Notifikasi Insiden di Tengah Permintaan Penundaan dari Penegak Hukum

Ya, wajib diberitahukan. Yang bocor adalah NIK, alamat, nomor telepon, ditambah 18.000 nomor kartu penuh. Ini kegagalan kerahasiaan yang berisiko tinggi bagi subjek data: NIK dan nomor telepon cukup untuk penipuan dan pengambilalihan akun, sedangkan nomor kartu penuh langsung menimbulkan risiko fraud.

Argumen 'sebagian terenkripsi' gugur. Kata sandi di-hash bcrypt - itu bukan enkripsi seluruh data, dan cost 10 memang memperlambat tetapi tidak menghapus risiko bagi kata sandi lemah. Yang menentukan adalah 18.000 nomor kartu yang tersimpan dalam bentuk teks jelas: tidak ada enkripsi sama sekali pada elemen paling berbahaya.

Tenggat dan penerima:

• Subjek data terdampak dan lembaga pengawas: paling lambat 3x24 jam sejak diketahui (Sabtu 02.10), jadi batas praktisnya Selasa dini hari. Notifikasi tidak menunggu investigasi selesai; sampaikanlah apa yang diketahui, apa yang belum, dan kapan pembaruan berikutnya akan diberikan.
• Acquirer dan skema kartu: sesuai kewajiban skema, 72 jam.
• Bank penerbit: untuk pemblokiran dan penggantian kartu.

Soal permintaan penundaan. Kewajiban notifikasi bersifat statutori dan tidak dapat ditangguhkan oleh permintaan lisan penyidik. Yang dapat dilakukan adalah berkoordinasi: minta permintaan tertulis, sepakati redaksi yang tidak membocorkan detail teknis penyelidikan, jalankan notifikasi bertahap (subjek data lebih dulu dengan langkah protektif), dan beri tahu lembaga pengawas bahwa ada permintaan penundaan dari penyidik. Penundaan tanpa dasar tertulis mengekspos perusahaan pada sanksi administratif dan memperbesar kerugian subjek data.

Kesalahan yang harus dihindari: menunggu laporan forensik lengkap, atau menyerahkan keputusan kepada tim komunikasi.

Containment dan notifikasi berjalan paralel, bukan berurutan.

Containment yang tidak boleh menunggu: isolasi server, pencabutan kredensial dan sesi, blokir kanal command-and-control, patch webshell, dan peningkatan pemantauan. Namun containment harus dilakukan dengan preservasi bukti: ambil image memori dan disk sebelum rebuild, jangan menghapus log, dan libatkan forensik pihak ketiga.

Notifikasi tetap berjalan berdasarkan informasi terbaik yang tersedia. Notifikasi awal tidak harus sempurna; justru berisi 'kami masih menyelidiki' dengan komitmen pembaruan. Menunda sampai containment selesai berarti melewati tenggat 3x24 jam.

Implikasi log tidak lengkap. Ini memperbesar, bukan memperkecil, cakupan. Log debug berisi nomor kartu sejak 2022, sehingga angka 18.000 adalah yang ditemukan, bukan batas paparan. Asumsi konservatif yang benar: seluruh nomor kartu yang pernah masuk ke berkas log sejak 2022 harus dianggap berisiko, dan rentang waktu eksposur diperlakukan sebagai 'sejak 2022 hingga kini' sampai terbukti sebaliknya. Konsekuensi praktisnya: penggantian kartu dan pemberitahuan ke acquirer harus mencakup populasi yang lebih luas.

Pelajaran tata kelola: nomor kartu tidak boleh masuk ke log sama sekali; terapkan penyamaran dan tokenisasi; tetapkan masa simpan log yang eksplisit; dan uji apakah rotasi log merusak kemampuan investigasi. Log yang tidak lengkap juga melemahkan kemampuan memenuhi kewajiban pembuktian bila otoritas meminta kronologi insiden.

Prinsip: pemberitahuan harus jujur, spesifik, dan berorientasi pada tindakan yang dapat diambil subjek data - bukan pernyataan pemasaran.

Kerangka pemberitahuan:

1. Apa yang terjadi: akses tidak sah terhadap sistem, kapan diketahui, dan perkiraan rentang waktu paparan (termasuk pengakuan bahwa log tidak lengkap sehingga cakupan diperkirakan konservatif).
2. Data apa: NIK, nama, telepon, alamat, kata sandi (di-hash), dan nomor kartu bagi segmen terdampak. Sebutkan secara spesifik per kelompok, jangan digabung menjadi satu pesan samar untuk semua orang.
3. Dampak yang mungkin: penipuan identitas, pengambilalihan akun, penyalahgunaan kartu.
4. Apa yang sudah dilakukan: pencabutan sesi, reset kata sandi, pemblokiran dan penggantian kartu, keterlibatan forensik dan penegak hukum.
5. Apa yang harus dilakukan subjek data: ganti kata sandi (dan kata sandi yang sama di layanan lain), waspada terhadap telepon atau surel yang mengatasnamakan TokoBesar, aktifkan autentikasi dua faktor, pantau mutasi kartu.
6. Kontak dan kanal bantuan, termasuk nomor bebas pulsa dan jam operasional; serta cara mengajukan pertanyaan atau keluhan.

Tindakan khusus data kartu:

• Notifikasi ke acquirer dan skema kartu dalam 72 jam, serta koordinasi penggantian kartu dengan bank penerbit.
• Panggil penyelidik forensik pembayaran yang disetujui skema bila diminta.
• Hentikan penyimpanan nomor kartu dalam log, terapkan tokenisasi atau penyamaran, dan verifikasi kepatuhan PCI DSS pada jalur aplikasi lama.
• Audit retensi: data sejak 2022 seharusnya sudah tidak ada; ketiadaan kebijakan retensi adalah temuan tersendiri.

Yang harus dihindari: menyatakan 'tidak ada bukti penyalahgunaan' sebagai alasan untuk tidak memberi tahu, atau menunda pemberitahuan sampai kartu diganti; subjek data memerlukan informasi itu sekarang untuk melindungi diri.