Kes 5: Insiden Kebocoran Akaun E-mel dan Data Pemohon
Pada 8 Julai 2025, jam 7.40 pagi, seorang pegawai Unit Khidmat Pelanggan Pejabat Daerah Seri Murni mendapati akaun e-mel rasminya menghantar kira-kira 300 e-mel kepada kenalan dengan pautan 'semak resit'. Semakan awal menunjukkan beliau telah memasukkan kata laluan ke laman pendua dua hari sebelum itu selepas mengklik pautan dalam e-mel yang kelihatan seperti notis dalaman. Akaun itu memberi akses kepada folder kongsi 'Pemohon2025' yang mengandungi 3,200 rekod dengan nama, nombor kad pengenalan dan anggaran pendapatan bulanan. Komputer riba yang digunakan untuk mengakses folder tersebut dilaporkan hilang dari dalam kereta seminggu lalu, tetapi tiada laporan polis dibuat. Sandaran terakhir folder itu ialah 14 Jun 2025. Tiada pelan tindak balas insiden di peringkat pejabat, pegawai atasan sedang bercuti di luar negara, dan unit IT jabatan hanya mempunyai dua anggota yang belum dimaklumkan.
1. Susun tindakan anda dalam 24 jam pertama mengikut urutan keutamaan. Bagi setiap tindakan, nyatakan sebab tindakan itu didahulukan.
Read the worked answer
1. Hentikan penyebaran (0–1 jam). Set semula kata laluan akaun terjejas, batalkan sesi aktif, aktifkan pengesahan dua faktor, dan sekat akaun sementara. Sebab: setiap minit kelewatan bermakna lebih banyak e-mel pancingan dihantar atas nama pejabat. Ini juga menghalang penyerang daripada memadam log.
2. Lindungi bukti (1–3 jam). Jangan padam komputer atau peti masuk. Eksport log e-mel, log masuk, dan senarai penerima 300 e-mel; simpan salinan baca sahaja. Sebab: bukti diperlukan untuk siasatan, laporan polis dan penilaian insiden; memadam atau 'membersihkan' akaun memusnahkan bukti.
3. Hadkan pendedahan data (3–6 jam). Tarik akses folder 'Pemohon2025' daripada akaun terjejas, semak siapa lagi yang mempunyai akses, dan tukar kata laluan akaun kongsi jika ada. Sebab: akaun e-mel sudah menjadi pintu masuk; akses fail mesti ditutup serta-merta.
4. Maklumkan rantaian arahan (dalam 6 jam). Hubungi pegawai atasan melalui saluran alternatif, maklumkan ketua jabatan dan unit IT, dan tetapkan seorang pegawai sebagai penyelaras insiden. Sebab: keputusan seperti menutup sistem atau memaklumkan orang awam memerlukan kuasa yang lebih tinggi; kelewatan memaklumkan menjadikan pegawai terdedah kepada tuduhan menyembunyikan insiden.
5. Laporan polis dan saluran siber (hari yang sama). Buat laporan polis bagi kehilangan komputer riba dan akses tanpa kebenaran, serta hubungi pusat tindak balas insiden siber kebangsaan (Cyber999) untuk bantuan teknikal. Sebab: kehilangan peranti dan akses tanpa kebenaran adalah isu jenayah, bukan sekadar isu dalaman.
6. Nilai skop sebenar (sebelum 24 jam tamat). Tentukan sama ada data benar-benar dimuat turun, sama ada 300 penerima telah mengklik, dan sama ada akaun lain terjejas. Sebab: keputusan seterusnya bergantung pada fakta, bukan andaian.
2. Apakah kewajipan pemberitahuan dan komunikasi kepada pihak berkepentingan? Nyatakan siapa yang perlu dimaklumkan, apa yang perlu dinyatakan, dan apa yang tidak boleh dijanjikan.
Read the worked answer
Pihak yang perlu dimaklumkan. (a) Pengurusan atasan dan pegawai keselamatan maklumat jabatan - segera, secara bertulis ringkas; (b) unit IT dan pembekal sistem e-mel; (c) polis bagi kehilangan peranti dan akses tanpa kebenaran; (d) pusat tindak balas insiden siber kebangsaan untuk pengesanan dan nasihat; (e) pemilik proses bagi data pemohon, kerana merekalah yang akan berurusan dengan orang awam; (f) pemohon yang terjejas, setelah skop pendedahan disahkan.
Kandungan pemberitahuan. Nyatakan apa yang berlaku dalam bahasa biasa, data apa yang terlibat, tarikh dan tempoh, apa yang telah dilakukan, apa yang perlu pemohon lakukan (contohnya berhati-hati terhadap panggilan yang meminta nombor kad pengenalan atau bayaran), dan saluran pertanyaan. Sertakan nombor hubungan yang benar-benar berfungsi.
Apa yang tidak boleh dijanjikan. Jangan nyatakan 'tiada data bocor' sebelum forensik selesai; jangan janjikan bahawa tiada penyalahgunaan akan berlaku; jangan dedahkan butiran teknikal yang boleh membantu penyerang; dan jangan menyalahkan pegawai secara terbuka sebelum siasatan selesai.
Kerangka rujukan. Perlindungan data peribadi di Malaysia lazimnya dirujuk kepada prinsip dalam Akta Perlindungan Data Peribadi 2010, yang terpakai terutamanya kepada transaksi komersial; bagi sektor awam, kewajipan operasi berpandukan dasar dan pekeliling keselamatan maklumat sektor awam serta arahan agensi pusat. Pegawai harus menyemak keperluan pemberitahuan yang berkuat kuasa pada tarikh insiden dan merekodkan setiap pemberitahuan beserta masa, penerima dan kandungan, kerana rekod ini menjadi bukti tindakan wajar jika insiden disemak kemudian.
3. Cadangkan kawalan pencegahan dan penambahbaikan tadbir urus supaya insiden ini tidak berulang. Bagaimana anda mengukur keberkesanannya?
Read the worked answer
Kawalan teknikal. (a) Pengesahan dua faktor untuk semua akaun e-mel rasmi, tanpa pengecualian bagi pegawai kanan; (b) penyimpanan data pemohon dalam sistem berpusat dengan kawalan akses mengikut peranan, bukan folder kongsi terbuka; (c) penyulitan cakera pada komputer riba dan kunci peranti; (d) sandaran automatik harian dengan satu salinan di luar lokasi, disemak pemulihannya setiap bulan - jurang sandaran 24 hari dalam kes ini menunjukkan sandaran tidak pernah diuji; (e) penapisan e-mel masuk dan amaran pautan luaran.
Kawalan tadbir urus. (a) Pelan tindak balas insiden satu halaman dengan senarai hubungan, kuasa membuat keputusan, dan templat pemberitahuan; (b) daftar aset dan prosedur pelaporan kehilangan peranti dalam tempoh 24 jam, termasuk kewajipan laporan polis; (c) latihan pancingan e-mel dua kali setahun dengan simulasi, bukan sekadar taklimat; (d) pengasingan tugas antara pemegang data dan pentadbir sistem.
Pengukuran. Kadar penyertaan dan kadar 'klik' dalam simulasi pancingan (sasaran: penurunan berterusan); peratus akaun berdaftar dengan pengesahan dua faktor (sasaran 100%); masa pengesanan hingga pengasingan insiden; bilangan akaun dengan akses kepada data pemohon (sasaran: minimum yang perlu); dan keputusan ujian pemulihan sandaran bulanan. Laporkan metrik ini kepada ketua jabatan setiap suku tahun, kerana kawalan yang tidak diukur akan luntur dalam tempoh enam bulan apabila perhatian beralih kepada urusan lain.