Menguak Model Tanggung Jawab Bersama: Perbedaan Krusial ‘Security OF the Cloud’ dan ‘Security IN the Cloud’

Adopsi cloud computing (seperti AWS, Azure, dan GCP) telah merevolusi cara bisnis beroperasi, menawarkan skalabilitas, efisiensi, dan kecepatan inovasi yang luar biasa. Namun, kemudahan ini sering kali disalahpahami dalam hal keamanan.

Banyak perusahaan berasumsi bahwa setelah memindahkan data dan aplikasi ke cloud, tanggung jawab keamanan sepenuhnya beralih ke penyedia layanan. Asumsi ini adalah kesalahan konfigurasi terburuk dan penyebab utama sebagian besar data breach di lingkungan cloud.

Kunci untuk mengamankan aset digital di era cloud adalah memahami Model Tanggung Jawab Bersama (Shared Responsibility Model). Model ini dengan tegas membagi tugas keamanan menjadi dua area utama: ‘Security OF the Cloud’ dan ‘Security IN the Cloud’.

Artikel 1000 kata ini akan mengupas tuntas perbedaan fundamental kedua konsep ini, mengapa pemahaman yang salah dapat mematikan bisnis Anda, dan bagaimana implementasi yang tepat menjadi landasan arsitektur keamanan cloud yang kokoh.

baca juga:Asah Otak: Tembus Tes Seri dengan Contoh Soal Jitu Ini!

🔖 Baca juga:

Cara Cepat Jadi Kotlin Android Developer dan Mahir Coding

I. Security OF the Cloud: Tanggung Jawab Penyedia Layanan Cloud (CSP)

Security OF the Cloud merujuk pada keamanan infrastruktur mendasar yang mendukung layanan cloud. Ini adalah tanggung jawab eksklusif dari Penyedia Layanan Cloud (CSP), seperti Amazon Web Services (AWS), Microsoft Azure, atau Google Cloud Platform (GCP).

Bayangkan CSP sebagai pengembang real estat: mereka membangun fondasi, dinding, dan sistem utilitas dasar yang kuat.

Apa Saja yang Dicakup oleh ‘Security OF the Cloud’?

1. Keamanan Fisik Pusat Data (Physical Security):
   • Melindungi server, perangkat keras, kabel, dan infrastruktur penyimpanan dari akses fisik yang tidak sah.
   • Ini termasuk kontrol akses berbasis biometrik, pengawasan 24/7, dan langkah-langkah anti-bencana di fasilitas fisik.
2. Keamanan Jaringan Global (Global Network Security):
   • Melindungi jaringan backbone yang menghubungkan pusat data dan menjaga infrastruktur jaringan inti (router, switch, kabel).
   • Ini juga mencakup perlindungan terhadap ancaman besar di lapisan infrastruktur, seperti mitigasi serangan DDoS yang menargetkan jaringan CSP.
3. Keamanan Perangkat Keras dan Perangkat Lunak Host (Host Hardware and Software):
   • Pengamanan hypervisor (lapisan virtualisasi), sistem operasi host, dan pembaruan firmware server fisik.
   • Ini memastikan bahwa lingkungan virtualisasi yang menjadi tuan rumah (host) bagi Virtual Machine (VM) pelanggan aman.
4. Sertifikasi dan Kepatuhan Infrastruktur:
   • CSP bertanggung jawab mendapatkan dan mempertahankan sertifikasi kepatuhan global (seperti ISO 27001, SOC 2, dan standar regional seperti GDPR/HIPAA) untuk infrastruktur mereka.

Intinya: Security OF the Cloud adalah tentang mengamankan Cloud itu sendiri. Ini adalah lapisan yang tidak bisa diakses atau dikonfigurasi oleh pelanggan.

II. Security IN the Cloud: Tanggung Jawab Pelanggan (Anda)

Security IN the Cloud merujuk pada keamanan workload, data, aplikasi, dan konfigurasi yang Anda tempatkan atau jalankan di atas infrastruktur cloud.

Ini adalah bagian yang sering kali disalahpahami. Jika CSP menyediakan benteng, maka pelangganlah yang bertanggung jawab memasang alarm, mengunci pintu, dan mengawasi barang berharga di dalamnya.

Apa Saja yang Dicakup oleh ‘Security IN the Cloud’?

1. Manajemen Identitas dan Akses (IAM):
   • Tanggung jawab mutlak pelanggan. Ini mencakup konfigurasi user, role, policy IAM, otentikasi multi-faktor (MFA), dan penerapan prinsip Least Privilege.
   • Contoh Fatal: Kebocoran data paling sering terjadi karena role IAM yang memiliki izin akses terlalu luas.
2. Keamanan Data (Data Security):
   • Pelanggan bertanggung jawab untuk melindungi data mereka, baik saat disimpan (at rest) maupun saat ditransfer (in transit).
   • Ini mencakup penerapan enkripsi data, pengelolaan kunci enkripsi (Key Management), dan klasifikasi sensitivitas data.
3. Keamanan Sistem Operasi (Guest OS) dan Aplikasi:
   • Jika Anda menggunakan layanan IaaS (Infrastructure as a Service), Anda bertanggung jawab atas patching dan hardening Sistem Operasi (misalnya, Windows atau Linux di VM Anda).
   • Anda juga bertanggung jawab mengamankan aplikasi, container (seperti Docker/Kubernetes), dan runtime code yang Anda deploy.
4. Keamanan Jaringan Virtual (Virtual Network Security):
   • Konfigurasi Firewall virtual (seperti Security Group di AWS atau NACL), Virtual Private Cloud (VPC), dan segmentasi jaringan untuk membatasi traffic antar workload Anda.

Intinya: Security IN the Cloud adalah tentang mengamankan apa yang Anda bawa, bangun, dan operasikan di dalam Cloud.

III. Perbedaan Menurut Model Layanan (IaaS, PaaS, SaaS)

Model Tanggung Jawab Bersama tidak statis; ia berubah tergantung pada jenis layanan cloud yang Anda gunakan. Semakin tinggi abstraksi layanan, semakin banyak tanggung jawab yang beralih ke CSP.

Ekspor ke Spreadsheet

Contoh Kasus:

• SaaS (misalnya, Google Workspace/Dropbox): Jika hacker mencuri password karyawan Anda dan mengakses dokumen sensitif, itu adalah kegagalan Security IN the Cloud (pengelolaan IAM/otentikasi yang buruk). CSP aman, tetapi pengguna lalai.
• IaaS (misalnya, VM di AWS EC2): Jika Anda lupa melakukan patching pada OS Linux di VM Anda, dan hacker mengeksploitasi celah itu, itu adalah kegagalan Security IN the Cloud (manajemen OS yang buruk).

IV. Mengapa Memahami Perbedaan Ini Begitu Penting?

Ketidakpahaman terhadap Model Tanggung Jawab Bersama adalah lubang hitam yang menghabiskan biaya perusahaan.

1. Mencegah Celah Keamanan Fatal

Sebagian besar data breach di cloud disebabkan oleh kesalahan konfigurasi pelanggan (IAM yang longgar atau S3 bucket yang terekspos publik)—yaitu, kegagalan dalam Security IN the Cloud. Ketika perusahaan menyalahkan CSP atas breach, auditor akan menunjuk pada Shared Responsibility Model yang menunjukkan bahwa tanggung jawab ada pada tim internal.

2. Pengalokasian Sumber Daya yang Efisien

Dengan memahami tanggung jawab CSP (misalnya, mereka mengamankan lapisan fisik), perusahaan dapat mengalihkan fokus dan anggaran tim keamanan mereka (Security Architect dan Engineer) untuk tugas yang benar-benar menjadi tanggung jawab mereka: mengamankan identitas, data, dan aplikasi. Ini menghemat biaya dan tenaga yang terbuang untuk tugas yang sudah ditangani oleh CSP.

3. Mempertahankan Kepatuhan (Compliance)

Tim Compliance harus memahami bahwa meskipun CSP bersertifikasi, kepatuhan akhir ada di tangan pelanggan. CSA harus membuktikan bahwa kontrol pelanggan (Security IN the Cloud) seperti enkripsi, audit log, dan akses yang terkontrol telah diterapkan sesuai standar regulasi (misalnya, memastikan data kesehatan (PHI) dienkripsi penuh di Azure Blob Storage).

baca juga:Gubernur Mirza Tinjau Masjid Agung Al Hijrah Kota Baru, Nasrullah Yusuf Sebut Kesiapan Helat Tablig Akbar Indonesia Berdoa

Kesimpulan:

Model Tanggung Jawab Bersama (terbagi antara Security OF the Cloud dan Security IN the Cloud) adalah landasan utama dalam arsitektur keamanan cloud modern. CSP menyediakan keamanan pondasi yang canggih, tetapi perlindungan aset terpenting—data dan akses pengguna—tetap berada di tangan pelanggan. Kegagalan untuk menerima dan mengelola tanggung jawab ‘Security IN the Cloud’ secara proaktif adalah resep kegagalan di era digital. Membangun postur keamanan cloud yang matang harus dimulai dengan pemahaman yang jelas, di mana garis tanggung jawab ditarik, dan memastikan setiap lapisan di atasnya diamankan dengan ketat.

penulis: Wilda Juliansyah