Apa itu tata kelola data untuk keamanan?

Tata kelola data penting untuk keamanan karena memberikan cara yang konsisten bagi organisasi untuk mengidentifikasi data sensitif, melindunginya, mengontrol aksesnya, dan memantau penggunaannya. Jika fondasi itu sudah ada, tim keamanan dapat mengurangi risiko di seluruh lingkungan kompleks yang mencakup layanan cloud, sistem lokal, aplikasi SaaS, titik akhir, dan alat AI.

Tata kelola data yang kuat membantu tim keamanan menurunkan risiko pelanggaran data, serangan cyber, dan ancaman dari dalam dengan membuat data sensitif lebih mudah ditemukan, diklasifikasikan, dilindungi, dan dilacak. Hal ini juga mengurangi paparan tidak sengaja dengan menerapkan kontrol akses dan penegakan kebijakan yang jelas, sehingga data lebih kecil kemungkinannya dibagikan berlebihan atau ditangani di luar batas yang disetujui.

Seiring organisasi mengadopsi lebih banyak layanan cloud, platform SaaS, dan aplikasi AI, tata kelola menyediakan struktur umum untuk praktik perlindungan dan kepatuhan di seluruh lingkungan tersebut. Konsistensi itu membantu tim mengelola risiko data tanpa bergantung pada aturan yang berbeda untuk setiap sistem atau alur kerja.

Manfaat utama bagi tim keamanan

Program tata kelola yang terdefinisi dengan baik dapat membantu organisasi:

• Kurangi risiko pelanggaran dan ancaman dari dalam dengan mengidentifikasi, melindungi, dan memantau data sensitif.
• Cegah paparan tidak sengaja dan berbagi berlebihan melalui kontrol akses dan penegakan kebijakan yang kuat.
• Dukung adopsi cloud, SaaS, dan AI dengan menerapkan praktik perlindungan dan kepatuhan yang terstandar di seluruh lingkungan.
• Perkuat kepatuhan dan kesiapan audit dengan menyelaraskan penanganan data dengan persyaratan hukum, regulasi, dan industri.
• Tingkatkan respons insiden dengan membuat akses dan penggunaan data lebih mudah dilacak selama investigasi.
• Bangun kepercayaan pada data bisnis dan data AI agar tim dapat mengambil keputusan dengan lebih percaya diri.
• Tingkatkan efisiensi operasional melalui kontrol yang lebih otomatis dan terstandar.

Tanpa tata kelola yang jelas, tim keamanan sering menghabiskan lebih banyak waktu untuk mencari data sensitif, memastikan siapa yang memiliki akses, dan menyusun kembali bagaimana informasi berpindah di seluruh sistem. Dengan tata kelola yang ada, mereka memiliki dasar yang lebih kuat untuk perlindungan, investigasi, peninjauan kepatuhan, dan pengambilan keputusan sehari-hari.

Program tata kelola data modern yang dipimpin keamanan membutuhkan dua hal:

• Siklus hidup yang jelas untuk pelaksanaan pekerjaan tata kelola.
• Serangkaian area fokus inti yang memandu keputusan sehari-hari.

Bersama-sama, elemen-elemen ini membantu organisasi mengidentifikasi, mengklasifikasikan, melindungi, dan memantau data sensitif di seluruh bisnis.

Kerangka kerja praktis dimulai dengan siklus hidup yang dapat diulang. Setiap tahap dibangun di atas tahap sebelumnya, memberi tim operasi keamanan (SecOps) cara yang terstruktur untuk mengelola risiko data dari waktu ke waktu.

1. Menetapkan kebijakan dan standar

Tetapkan aturan tentang bagaimana data sensitif harus diklasifikasikan, diakses, dibagikan, disimpan, dan dilindungi, dengan persyaratan keamanan dan kepatuhan yang diterapkan sejak awal.

2. Menerapkan kontrol keamanan dan tata kelola

Terapkan aturan tersebut melalui kontrol teknis, pembatasan akses, pelabelan, dan penegakan kebijakan di seluruh sistem dan alur kerja.

3. Memantau penggunaan data dan risiko

Lacak ke mana data sensitif berpindah, bagaimana data digunakan, dan di mana aktivitas berisiko atau pergeseran kebijakan mungkin mulai berkembang.

4. Menyelidiki dan menanggulangi insiden

Tinjau masalah, lacak aktivitas, batasi paparan, dan perbaiki celah dalam akses, penanganan, atau pengawasan.

5. Ulangi dan tingkatkan

Sempurnakan kebijakan, kontrol, dan proses seiring perubahan ancaman, kebutuhan bisnis, teknologi, dan regulasi.

Kematangan tata kelola data membantu organisasi menilai program mereka saat ini melalui lensa keamanan—dari kontrol reaktif ad hoc hingga kerangka keamanan yang lebih proaktif. Ini memberi tim cara praktis untuk memahami posisi mereka saat ini dan apa yang perlu ditingkatkan berikutnya.

Tinjauan kematangan harus menelaah secara cermat area yang paling memengaruhi risiko dan pengawasan data. Ini mencakup seberapa baik organisasi menemukan data sensitif, menerapkan kontrol akses, merespons insiden, dan memantau kepatuhan dari waktu ke waktu.

Pertanyaan yang perlu diajukan meliputi:

• Apakah data sensitif diklasifikasikan secara konsisten di seluruh lingkungan?
• Apakah kebijakan akses diterapkan dengan jelas dan diberlakukan dengan hak akses minimum?
• Apakah tim dapat memantau perilaku data yang berisiko dan ancaman yang muncul secara berkelanjutan?
• Apakah proses audit dan respons insiden dilakukan secara rutin, dapat dilacak, dan tepat waktu?

Seiring program matang, tujuan yang berfokus pada keamanan harus menjadi lebih konsisten dan lebih mudah diukur. Tujuan umum meliputi:

• Klasifikasi data sensitif yang konsisten di semua lingkungan sehingga jenis informasi yang sama ditangani dengan cara yang sama
• Penegakan otomatis prinsip hak akses minimum dan kebijakan akses untuk mengurangi akses yang tidak perlu dan membatasi penyimpangan kebijakan
• Pemantauan berkelanjutan terhadap perilaku data yang berisiko dan ancaman agar masalah dapat ditemukan lebih awal

Audit rutin dan respons insiden yang cepat serta dapat dilacak untuk mendukung investigasi, akuntabilitas, dan peninjauan kepatuhan.

Model kematangan dapat membantu membandingkan kemajuan, memprioritaskan investasi keamanan, dan mengomunikasikan peningkatan kepada pimpinan dengan cara yang jelas. Ini juga memberi tim struktur bersama untuk menentukan celah mana yang harus ditangani terlebih dahulu dan cara mengukur perubahan dari waktu ke waktu.

Kematangan tata kelola data bukanlah pencapaian satu kali. Program harus ditinjau dan disempurnakan seiring perubahan ancaman, teknologi, dan regulasi, sehingga kontrol keamanan dan praktik tata kelola terus sesuai dengan risiko saat ini.

Tata kelola data, keamanan data, dan kepatuhan saling terkait erat, tetapi ketiganya tidak sama. Tata kelola data mendefinisikan bagaimana data diatur, dimiliki, dan dikelola di seluruh bisnis. Keamanan data menerapkan kontrol teknis dan proses untuk melindungi data tersebut. Kepatuhan memastikan praktik tata kelola dan keamanan tersebut selaras dengan hukum, peraturan, dan industri.

Tata kelola data menetapkan struktur di sekitar data. Tata kelola ini mendefinisikan siapa yang memiliki data, bagaimana data harus diklasifikasikan, bagaimana data harus ditangani, dan standar apa yang berlaku di seluruh organisasi. Bagi tim keamanan, tata kelola menyediakan model operasional untuk mengelola informasi sensitif secara konsisten.

Keamanan data menerapkan aturan tersebut melalui kontrol yang membantu melindungi informasi sensitif dari kehilangan, penyalahgunaan, atau akses tidak sah. Contoh umum meliputi DLP, manajemen hak informasi (IRM), label sensitivitas, manajemen postur keamanan data (DSPM), dan kontrol risiko dari dalam. Langkah-langkah ini membantu mengurangi paparan di seluruh layanan cloud, sistem lokal, titik akhir, aplikasi, dan alur kerja AI.

Kepatuhan berfokus pada apakah praktik data memenuhi persyaratan eksternal dan internal. Ini mencakup kerangka regulasi seperti GDPR dan HIPAA, bersama dengan kebijakan perusahaan dan ekspektasi audit. Dalam praktiknya, kepatuhan bergantung pada tata kelola yang baik dan kontrol keamanan yang kuat.

Ketiga disiplin ini paling efektif saat selaras:

• Tata kelola mendefinisikan bagaimana data harus diatur, dimiliki, dan dikelola.
• Keamanan menerapkan kontrol untuk melindungi data tersebut dalam penggunaan sehari-hari.
• Kepatuhan memeriksa apakah kontrol dan proses tersebut memenuhi standar yang dipersyaratkan.

Microsoft Purview menyediakan pendekatan terpadu di seluruh disiplin ini pada satu platform, dengan kemampuan yang mencakup kebutuhan perlindungan, tata kelola, dan kepatuhan di era AI.

Tim keamanan menggunakan alat tata kelola data untuk menemukan data sensitif, mengklasifikasikannya, mengontrol akses, dan memantau risiko di seluruh layanan cloud, sistem lokal, aplikasi SaaS, titik akhir, dan alat AI. Teknologi ini membantu organisasi menerapkan perlindungan yang konsisten di seluruh lingkungan data yang luas dan sering kali terfragmentasi.

Kumpulan alat tata kelola data yang kuat harus mendukung beberapa fungsi utama:

Terpadu penemuan data dan klasifikasi. Temukan data sensitif di lingkungan cloud, lokal, SaaS, dan AI, lalu klasifikasikan berdasarkan sensitivitas dan dampak bisnis.

Pelabelan sensitivitas dan penegakan kebijakan. Terapkan aturan yang jelas tentang cara data dapat diakses, dibagikan, disimpan, dan digunakan.

Pencegahan kehilangan data (DLP). Deteksi dan blokir pergerakan data berisiko di email, titik akhir, browser, dan aplikasi cloud.

Manajemen risiko dari dalam. Identifikasi perilaku pengguna yang dapat membahayakan data sensitif, baik melalui penyalahgunaan, kelalaian, maupun pelanggaran kebijakan.

Manajemen postur keamanan data (DSPM). Nilai risiko data secara berkelanjutan, tinjau celah kontrol, dan lacak masalah yang terkait dengan penggunaan AI, berbagi berlebihan, dan konten sensitif yang terekspos.

Katalog data dan glosarium bisnis. Dukung konsistensi dengan memberi tim cara bersama untuk mendeskripsikan, mengatur, dan menemukan data di seluruh bisnis.

Automasi dan AI dapat mengurangi upaya manual dengan membantu:

• Klasifikasi data sensitif
• Deteksi aktivitas berisiko
• Saran kebijakan dan pembaruan kontrol
• Peninjauan berkelanjutan atas paparan data dan pola akses

Kemampuan ini juga mendukung keamanan data AI dengan membantu tim memantau cara data sensitif digunakan dalam alur kerja berbasis AI. Dengan begitu, tim keamanan menghabiskan lebih sedikit waktu untuk peninjauan manual dan lebih banyak waktu untuk meningkatkan perlindungan serta merespons risiko.

Tanpa alat yang tepat, sulit melacak lokasi data sensitif, cara pelabelannya, siapa yang dapat mengaksesnya, dan bagaimana data berpindah di seluruh sistem. Dengan set alat tata kelola yang lebih kuat, tim keamanan dapat menerapkan kontrol yang lebih konsisten, merespons masalah lebih cepat, dan menjaga pengawasan yang lebih baik di seluruh lingkungan data modern.

Program tata kelola data yang kuat bekerja paling baik ketika tim keamanan, data, dan kepatuhan berbagi tanggung jawab atas cara informasi sensitif ditangani. Kepemilikan yang jelas, kebijakan yang praktis, dan peninjauan rutin membantu organisasi mengurangi risiko sambil mengikuti perubahan teknologi, kebutuhan bisnis, dan regulasi.

Tata kelola data tidak boleh berada di satu tim saja. Pemimpin keamanan, pemimpin data, tim kepatuhan, dan sponsor eksekutif semuanya berperan dalam menetapkan prioritas, menyetujui kebijakan, dan meninjau risiko. Kepemilikan bersama membantu menjaga tata kelola tetap selaras dengan tujuan bisnis dan persyaratan keamanan.

Tidak semua data memiliki tingkat risiko yang sama. Langkah awal yang praktis adalah fokus pada area yang akan mengalami dampak terbesar jika terjadi paparan risiko, seperti:

• Data SDM
• Data pelanggan
• Data keuangan
• Hak milik intelektual

Memulai dengan domain ini membantu tim menangani informasi yang paling sensitif sebelum memperluas upaya tata kelola secara lebih luas.

Kebijakan tata kelola harus selaras dengan prinsip keamanan inti, terutama Zero Trust dan hak akses minimum. Artinya, akses ke data sensitif harus dibatasi, ditinjau secara berkala, dan dikaitkan dengan kebutuhan bisnis yang jelas. Kebijakan juga harus mendefinisikan cara data diklasifikasikan, dibagikan, disimpan, dan dipantau.

Pekerjaan tata kelola manual dapat lambat dan sulit dipertahankan dalam skala besar. Automasi dapat membantu dengan mendukung:

• Pengungkapan data
• Klasifikasi
• Penerapan kebijakan
• Peninjauan berkelanjutan atas pola akses dan penggunaan

Ini memberi tim cara yang lebih konsisten untuk menerapkan kontrol di seluruh lingkungan yang kompleks.

Tata kelola harus ditinjau sebagai fungsi keamanan yang berkelanjutan, bukan penyiapan satu kali. Pemantauan berkelanjutan membantu tim menemukan perilaku data yang berisiko, meninjau aktivitas audit, dan mengidentifikasi celah kontrol lebih awal. Sinyal yang berguna dapat mencakup log audit, insight postur keamanan data, dan temuan insiden.

Kebijakan tata kelola harus ditinjau dan diperbarui saat organisasi mengadopsi layanan cloud, alat AI, dan platform kolaborasi baru. Teknologi baru sering mengubah cara data dibuat, dibagikan, dan diakses, yang berarti aturan tata kelola mungkin juga perlu diubah.

Program tata kelola yang kuat bergantung pada lebih dari sekadar alat dan kebijakan. Program ini juga memerlukan budaya pengelolaan dan akuntabilitas data, dengan tim yang memahami perannya dalam melindungi informasi sensitif dan mengikuti praktik yang disetujui.

Model kematangan dapat membantu organisasi mengukur kemajuan, mengidentifikasi titik lemah, dan menetapkan prioritas untuk peningkatan. Model ini juga memberi pimpinan gambaran yang lebih jelas tentang perkembangan upaya tata kelola dari waktu ke waktu.

Bahkan program tata kelola data yang direncanakan dengan baik pun dapat menghadapi hambatan. Masalah yang paling umum meliputi data yang terkotak-kotak, visibilitas terbatas, keterbatasan sumber daya, dan penolakan terhadap perubahan. Masalah ini dapat memperlambat kemajuan, menciptakan celah dalam postur keamanan, dan membuat tim keamanan lebih sulit menerapkan perlindungan yang konsisten di seluruh organisasi.

Data silo

Informasi sensitif sering berada di berbagai sistem, tim, dan platform yang terpisah. Saat data tersebar, menjadi lebih sulit untuk mengklasifikasikan, melindungi, dan memantaunya secara konsisten.

Kurangnya visibilitas

Banyak organisasi kesulitan melihat di mana data sensitif berada, siapa yang dapat mengaksesnya, dan bagaimana data berpindah di seluruh layanan cloud, titik akhir, aplikasi SaaS, dan alat AI. Tanpa pandangan itu, risiko lebih sulit dikelola.

Batasan sumber daya

Pekerjaan tata kelola dapat terhenti saat tim tidak memiliki cukup waktu, staf, atau dukungan teknis untuk menjaga kebijakan, klasifikasi, dan peninjauan tetap mutakhir.

Resistansi organisasi

Upaya tata kelola sering memerlukan perubahan dalam cara orang menyimpan, berbagi, dan mengelola informasi. Hal itu dapat menimbulkan gesekan jika tim menganggap tata kelola sebagai proses tambahan, bukan bagian dari pengurangan risiko.

Beberapa langkah terfokus dapat membantu program maju:

• Mulai dengan domain data berisiko tinggi seperti data SDM, keuangan, pelanggan, atau kekayaan intelektual, alih-alih mencoba menata kelola semuanya sekaligus.
• Tingkatkan visibilitas terlebih dahulu dengan mengidentifikasi di mana data sensitif disimpan dan bagaimana data itu diakses.
• Gunakan automasi bila memungkinkan untuk penemuan, klasifikasi, dan penegakan kebijakan agar upaya manual berkurang.
• Tetapkan kepemilikan yang jelas di seluruh tim keamanan, data, dan kepatuhan agar keputusan tata kelola tidak terhambat.
• Tinjau dan perbarui kebijakan secara rutin seiring perubahan layanan cloud, alat AI, dan alur kerja bisnis.
• Gunakan model kematangan untuk melacak kemajuan dan menunjukkan kepada pimpinan area yang memerlukan perhatian atau investasi lebih.

Tujuannya bukan untuk menyelesaikan semua masalah tata kelola sekaligus. Pendekatan yang konsisten—berfokus pada visibilitas, kepemilikan bersama, dan peningkatan yang mudah dikelola—dapat membuat tata kelola lebih berkelanjutan dan lebih bermanfaat bagi tim keamanan dari waktu ke waktu.

Program tata kelola data yang berfokus pada keamanan memerlukan alat yang membantu tim memahami data mereka, mengaturnya dengan jelas, dan menerapkan pengawasan yang konsisten di seluruh bisnis. Tata Kelola Data Microsoft Purview menyediakan cara untuk mengelola, memahami, dan menata kelola data dengan pendekatan terpadu, dengan fitur yang berfokus pada visibilitas, kurasi, dan kepercayaan terhadap data.

Organisasi dapat menyederhanakan visibilitas di berbagai katalog dan sumber data yang berbeda, mendukung pengelola data dengan informasi kualitas dan silsilah data, serta meningkatkan penemuan dan pemahaman data dalam skala besar melalui Tata Kelola Data Microsoft Purview. Pengalaman tata kelolanya mencakup Data Map untuk memindai aset dan menangkap metadata, serta Katalog Terpadu untuk mencari, melakukan kurasi, dan mengelola akses ke data.

Bagi tim keamanan dan kepatuhan, infrastruktur data yang dikelola lebih baik dapat memudahkan untuk:

• Menemukan data sensitif di seluruh lingkungan terdistribusi.
• Meningkatkan kepercayaan pada data melalui informasi kualitas dan silsilah data.
• Mendukung penggunaan data yang bertanggung jawab dalam skenario analitik dan AI.
• Bekerja dari tampilan yang lebih terpadu atas kebutuhan keamanan, tata kelola, dan kepatuhan data.

Pelajari selengkapnya tentang membangun tata kelola data tingkat perusahaan untuk organisasi Anda dengan Tata Kelola Data Microsoft Purview.