Shadow IT: Data Mengalir Lewat Jalur yang Tak Tercatat

Daftar sistem yang dicatat tim IT hampir selalu lebih pendek daripada daftar alat yang benar-benar dipakai karyawan. Selisih itu disebut shadow IT, dan bagi perusahaan yang memegang data pribadi, selisih itulah tempat kebocoran paling sulit dilacak. Tulisan ini merangkum definisi dan panduan dari lembaga keamanan siber resmi dan dokumentasi vendor, lalu menghubungkannya dengan kewajiban pencatatan dalam UU PDP.

Apa yang dihitung sebagai shadow IT

National Cyber Security Centre (NCSC) Inggris mendefinisikannya sebagai penggunaan aset yang tidak diketahui untuk keperluan bisnis: tidak masuk manajemen aset dan tidak selaras dengan proses atau kebijakan IT perusahaan. Cakupannya dua macam. Pertama perangkat yang tidak terkelola, seperti ponsel pribadi atau titik akses wifi liar. Kedua layanan cloud yang tidak terkelola, seperti penyimpanan pribadi, aplikasi pesan yang tidak disetujui, atau repositori kode pribadi.

Contoh yang paling dekat dengan kantor di Indonesia: daftar nomor pelanggan yang diunggah ke grup WhatsApp tim, atau berkas rekap yang disimpan di Google Drive pribadi supaya mudah dibuka dari rumah. NCSC membedakannya dari BYOD. Perangkat BYOD terdaftar dan dikendalikan, sedangkan shadow IT adalah risiko yang mungkin tidak diketahui perusahaan ada.

Kenapa terjadi, dan seberapa luas

NCSC menekankan bahwa sebabnya jarang niat melanggar aturan. Pemicunya kapasitas penyimpanan kurang, tidak ada cara berbagi berkas dengan pihak luar, tidak ada alat pesan atau video yang disetujui, atau proses permintaan alat yang lambat. Staf juga sering tidak sadar bahwa alat pribadi menambah risiko.

Soal sebaran, Microsoft dalam dokumentasi Defender for Cloud Apps menyebut administrator IT umumnya menebak 30 sampai 40 aplikasi cloud yang dipakai, sementara rata-rata sebenarnya lebih dari 1.000. Microsoft juga menyebut 80 persen karyawan memakai aplikasi yang tidak disetujui. Angka ini klaim vendor yang menjual produk pemantauan, jadi baca sebagai gambaran besaran, bukan ukuran untuk perusahaan Anda. Kajian lain yang dikutip INCIBE-CERT (lembaga keamanan siber Spanyol) dari Lookout: 32 persen karyawan jarak jauh memakai perangkat lunak tanpa izin dan 92 persen memakai perangkat pribadi yang tidak terdaftar untuk pekerjaan.

Kaitannya dengan pencatatan data pribadi

Pasal 31 UU PDP mewajibkan pengendali data pribadi merekam kegiatan pemrosesan. Menurut ulasan Hukumonline, isi rekaman itu mencakup sumber dan tujuan pengumpulan data, pihak yang dapat mengakses, dan pemetaan aliran data. Di sinilah shadow IT menjadi masalah: aliran yang lewat grup chat atau penyimpanan pribadi tidak muncul di peta mana pun, jadi rekamannya tidak lengkap sejak awal. Rekaman yang tidak lengkap juga membuat penilaian risiko dan penanganan insiden bertumpu pada gambaran yang keliru.

Ingin mendalaminya lebih terstruktur? Taalenta punya kelas Indonesian Privacy Law (UU PDP) Masterclass: Ensuring Compliance through ISO 27001 Best Practices.

Konsekuensinya terasa saat insiden. Pemberitahuan kegagalan pelindungan data kepada subjek data dan regulator paling lambat 3 x 24 jam, sebagaimana diuraikan Hukumonline. Perusahaan yang baru mengetahui ada data di kanal tak tercatat setelah kebocoran akan kehilangan sebagian besar waktu itu hanya untuk mencari tahu data apa yang keluar.

Yang disarankan lembaga resmi

Rangkaian saran NCSC, Microsoft, dan INCIBE-CERT hampir seragam:

Temukan dulu. Microsoft menggambarkan siklus: temukan aplikasi yang dipakai lewat log firewall, proxy, atau agen di perangkat, nilai risikonya, lalu tandai sebagai disetujui atau tidak disetujui. Aplikasi yang tidak ada di katalog tidak ikut terdeteksi secara otomatis, jadi hasilnya perlu dibaca dengan sadar akan batasnya.
Sediakan alternatif resmi. NCSC menyarankan alat pesan, konferensi video, dan penyimpanan yang disetujui, dengan proses permintaan yang cepat. Larangan tanpa alternatif mendorong jalan pintas.
Jangan menghukum. NCSC menyarankan budaya tanpa menyalahkan supaya staf mau melaporkan alat yang mereka pakai. Staf yang takut dihukum akan menyembunyikannya lebih rapat.
Pindahkan datanya. Data di layanan tak resmi dipindahkan ke platform yang didukung, bukan hanya dilarang.
Atur identitas. INCIBE-CERT menyebut single sign-on dengan autentikasi dua faktor dan akses berbasis peran sebagai lapisan dasar.

Topik ini juga dibahas singkat dalam klip kelas PLM tentang pemetaan data.

Catatan kejujuran: naskah resmi UU 27/2022 tidak dibuka langsung dalam penyusunan tulisan ini. Rujukan pasal diambil dari ulasan Hukumonline, jadi periksa teks di JDIH sebelum dijadikan dasar keputusan. Peraturan pelaksana UU PDP juga baru terbit pada 2026, sehingga rincian kewajibannya bisa berubah.

Shadow IT: Data Perusahaan yang Mengalir Lewat Jalur yang Tidak Pernah Dicatat

Apa yang dihitung sebagai shadow IT

Kenapa terjadi, dan seberapa luas

Kaitannya dengan pencatatan data pribadi

Yang disarankan lembaga resmi

Sumber