Bocornya Jutaan Data Pasien RS, Great Power Comes Great Responsibility

Kebocoran data medis

Di tahun 2022 ini, kembali kita mendapatkan "hadiah" tahun baru yang kurang menyenangkan dimana 6 juta data pasien dari banyak rumah sakit Indonesia sebanyak kembali bocor dan dijual. (Lihat gambar 1)

Foto: Screenshot

Kali ini tidak hanya data kependudukan saja, melainkan juga data medis pasien seperti foto medis, data administrasi pasien, hasil test laboratorium, data ECG dan radiologi.

Tanggapan yang diberikan oleh pihak terkait cukup cepat dan sudah mengalami kemajuan. Hal ini patut diapresiasi dan diharapkan pengelola data segera mengidentifikasi penyebab kebocoran data ini, lalu mengumumkan data apa saja yang bocor supaya pemilik data tidak menjadi korban eksploitasi.

Kalau data sudah bocor, menghukum pengelola data tidak akan membatalkan data yang bocor. Ibaratnya nasi sudah menjadi bubur, data yang sudah bocor tidak bisa dibatalkan dan akan selalu bocor. Namun, jika pengelola data bisa berempati menempatkan dirinya sebagai pemilik data dan apa yang dia harapkan kalau data medis yang bocor tersebut adalah data medis dirinya, orang tuanya, teman atau kerabatnya, tentu ia bisa lebih hati-hati mengelola tanggung jawab yang besar ini supaya hal yang sama tidak terulang lagi.

Setidaknya pengelola data harus berusaha mencegah dampak negatif dari eksploitasi data yang bocor ini dan secara proaktif mencegah eksploitasi terhadap data yang bocor ini.

Apa saja resiko dan bagaimana eksploitasi data yang bocor ini? Data medis yang bocor bisa disalahgunakan dan mengakibatkan kerugian yang besar bagi pemiliknya. Jika pasien yang mengalami kebocoran data mengidap penyakit atau kondisi medis tertentu yang sifatnya rahasia dan jika diketahui oleh publik akan mengakibatkan dirinya dijauhi atau diberhentikan dari pekerjaannya, tentu hal ini akan sangat merugikan.

Atau, foto medis pasien yang tidak pantas dilihat lalu disebarkan akan memberikan dampak psikologis yang berat bagi pasien. Ini hanya sedikit risiko sehubungan dengan rekam medis yang bocor dan tidak terhitung data pribadi seperti nomor telepon dan data kependudukan yang bocor dan jelas akan menjadi sasaran eksploitasi.

Apa yang harus dilakukan ke depan sehubungan dengan insiden ini, sebenarnya bisa menjadi pembelajaran dari pengelola data penting. Pengamanan data tidak hanya cukup dilakukan dari sisi perlindungan terhadap penyanderaan data dengan mengenkripsi (ransomware) di mana antisipasi ransomware adalah backup data penting yang terpisah dari database utama atau menggunakan Vaksin Protect yang dapat mengembalikan data sekalipun berhasil di enkripsi ransomware.

Tetapi lebih jauh lagi, data penting juga harus dilindungi dari aksi extortionware, dimana jika korbannya tetap tidak mau membayar karena memiliki backup data, maka data yang berhasil diretas diancam untuk disebarkan ke publik jika pengelola data tidak membayar uang tebusan yang diminta.

Karena itulah langkah antisipasi yang tepat harus dilakukan seperti mengenkripsi database sensitif di server sehingga sekalipun berhasil diretas tetap tidak akan bisa dibuka atau mengimplementasikan Data Loss Prevention.

*) Alfons Tanujaya adalah ahli keamanan cyber dari Vaksincom. Dia aktif mendedikasikan waktunya memberikan informasi dan edukasi tentang malware dan cyber security bagi komunitas IT Indonesia.