Kecoh awal April yang lepas isu Panama Papers di mana 260 GB data firma perguaman Mossack Fonseca digodam masih sensasi hingga ke saat ini. Penggodaman ini menjadikan kes pencerobohan terbesar di dalam sejarah teknologi maklumat selama ini berbanding dengan kes dokumen percukaian Luxembourg (4.4 GB), dokumen HSBC (3.3 GB) dan WikiLeaks (1.7 GB).
Satu per satu individu atau profil ternama didedahkan seperti Raja Salman pemerintah Arab Saudi, Perdana Menteri Iceland Sigmundur Davíð Gunnlaugsson (yang telah meletakkan jawatan) dan Lionel Messi pemain bola sepak Barcelona terkenal daripada Argentina.
Tidak terlepas beberapa profil ternama daripada Malaysia seperti Kamaluddin Abdullah (anak kepada mantan Perdana Menteri, Tun Abdullah Ahmad Badawi), Mirzan Mahathir (anak kepada mantan Perdana Menteri,Tun Mahathir Mohamad) dan Mohamad Nazifuddin (anak kepada Perdana Menteri Malaysia , Datuk Seri Mohamad Najib).
Kesan daripada pendedahan ini telah memberi impak yang besar kepada reputasi individu serta hilang percaya kepada mana-mana syarikat yang pernah terpalit dengan isu seperti ini.
Dengan itu, mana-mana individu dan syarikat mestilah belajar mengambil pengajaran ke atas apa yang berlaku dalam isu Panama Papers.
5 pengajaran yang kita boleh ambil adalah :-
1.Tiada industri atau perniagaan yang selamat
Isu ini sepatutnya menjadi satu ‘wake up call’ kepada mana-mana syarikat mahupun organisasi yang tidak mengamalkan prosedur keselamatan maklumat yang tinggi. Sistem dan infrastruktur di firma guaman Mossack Fonseca adalah ketinggalan dan tidak dikemaskini secara tersusun.Setiap perniagaan juga mestilah peka dan maklum di manakah lokasi maklumat dan pengkalan data mereka berada; samada di premis atau di luar premis.
2.Pengkhianat pihak dalaman adalah serius
Pada awal isu ini sensasi, Mossack Fonseca mengumumkan bahawa pelayan emel (email server) mereka telah dicereboh dan spekulasi bercambah mengatakan maklumat telah dibocorkan oleh oleh pihak dalaman atau pekerja mereka sendiri.
Tidak semua organisasi mempunyai kelemahan daripada jenis ancaman yang sama, tetapi semuanya berkongsi kelemahan yang sama iaitu :- sumber manusia seperti staf, kontraktor, pekerja tetap mahupun tidak tetap dan seumpama dengannya. Sama ada serangan berpunca daripada dalam mahupun luar, hasil tetap sama dan kesannya besar. Namun demikian, bagaimana jika pernah berlaku situasi di mana ada pihak yang tidak berpuas hati dengan organisasi kita seperti bekas rakan kerjasama perniagaan atau pekerja. Misalnya, mekanisma mengurus ancaman daripada luar adalah lebih mudah kerana garis pemisah yang cukup jelas dan lebih mudah untuk diambil tindakan manakala ancaman daripada dalam adalah sukar untuk dikenalpasti dan dilindungi.
Pihak dalaman seperti staf dan kontraktor, telah diberi kepercayaan untuk akses kepada sistem dan aplikasi di dalam jaringan organisasi (corporate network). Adalah penting kepada Unit Teknologi Maklumat untuk memastikan semua pihak menjalankan kerja mereka mengikut skop yang telah ditetapkan untuk mengelakkan sebarang niat jahat daripada pihak yang berkepentingan.
Hasil daripada itu, sumber tenaga kerja organisasi akan fokus kepada mengenalpasti dan menangani ancaman dalaman sahaja.
Mana-mana organisasi sepatutnya mengambil langkah pengurusan keselamatan contohnya siapa yang ada akses kepada sistem atau pengkalan data syarikat.
Walau bagaimanapun, Mossack Fonseca telah menegaskan bahawa kejadian yang berlaku bukanlah berpunca daripada pihak dalaman namun mereka masih tidak menemui sebarang jawapan siapakah yang menjadi dalang kepada kejadian ini.
3.Setiap tanda walaupun kecil adalah penting
Jika berlaku situasi di mana sejumlah data yang besar diambil daripada syarikat anda, anda sepatutnya menyedari keadaan ini.Adalah lebih malang apabila anda diserang dan anda tidak menyedarinya langsung dalam tempoh yang panjang dan lebih teruk lagi anda tidak tahu apakah tindakan lanjut yang perlu diambil dalam menangani keadaan tersebut.Malangnya, tidak banyak organisasi yang bersedia menghadapi ancaman siber seperti ini dan mampu mengesan pencerobohan. Selalunya, unit teknologi maklumat hanya memantau keadaan trafik jaringan (network traffic) semata-mata tanpa melihat pada aspek keselamatan infrastruktur yang lebih luas.
4.Keselamatan maklumat bukanlah perkara main-main
Penguatkuasaan undang-undang melindungi data pengguna masih mempunyai ruang pembaikan yang besar, dan organisasi semestinya menguruskan maklumat syarikat pada kadar keutumaan yang tinggi.Amalan keselamatan maklumat yang lemah akan menyebabkan mana-mana organisasi berisiko untuk diserang dengan mencuri maklumat atau maklumat tersebut dihapuskan.
5.Bersikap responsif mengurangkan kadar impak serangan
Mana-mana organisasi mestilah berkebolehan menguruskan situasi pengkalan data dipecah masuk secepat mungkin. Kegagalan memilih orang yang betul untuk menguruskan situasi ini dan respon dengan jelas serta teratur kepada semua pihak berkepentingan adalah kegagalan terbesar organisasi.Pengurusan pencerobahan adalah suatu proses yang kompleks. Sumber manusia sesebuah syarikat mestilah mempunyai program latihan keselamatan siber yang komprehensif.Ini termasuklah seperti pelan respon insiden yang akan memberi panduan kepada mana-mana pihak yang terlibat dalam situasi sukar seperti ini. Di dalam pelan ini juga, peranan setiap pasukan telah digariskan dengan jelas seperti pengurusan pasukan dan peranan individu serta tanggungjawab pasukan menguruskan pencerobohan supaya mampu bertindak dengan cepat dan tepat terhadap pelanggan disamping mengurangkan kesan godaman.
Azril Hanafi
Head Of Cyber Security Division
Definite Security Malaysia
Sumber :-
-
http://www.hotforsecurity.com/blog/five-security-takeaways-from-the-panama-papers-breach-13723.html?utm_content=buffer9b767&utm_medium=social&utm_source=facebook.com&utm_campaign=buffer
-
http://www.theguardian.com/news/2016/apr/03/what-you-need-to-know-about-the-panama-papershttp://www.vox.com/2016/4/4/11360290/panama-papers-findings-document-leak-explained
-
http://www.theguardian.com/news/series/panama-papers
