"Kebocoran informasi karyawan outsourcing, perusahaan juga bertanggung jawab"…peringatan dari kasus deepfake Busan

Terkait kasus baru-baru ini ketika seorang staf pemeliharaan dan perbaikan pihak ketiga di sebuah sekolah di wilayah Busan membawa keluar tanpa izin 220.000 berkas PC staf pengajar dan membuat konten eksploitasi seksual deepfake, muncul sorotan bahwa sistem pengelolaan tenaga eksternal perusahaan harus ditinjau ulang secara menyeluruh.

Kasus ini dinilai sebagai contoh yang, melampaui sekadar kejahatan perorangan, menyingkap celah pada tanggung jawab pengelolaan dan pengawasan perusahaan pihak ketiga serta sistem perlindungan informasi. Khususnya, muncul kekhawatiran bahwa insiden kebocoran informasi serupa dapat terjadi pula di lingkungan perusahaan yang sering dilalui tenaga eksternal, seperti pemeliharaan TI (teknologi informasi dan komunikasi) dan pengelolaan fasilitas.

Menurut kalangan hukum pada tanggal 14, Pasal 26 Undang-Undang Perlindungan Data Pribadi yang berlaku mengatur bahwa perusahaan yang mengalihdayakan pekerjaan harus mengelola dan mengawasi proses pengolahan data pribadi oleh pihak penerima kuasa. Dijelaskan bahwa apabila tenaga pihak ketiga mengakses PC kerja atau sistem awan (cloud) lalu membocorkan informasi, perusahaan pemberi kuasa pun sulit menghindari tanggung jawab.

Pengacara Jang Ji-un dari Firma Hukum Daeryun menjelaskan, “Pengadilan menilai secara penting seberapa setia kewajiban pengelolaan dan pengawasan terhadap penerima kuasa dilaksanakan,” dan “Apabila perusahaan tidak membangun sistem pengendalian dengan baik, berkemungkinan besar bahkan perbuatan melawan hukum penerima kuasa pun terhubung menjadi tanggung jawab perusahaan.”

Pengacara Jang khususnya menunjukkan kekhawatiran atas kenyataan bahwa cukup banyak perusahaan menilai telah memenuhi kewajiban hukum hanya dengan membuat surat pernyataan kerahasiaan (NDA) dalam proses kontrak alih daya. Ia menyoroti, “NDA bisa menjadi dasar untuk menuntut tanggung jawab setelah insiden terjadi, tetapi memiliki keterbatasan dalam membuktikan bahwa sistem pengelolaan telah disiapkan sebelumnya.”

Ia lalu menambahkan, “Ketika skala perusahaan pihak ketiga kecil atau kekuatan modalnya kurang, banyak pula kasus yang tuntutan ganti ruginya setelah kejadian sulit dilakukan secara nyata,” dan “Pada akhirnya, berkemungkinan besar perusahaan sendiri yang memikul beban finansial dan hukum.”

Pengacara Jang juga menekankan bahwa belakangan sistem keamanan perusahaan beralih dari ‘berbasis kepercayaan’ menjadi metode ‘zero trust (Zero-Trust)’. Dijelaskan bahwa diperlukan struktur yang mengendalikan secara sistem dan meninggalkan semua catatan tidak hanya bagi tenaga eksternal, tetapi juga karyawan internal.

Ia menyarankan, “Penguncian layar otomatis PC internal, sistem pencegahan kebocoran data (DLP), dan solusi pengendalian media penyimpanan harus dibangun secara wajib,” dan “Diperlukan pula sistem pengelolaan log yang dapat memverifikasi secara objektif apakah tenaga eksternal bekerja sendirian dan catatan akses berkas.”

Ia juga mengatakan, “Ketimbang klausul ganti rugi biasa, klausul denda wanprestasi yang dapat dituntut tanpa pembuktian besaran kerugian nyata harus dimasukkan dalam surat perjanjian,” dan “Mewajibkan perusahaan pihak ketiga mengikuti asuransi tanggung jawab ganti rugi keamanan siber juga merupakan langkah penanganan risiko yang realistis.”

Pengacara Jang menegaskan, “Kasus ini pada akhirnya menunjukkan bahwa perlindungan informasi mustahil hanya dengan kepercayaan pada manusia,” dan “Keamanan perusahaan harus dijalankan dengan berpusat pada sistem pengendalian yang dapat diverifikasi dan meninggalkan catatan, bukan pada etika perorangan.”

[Baca artikel selengkapnya]

“Kebocoran informasi oleh staf pihak ketiga, perusahaan pun bertanggung jawab”…lonceng peringatan atas kasus deepfake Busan (kunjungi)