Data Pasien Bocor, Ahli Siber Ajari Berlindung dari Ransomware dan Extortionware

TEMPO.CO, Jakarta - Pakar keamanan siber dari Vaksincom, Alfons Tanujaya, memperingatkan bahwa data pasien rumah sakit yang bocor bisa disalahgunakan dan mengakibatkan kerugian yang besar bagi pemiliknya. Sekali lagi dia menyoroti peran para pengelola data penting di Tanah Air.

“Ini adalah ‘hadiah’ tahun baru yang kurang menyenangkan, di mana 6 juta data pasien rumah sakit di Indonesia kembali bocor dan dijual,” ujar Alfons saat dihubungi, Jumat 7 Januari 2021.

Tak sekadar data kependudukan seperti nama dan identitas yang bisa dieksploitasi, kebocoran data pasien juga bisa berakibat lebih luas lagi. Jika pasien mengidap penyakit atau kondisi medis tertentu yang sifatnya rahasia dan kemudian diketahui publik, bisa saja mengakibatkan dirinya dijauhi atau diberhentikan dari pekerjaannya. 

Contoh dampak lainnya, foto medis pasien yang tidak pantas dilihat lalu disebarkan akan memberikan dampak psikologis yang berat bagi pasien. "Ini hanya beberapa risiko sehubungan dengan rekam medis yang bocor," katanya. 

Alfons menyatakan, pengamanan data tidak cukup dilakukan hanya dari sisi perlindungan terhadap penyanderaan data dengan mengenkripsi dan menuntut tebusan (ransomware). Antisipasi dari ancaman ransomware adalah backup data penting yang terpisah dari database utama atau menggunakan Vaksin Protect yang dapat mengembalikan data sekalipun berhasil di enkripsi ransomware.

Namun, lebih jauh lagi, Alfons menerangkan, data penting juga harus dilindungi dari serangan extortionware. Ini biasanya terjadi kala korban ransomware tetap tidak mau membayar karena memiliki backup data, maka data yang berhasil diretas diancam untuk disebarkan ke publik.

Karena itulah langkah antisipasi yang tepat harus dilakukan seperti mengenkripsi database sensitif di server. “Sehingga sekalipun berhasil diretas tetap tidak akan bisa dibuka atau mengimplementasikan DLP Data Loss Prevention,” ujar Alfons.

Kepada Kementerian Kesehatan, Alfons berpesan, agar segera mengidentifikasi penyebab kebocoran data ini, lalu mengumumkan data apa saja yang benar-benar bocor. “Supaya pemilik data tidak menjadi korban eksploitasi.”

Jika data sudah bocor, dia mengingatkan, menghukum pengelola data tidak akan membatalkan data yang bocor. Ibaratnya, nasi sudah menjadi bubur, data yang sudah bocor tidak bisa dibatalkan dan akan selalu bocor.

Namun, jika pengelola data bisa berempati menempatkan dirinya sebagai pemilik data dan apa yang dia harapkan kalau data pasien yang bocor tersebut adalah data medis dirinya, orang tuanya, teman atau kerabatnya. Tentu pengelola bisa lebih hati-hati mengelola tanggung jawab yang besar ini supaya hal yang sama tidak terulang lagi.

“Setidaknya pengelola data harus berusaha mencegah dampak negatif dari eksploitasi data yang bocor ini dan secara proaktif mencegah eksploitasi terhadap data yang bocor ini,” tutur Alfons.

Sebanyak jutaan data pasien dari berbagai rumah sakit di Indonesia diduga dibocorkan peretas atau hacker dan dijual di forum gelap. Data tersebut dimuat dalam sebuah dokumen sebesar 720 GB yang berisi informasi medis pasien, yang diklaim peretas berasal dari server terpusat Kementerian Kesehatan.

Data yang bocor itu berisi nama lengkap pasien, rumah sakit, foto pasien, hasil tes Covid-19 dan hasil pindai X-Ray. Selain itu disebutkan juga data heluhan pasien, surat rujukan Badan Penyelenggara Jaminan Sosial Kesehatan (BPJS Kesehatan), laporan radiologi, hasil tes laboratorium dan surat persetujuan menjalani isolasi untuk Covid-19. 

Baca juga:
Tim Peneliti di Cambridge Temukan Cara Menyambung Tanaman Monokotil