak akses istimewa, membantu mendeteksi perilaku mencurigakan, dan mendukung investigasi keamanan secara mendalam, sementara PAM melengkapi fungsi tersebut dengan mengelola hak akses istimewa.

TENTANG SEARCHINFORM

SearchInform adalah vendor produk keamanan informasi dan manajemen risiko. Klien perusahaan mencakup lebih dari 4.000 perusahaan di lebih dari 20 negara. Saat ini, tim menyediakan produk dan layanan untuk perlindungan komprehensif terhadap ancaman orang dalam di semua tingkat sistem informasi perusahaan: FileAuditor (solusi kelas DCAP); sistem DLP dengan fungsionalitas yang diperluas; Risk Monitor (platform canggih untuk mitigasi ancaman orang dalam); sistem SIEM; layanan outsourcing keamanan informasi.

Jelajahi portofolio lengkap produk keamanan siber SearchInform, termasuk solusi DLP, DCAP, dan manajemen risiko orang dalam.