Browser telah menjadi salah satu alat kerja utama bagi perusahaan yang menggunakan layanan cloud. Karyawan menggunakannya untuk mengakses Gmail, Google Drive, aplikasi internal, dan berbagai layanan SaaS lainnya. Karena itu, browser juga menjadi salah satu area yang perlu diperhatikan dalam strategi keamanan perusahaan.
Risiko muncul ketika pengguna memasang ekstensi yang tidak disetujui, menggunakan akun pribadi pada perangkat kerja, atau mengakses aplikasi web yang belum dievaluasi oleh tim IT. Praktik semacam ini sering disebut sebagai Shadow IT, yaitu penggunaan teknologi atau layanan tanpa proses persetujuan dan pengelolaan resmi dari organisasi.
Ekstensi browser juga perlu diperhatikan karena sebagian ekstensi meminta permission untuk membaca atau memodifikasi konten pada situs yang dikunjungi pengguna. Jika ekstensi tersebut berasal dari sumber yang tidak tepercaya atau memiliki akses yang terlalu luas, data perusahaan dapat ikut terekspos.
Dengan Chrome Enterprise dan kemampuan pengelolaan Chrome yang tersedia untuk organisasi, administrator dapat menerapkan kebijakan browser secara terpusat, mengontrol ekstensi, serta meningkatkan visibilitas terhadap konfigurasi browser yang digunakan pada perangkat perusahaan.
Memahami Risiko Shadow IT pada Browser
Shadow IT pada browser tidak selalu terlihat seperti instalasi software ilegal. Dalam lingkungan kerja berbasis cloud, risikonya dapat muncul dalam bentuk yang jauh lebih sederhana.
Seorang karyawan dapat memasang ekstensi AI untuk membantu menulis email, menggunakan aplikasi SaaS untuk mengonversi dokumen, atau menginstal extension produktivitas tanpa mengetahui bagaimana data yang diproses oleh layanan tersebut digunakan.
Masalahnya bukan semata-mata apakah sebuah extension berbahaya. Extension yang sah sekalipun dapat meminta permission yang lebih luas daripada yang sebenarnya dibutuhkan untuk menjalankan fungsinya.
Selain ekstensi, penggunaan akun Google pribadi pada perangkat perusahaan juga perlu dipertimbangkan. Ketika lingkungan kerja dan personal bercampur, perusahaan dapat kehilangan sebagian kontrol terhadap data, bookmark, extension, dan konfigurasi browser yang digunakan untuk pekerjaan.
Karena itu, strategi browser security perlu mencakup identitas, extension management, konfigurasi browser, serta kontrol akses terhadap data.
Menggunakan Chrome Enterprise untuk Pengelolaan Browser
Google menyediakan kemampuan pengelolaan Chrome untuk organisasi melalui Chrome Enterprise. Administrator dapat mengelola kebijakan browser secara terpusat dan menerapkannya kepada perangkat atau pengguna sesuai struktur organisasi.
Kebijakan yang tersedia mencakup berbagai aspek browser, termasuk extension management, URL blocking, security settings, sign-in controls, dan konfigurasi lainnya. Fitur dan tingkat pengelolaan yang tersedia bergantung pada jenis Chrome Enterprise management dan subscription yang digunakan.
Karena itu, perusahaan sebaiknya menentukan terlebih dahulu apakah kebutuhan mereka adalah mengelola browser pada perangkat perusahaan, mengelola browser pada perangkat BYOD, atau menerapkan kebijakan terhadap pengguna tertentu. Model pengelolaan tersebut dapat menghasilkan kontrol yang berbeda.
Mengelola Profil Chrome di Lingkungan Kerja
Profil Chrome membantu memisahkan bookmark, history, extension, dan pengaturan browser berdasarkan akun atau lingkungan pengguna.
Dalam organisasi, managed Chrome profile dapat membantu perusahaan menyediakan lingkungan browser yang dikonfigurasi untuk pekerjaan. Administrator dapat menerapkan kebijakan tertentu ketika pengguna menggunakan akun organisasi.
Pendekatan ini sangat berguna pada perangkat yang digunakan untuk mengakses data perusahaan karena konfigurasi browser dapat dibuat lebih konsisten.
Namun, managed profile bukan berarti seluruh data pribadi pengguna otomatis terisolasi atau tidak dapat bercampur dengan lingkungan kerja. Tingkat pemisahan bergantung pada kebijakan browser, jenis perangkat, dan bagaimana perangkat tersebut dikelola.
Untuk perangkat bersama atau perangkat yang digunakan bergantian oleh banyak orang, administrator juga dapat mempertimbangkan konfigurasi yang mengurangi penyimpanan data pengguna secara permanen pada perangkat.
Mengontrol Ekstensi Chrome
Extension management merupakan salah satu komponen penting dalam strategi pencegahan Shadow IT.
Administrator dapat menentukan extension mana yang diperbolehkan, diblokir, atau dipasang secara otomatis berdasarkan kebijakan organisasi. Chrome Enterprise juga menyediakan berbagai opsi untuk mengelola extension berdasarkan extension ID dan konfigurasi lainnya.
Pendekatan block-by-default dapat digunakan pada organisasi dengan kebutuhan keamanan tinggi. Dalam model ini, extension tidak langsung tersedia bagi pengguna kecuali sudah disetujui oleh tim IT.
Namun, tidak semua organisasi perlu memblokir seluruh extension. Tim IT dapat membuat kebijakan berdasarkan tingkat risiko dan kebutuhan pekerjaan. Extension yang diperlukan untuk aktivitas bisnis dapat diizinkan, sementara extension dengan permission yang terlalu luas atau berasal dari sumber yang tidak disetujui dapat dibatasi.
Dengan cara ini, keamanan tidak harus berarti setiap permintaan extension berakhir dengan tiket IT.
Menilai Permission Sebelum Mengizinkan Extension
Salah satu langkah penting dalam extension management adalah memeriksa permission yang diminta.
Extension tertentu membutuhkan akses terhadap konten situs yang dibuka pengguna. Permission tersebut mungkin memang diperlukan untuk fungsi extension, tetapi juga berarti extension berpotensi berinteraksi dengan informasi yang muncul pada halaman tersebut.
Karena itu, evaluasi extension sebaiknya tidak hanya melihat rating atau jumlah pengguna di Chrome Web Store. Tim IT juga perlu mempertimbangkan siapa developer-nya, fungsi extension, permission yang diminta, kebutuhan bisnis, serta risiko jika data perusahaan dapat diakses oleh extension tersebut.
Extension yang meminta akses luas terhadap website dapat memerlukan evaluasi yang lebih ketat dibandingkan extension yang hanya melakukan fungsi lokal sederhana.
Panduan Membangun Kebijakan Browser yang Lebih Aman
1. Inventarisasi Perangkat dan Browser
Mulailah dengan mengetahui perangkat mana yang digunakan untuk mengakses data perusahaan dan bagaimana Chrome dikelola pada perangkat tersebut.
Pisahkan perangkat perusahaan yang dikelola penuh dari perangkat pribadi atau BYOD. Jangan menerapkan asumsi bahwa satu kebijakan akan memberikan tingkat kontrol yang sama pada semua jenis perangkat.
2. Tentukan Struktur Kebijakan
Gunakan struktur organisasi yang sesuai untuk menerapkan kebijakan berbeda kepada kelompok pengguna atau perangkat.
Misalnya, tim Finance dapat memiliki kebijakan extension yang lebih ketat dibandingkan tim Marketing jika mereka menangani informasi keuangan yang sensitif.
Struktur ini juga membantu administrator menghindari penerapan kebijakan keamanan yang terlalu longgar atau terlalu ketat kepada seluruh organisasi.
3. Tetapkan Kebijakan Extension
Tentukan extension mana yang:
- wajib digunakan,
- boleh digunakan,
- membutuhkan persetujuan,
- atau harus diblokir.
Untuk extension yang kritis bagi pekerjaan, administrator dapat menggunakan force-install jika konfigurasi management yang digunakan mendukungnya.
Untuk extension yang tidak diperlukan atau memiliki risiko tinggi, administrator dapat menerapkan block policy.
4. Tinjau Permission Secara Berkala
Evaluasi extension tidak seharusnya dilakukan hanya ketika pertama kali dipasang.
Developer dapat memperbarui extension dan mengubah fungsinya atau permission yang dibutuhkan. Karena itu, extension yang sebelumnya dianggap aman tetap perlu ditinjau secara berkala.
Tim IT juga perlu memiliki proses untuk menghapus atau memblokir extension yang tidak lagi diperlukan.
5. Edukasi Pengguna
Technology controls tidak akan cukup jika pengguna tidak memahami alasannya.
Karyawan perlu mengetahui bahwa extension produktivitas, AI, screenshot, grammar checker, translator, atau file converter dapat memiliki akses terhadap data browser.
Daripada sekadar melarang extension pihak ketiga, perusahaan dapat menjelaskan jenis extension yang diperbolehkan dan menyediakan alternatif yang sudah disetujui.
Mengontrol Akses ke Website
Extension bukan satu-satunya sumber Shadow IT.
Karyawan juga dapat menggunakan aplikasi web yang tidak pernah melalui proses evaluasi IT. Karena itu, organisasi dapat menggunakan kebijakan browser untuk membatasi akses ke URL atau kategori website tertentu sesuai kemampuan management yang digunakan.
Misalnya, organisasi dapat membatasi akses ke website yang diketahui berisiko tinggi atau layanan tertentu yang tidak diperbolehkan untuk memproses data perusahaan.
Namun, URL blocking sebaiknya digunakan secara selektif. Memblokir terlalu banyak website dapat membuat pengguna mencari workaround yang justru lebih sulit dikontrol.
Tujuan kebijakan bukan membuat internet menjadi sepenuhnya tertutup, melainkan mengurangi akses terhadap layanan yang memiliki risiko keamanan atau compliance yang tidak dapat diterima.
Menghubungkan Browser Security dengan Data Protection
Pengelolaan browser merupakan salah satu lapisan keamanan dan tidak menggantikan Data Loss Prevention (DLP).
Jika perusahaan ingin mencegah data sensitif diunggah ke aplikasi web tertentu, kebijakan browser dapat dikombinasikan dengan kontrol DLP yang tersedia dalam lingkungan Google Workspace atau security stack perusahaan.
Misalnya, organisasi dapat membuat kebijakan yang mendeteksi jenis data tertentu dan membatasi aktivitas yang dianggap berisiko sesuai kemampuan DLP yang digunakan.
Pendekatan ini lebih efektif daripada hanya mengandalkan daftar blokir website karena risiko data leakage dapat muncul dari berbagai jalur.
Mengelola Browser pada Perangkat BYOD
BYOD membutuhkan pendekatan yang berbeda dari perangkat perusahaan.
Organisasi mungkin tidak ingin mengelola seluruh laptop pribadi karyawan dengan tingkat kontrol yang sama seperti perangkat milik perusahaan. Dalam kondisi seperti ini, kebijakan dapat difokuskan pada akun kerja, akses aplikasi, atau browser environment yang digunakan untuk mengakses data perusahaan.
Untuk perangkat pribadi, perusahaan juga perlu menjelaskan dengan transparan data dan konfigurasi apa yang dapat dikelola oleh organisasi. Ini penting agar kebijakan keamanan tidak menimbulkan konflik antara kebutuhan perusahaan dan privasi pengguna.
Jangan menganggap managed Chrome profile sebagai mekanisme yang otomatis memberikan isolasi penuh antara profil pribadi dan pekerjaan. Jika organisasi membutuhkan pembatasan seperti copy/paste, download, atau transfer data lintas lingkungan, kontrol yang sesuai perlu dikonfigurasi secara khusus dan ketersediaannya bergantung pada perangkat serta security solution yang digunakan.
Menghubungkan Chrome dengan Strategi Zero Trust
Browser dapat menjadi bagian dari strategi Zero Trust, tetapi Chrome sendiri bukan otomatis menjadi Zero Trust security agent.
Organisasi dapat menggabungkan browser management dengan identity provider, endpoint management, access controls, dan security tools lainnya untuk menentukan apakah pengguna dan perangkat memenuhi persyaratan sebelum mengakses resource tertentu.
Misalnya, perusahaan dapat mempertimbangkan kondisi seperti apakah pengguna sudah melakukan autentikasi yang kuat, apakah perangkat dikelola perusahaan, dan apakah konfigurasi keamanan tertentu terpenuhi.
Pendekatan tersebut membuat keputusan akses tidak hanya bergantung pada lokasi jaringan pengguna.
Untuk kebutuhan security posture yang lebih luas, perusahaan dapat menggunakan solusi Google atau third-party security stack yang memang dirancang untuk mengevaluasi kondisi perangkat dan akses.
Membantu Karyawan Tetap Produktif
Pencegahan Shadow IT tidak seharusnya hanya berupa daftar larangan.
Jika extension yang dibutuhkan karyawan diblokir tanpa menyediakan alternatif, pengguna dapat mencoba mencari solusi lain yang justru lebih sulit dikontrol.
Perusahaan dapat menyediakan katalog extension yang telah dievaluasi dan disetujui. Untuk kebutuhan tertentu, extension dapat dipasang otomatis atau dibuat tersedia melalui kebijakan organisasi.
Untuk kebutuhan AI, misalnya, perusahaan dapat mengarahkan karyawan menggunakan kemampuan Gemini yang tersedia dalam Google Workspace jika sesuai dengan subscription dan kebijakan perusahaan. Dengan demikian, pengguna memiliki alternatif resmi untuk kebutuhan seperti membantu menyusun teks atau menganalisis informasi tanpa harus mencari extension AI secara bebas.
Contoh Skenario Shadow IT
Extension AI yang Belum Diverifikasi
Seorang staf Marketing menemukan extension AI yang dapat membantu menulis dan merangkum konten. Extension tersebut meminta permission yang memungkinkan akses terhadap konten pada website yang dikunjungi.
Sebelum extension digunakan secara luas, tim IT melakukan evaluasi terhadap permission dan kebutuhan bisnisnya. Karena extension membutuhkan akses yang terlalu luas untuk kebutuhan perusahaan, extension tersebut tidak dimasukkan ke dalam daftar yang diperbolehkan.
Tim kemudian menyediakan alternatif yang sudah disetujui sehingga pengguna tetap dapat menjalankan pekerjaannya tanpa menggunakan extension yang belum dievaluasi.
Perangkat Pribadi untuk Mengakses Data Perusahaan
Seorang karyawan menggunakan laptop pribadi untuk bekerja. Perusahaan mengizinkan akses tertentu ke Google Workspace tetapi tidak memberikan tingkat device management yang sama seperti pada laptop perusahaan.
Dalam kondisi tersebut, organisasi perlu menentukan kontrol yang memang dapat diterapkan pada BYOD, termasuk kebijakan authentication dan akses terhadap resource perusahaan.
Jika perusahaan membutuhkan kontrol lebih ketat terhadap download, copy/paste, atau perpindahan data, kebutuhan tersebut perlu dipenuhi dengan security controls yang memang mendukung skenario tersebut, bukan hanya mengandalkan managed Chrome profile.
Menjaga Konsistensi Pengelolaan Chrome
Kebijakan browser perlu dievaluasi secara berkala karena lingkungan web terus berubah.
Extension baru muncul, extension lama diperbarui, dan karyawan dapat menemukan layanan SaaS baru yang belum pernah dievaluasi oleh IT.
Karena itu, tim IT sebaiknya melakukan review terhadap extension yang digunakan, kebijakan yang aktif, perangkat yang dikelola, serta website atau layanan yang dianggap berisiko.
Laporan dan informasi management yang tersedia di lingkungan Chrome Enterprise dapat membantu administrator mendapatkan gambaran mengenai konfigurasi browser dan penggunaan yang relevan, sesuai kemampuan reporting yang tersedia pada jenis management yang digunakan.
Kesimpulan
Mencegah Shadow IT pada browser membutuhkan lebih dari sekadar memblokir extension.
Perusahaan perlu mengelola lingkungan Chrome secara terstruktur, menentukan extension yang diperbolehkan, mengevaluasi permission, menerapkan kebijakan terhadap website berisiko, dan menyesuaikan tingkat kontrol dengan jenis perangkat yang digunakan.
Chrome Enterprise dapat menjadi salah satu fondasi untuk mengelola browser perusahaan secara terpusat. Namun, browser management tetap perlu dikombinasikan dengan identity management, endpoint security, DLP, dan edukasi pengguna ketika organisasi membutuhkan perlindungan yang lebih menyeluruh.
Pendekatan yang paling efektif bukan membuat pengguna tidak dapat menggunakan apa pun selain tools perusahaan, tetapi memberikan lingkungan kerja yang aman sekaligus menyediakan alternatif yang jelas untuk kebutuhan mereka.
AquaOrange Indonesia dapat membantu perusahaan mengevaluasi kebutuhan Chrome Enterprise, menyusun kebijakan browser dan extension, merancang struktur pengelolaan berdasarkan pengguna atau perangkat, serta mengintegrasikan browser security dengan strategi keamanan Google Workspace yang lebih luas.
