Melindungi Informasi Personal (PII) di Amazon S3

Teknologi informasi semakin intensif digunakan dalam kegiatan sehari-hari. Bisa meliputi kegiatan medis, kesehatan, finansial, sosial, politik dan lainnya. Dalam penggunaan teknologi informasi tersebut, terkadang kita memerlukan untuk menyimpan Informasi Personal (PII) ke sebuah sistem informasi. Termasuk seperti aplikasi rekam medis, rumah sakit, klinik, belanja online, media sosial dan lainnya. Lalu bagaimana kita melindungi Informasi Personal (PII) terutama jika sistem yang Anda kelola menggunakan public cloud? Dalam artikel ini kita akan membahas berbagai praktik pengamanan Informasi Personal (PII) di Amazon s3.

Penyangkalan:

• informasi yang dituliskan di artikel ini hanya untuk keperluan umum
• kami tidak memberikan jaminan mengenai kelengkapan, kehandalan dan akurasi dari informasi yang diterbitkan
• dengan membaca artikel ini, Anda berarti setuju dengan "Disclaimer" yang mencakup seluruh situs Dojotek.id ini (referensi: Disclaimer)

Amazon S3 adalah layanan penyimpanan objek dari Amazon Web Services (AWS) yang menawarkan skalabilitas, ketersediaan data, keamanan dan performa yang bagus. Perusahaan dengan berbagai ukuran dapat menggunakannya untuk menyimpan dan melindungi data untuk berbagai kasus penggunaan seperti data-lake, aplikasi cloud-native dan aplikasi seluler (mobile application). Amazon S3 menawarkan durabilitas data 99,999999999%, menyimpan data milik kita di beberapa perangkat setidaknya di tiga Availability Zone (AZ) yang berbeda di dalam sebuah AWS Region.

Tidak dapat dipungkiri Amazon S3 menjadi media penyimpanan data yang dapat diandalkan tanpa repot merencanakan kapasitas penyimpanan, seperti jika kita menggunakan block storage seperti Amazon EBS volume (Elastic Block Storage). Amazon S3 menjadi tempat favorit untuk menyimpan berbagai file seperti foto, video, dokumen, PDF, JSON dan lainnya. Tidak menutup kemungkinan berbagai jenis file tersebut mengandung Informasi Personal (PII) yang tentunya harus diproteksi dengan baik.

Ada satu standar internasional (juga nasional) yang memberikan panduan sesuai dengan artikel kali ini. Standar tersebut adalah ISO/IEC 27018:2014 atau versi nasional yaitu SNI ISO/IEC 27018:2016 dengan judul "Teknologi informasi - Teknik keamanan - Petunjuk praktik perlindungan informasi personal (PII) dalam public cloud yang berperan sebagai pemroses PII". Jika memerlukannya untuk keperluan perusahaan tempat Anda bekerja atau untuk klien, maka bisa membelinya dari situs web Pesta milik BSN (Badan Standardisasi Nasional). Standar tersebut cakupannya lebih menyeluruh, sedangkan artikel ini kita hanya membahas fitur-fitur pengamanan di Amazon S3.

Contoh-contoh fitur pengamanan data Amazon S3:

1. in-transit encryption, Anda bisa mengatur kebijakan (S3 bucket policy) agar transfer data Amazon S3 wajib menggunakan TLS
2. on-rest encryption, Anda bisa mengatur kebijakan agar penyimpanan data di Amazon S3 wajib menggunakan enkripsi. Ada tiga pilihan manajemen kunci untuk enkripsi server-side yaitu SSE-KMS, SSE-C, SSE-S3.
3. pencatatan akses data, Anda bisa menggunakan fitur internal yaitu Amazon S3 server logs
4. audit pemanggilan API Amazon S3, Anda bisa memantau request apa saja yang dikirim ke Amazon S3 bucket milik perusahaan Anda dengan memanfaatkan AWS CloudTrail (Anda wajib mengaktifkan CloudTrail terlebih dahulu)
5. audit akses data Amazon S3, Anda bisa memantau aktivitas terhadap berbagai objek yang ada di Amazon S3 bucket milik perusahaan Anda dengan memanfaatkan AWS CloudTrail (Anda wajib mengaktifkan CloudTrail, lebih tepatnya logging data event untuk Amazon S3 Object)
6. object lock, mencegah objek di Amazon S3 dihapus secara tidak sengaja

Selain enam poin yang telah disebutkan, pengamanan informasi personal (PII) di Amazon S3 dapat juga ditambahkan dengan menggunakan layanan Amazon Macie, sebuah layanan pengamanan dan privasi data yang menggunakan pembelajaran mesin (machine learning) dan pencocokan pola untuk menemukan dan melindungi data sensitif di AWS. Macie secara otomatis akan pendataan Amazon S3, mencakup daftar S3 bucket yang tidak di-enkripsi, S3 bucket  yang dapat diakses oleh publik, juga daftar S3 bucket yang dibagikan ke akun AWS yang di luar AWS Organization perusahaan Anda. Lalu Macie akan menerapkan teknik pembelajaran mesin dan pencocokan pola untuk identifikasi dan memberi tahu data sensitif, seperti informasi personal (PII).

Pemberitahuan dan temuan Macie dapat dicari dan disaring di AWS Management Console dan dikirim ke Amazon EventBridge (dulu namanya CloudWatch Events), agar Anda bisa mengkombinasikanya dengan berbagai layanan AWS (SNS, Lambda dan lainnya).

Sekian informasi terkait pengamanan informasi personal (PII) di Amazon S3. Rencanakan pengamanan informasi personal yang perusahaan Anda kelola dengan baik. Manfaatkanlah berbagai fitur pengamanan yang telah disediakan di Amazon S3. Fitur-fitur yang disediakan sangat membantu Anda untuk memenuhi syarat dari top-management, regulasi, standar ISO / SNI, juga dari tim GRC.