Google Drive telah menjadi bagian penting dari aktivitas kerja perusahaan. Dokumen strategi bisnis, laporan keuangan, materi pemasaran, data pelanggan, hingga berbagai file operasional dapat disimpan dan dikerjakan bersama melalui Google Workspace.
Kemudahan berbagi file juga membawa tantangan tersendiri. Dalam kondisi tertentu, karyawan dapat membagikan dokumen perusahaan kepada alamat email di luar organisasi, termasuk akun email pribadi seperti Gmail, Yahoo, atau layanan email lainnya.
Tidak semua external sharing merupakan pelanggaran. Perusahaan mungkin memang perlu berbagi dokumen dengan klien, vendor, konsultan, atau mitra bisnis. Masalah muncul ketika file sensitif dibagikan kepada akun pribadi tanpa alasan bisnis yang jelas atau tanpa adanya proses untuk meninjau kembali akses tersebut.
Karena itu, audit external sharing secara berkala dapat membantu perusahaan mengetahui file mana yang sedang dibagikan ke luar organisasi dan menentukan apakah akses tersebut masih diperlukan.
Mengapa External Sharing Perlu Diawasi?
Berbagi file ke akun eksternal dapat menciptakan risiko ketika perusahaan tidak lagi mengetahui siapa yang memiliki akses terhadap dokumen tertentu.
Sebagai contoh, seorang karyawan mungkin mengirimkan dokumen ke email pribadi agar dapat bekerja dari rumah. Selama dokumen tersebut masih dibutuhkan untuk pekerjaan, akses tersebut mungkin terlihat tidak bermasalah. Namun, jika akses tidak pernah dicabut setelah proyek selesai, dokumen perusahaan dapat tetap tersedia di luar lingkungan organisasi.
Risiko juga dapat meningkat ketika akun eksternal tersebut tidak berada di bawah pengelolaan tim IT perusahaan. Perusahaan tidak dapat menerapkan kebijakan keamanan internal yang sama terhadap akun pribadi tersebut, termasuk pengelolaan perangkat dan autentikasi.
Situasi menjadi lebih serius jika file berisi informasi sensitif seperti data pelanggan, informasi keuangan, kontrak, informasi karyawan, atau kekayaan intelektual perusahaan.
Kenali Bentuk External Sharing di Google Drive
External sharing dapat terjadi melalui beberapa mekanisme. Salah satunya adalah ketika pengguna memberikan akses langsung kepada alamat email di luar domain perusahaan. Penerima dapat memperoleh akses sebagai Viewer, Commenter, atau Editor, tergantung izin yang diberikan.
Bentuk lainnya adalah penggunaan pengaturan Anyone with the link. Dalam konfigurasi ini, akses tidak diberikan kepada satu alamat email tertentu, melainkan kepada siapa pun yang memenuhi kondisi akses dari tautan tersebut. Karena tautan dapat diteruskan kepada orang lain, perusahaan perlu berhati-hati ketika menggunakan pengaturan ini untuk dokumen sensitif.
External sharing juga dapat terjadi melalui folder atau Shared Drive. Karena akses pada folder dapat memengaruhi file yang berada di dalamnya, konfigurasi anggota dan hak akses Shared Drive perlu ditinjau secara berkala.
Tidak Semua File Eksternal Harus Dihapus
Tujuan audit bukan berarti menghapus seluruh akses eksternal secara otomatis.
Dalam praktik bisnis, berbagi file dengan pihak luar sering kali memang diperlukan. Tim Sales mungkin perlu membagikan proposal kepada calon pelanggan, tim Procurement perlu memberikan dokumen kepada vendor, dan tim Project mungkin perlu bekerja bersama konsultan eksternal.
Yang perlu diperhatikan adalah apakah akses tersebut memang diperlukan, siapa yang memiliki akses, jenis informasi yang dibagikan, serta berapa lama akses tersebut dibutuhkan.
Dengan pendekatan ini, tim IT dapat membedakan external sharing yang legitimate dari akses yang sudah tidak diperlukan atau berpotensi menimbulkan risiko.
Lakukan Audit External Sharing Secara Berkala
Perusahaan dapat menjadikan pemeriksaan external sharing sebagai bagian dari proses keamanan rutin. Frekuensinya dapat disesuaikan dengan tingkat risiko organisasi. Perusahaan yang menangani banyak data sensitif mungkin membutuhkan pemeriksaan yang lebih sering dibandingkan organisasi dengan kebutuhan kolaborasi eksternal yang rendah.
Dalam proses audit, administrator dapat meninjau aktivitas dan konfigurasi berbagi melalui berbagai kemampuan pelaporan dan investigasi yang tersedia di Google Workspace, sesuai dengan edisi yang digunakan.
Pencarian dapat diarahkan untuk menemukan aktivitas berbagi file ke pengguna eksternal, perubahan permission, maupun aktivitas lain yang relevan dengan kebijakan keamanan organisasi.
Hasil audit kemudian dapat digunakan untuk menentukan file atau akses mana yang perlu ditinjau lebih lanjut oleh pemilik data atau tim keamanan.
Klasifikasikan File Berdasarkan Tingkat Risikonya
Tidak semua file memiliki tingkat sensitivitas yang sama. Karena itu, hasil audit sebaiknya tidak hanya berupa daftar file eksternal, tetapi juga mempertimbangkan konteks informasi yang terdapat di dalamnya.
Dokumen yang berisi informasi publik atau materi pemasaran mungkin memiliki risiko rendah meskipun dibagikan kepada pihak luar. Sebaliknya, dokumen yang berisi laporan keuangan, data pelanggan, informasi karyawan, kontrak, atau strategi bisnis perlu mendapatkan perhatian lebih tinggi.
Dengan klasifikasi tersebut, tim IT dapat memprioritaskan remediation pada file yang memiliki dampak paling besar jika terjadi kebocoran.
Cabut Akses yang Sudah Tidak Diperlukan
Setelah menemukan file yang dibagikan secara eksternal, langkah berikutnya adalah meninjau apakah akses tersebut masih dibutuhkan.
Jika penerima sudah tidak terlibat dalam proyek, pemilik file dapat mencabut akses mereka. Jika dokumen tidak lagi membutuhkan kolaborasi eksternal, pengaturan sharing juga dapat dikembalikan ke akses yang lebih terbatas.
Untuk file yang menggunakan Anyone with the link, pemilik dokumen dapat mempertimbangkan untuk mengubah akses kembali menjadi Restricted apabila kebutuhan berbagi publik sudah berakhir.
Proses ini sebaiknya dilakukan dengan mempertimbangkan pemilik file dan kebutuhan bisnis agar remediation tidak justru mengganggu kolaborasi yang masih berjalan.
Gunakan Data Loss Prevention untuk Pencegahan Proaktif
Audit membantu menemukan masalah yang sudah terjadi, tetapi perusahaan juga membutuhkan mekanisme pencegahan.
Untuk organisasi dengan kebutuhan keamanan yang lebih tinggi, Data Loss Prevention (DLP) di Google Workspace dapat digunakan untuk membantu mendeteksi informasi sensitif dan menerapkan aturan terhadap aktivitas berbagi tertentu, sesuai kemampuan edisi dan konfigurasi yang digunakan.
Misalnya, perusahaan dapat membuat kebijakan untuk memberikan peringatan atau membatasi tindakan tertentu ketika dokumen mengandung informasi sensitif yang telah ditentukan oleh organisasi.
Pendekatan ini membantu perusahaan beralih dari sekadar mencari file yang sudah terlanjur dibagikan menjadi mencegah pola sharing berisiko sejak awal.
Atur Kebijakan Sharing Berdasarkan Kebutuhan Bisnis
Selain DLP, administrator juga dapat mengatur kebijakan berbagi eksternal agar tidak semua pengguna memiliki kebebasan yang sama.
Misalnya, perusahaan dapat menerapkan kebijakan yang lebih ketat untuk departemen Finance dan HR karena mereka menangani informasi sensitif. Sementara itu, tim Sales atau Business Development mungkin tetap membutuhkan kemampuan berbagi dokumen dengan pelanggan dan partner.
Kebijakan tersebut dapat disesuaikan berdasarkan struktur organisasi, kebutuhan kolaborasi, serta tingkat sensitivitas data.
Dengan cara ini, keamanan tidak harus berarti melarang seluruh external sharing. Perusahaan tetap dapat memberikan fleksibilitas kepada tim yang membutuhkannya sambil membatasi risiko pada area yang lebih sensitif.
Perhatikan Akses Setelah Karyawan Keluar
Proses offboarding juga perlu menjadi bagian dari audit external sharing.
Ketika seorang karyawan meninggalkan perusahaan, tim IT biasanya berfokus pada penonaktifan akun dan pengalihan kepemilikan data. Namun, file yang sebelumnya dibagikan kepada akun eksternal juga perlu diperiksa apabila memiliki tingkat sensitivitas tinggi.
Tujuannya bukan untuk menghapus seluruh akses secara otomatis, tetapi memastikan bahwa pihak eksternal yang masih memiliki akses memang masih memiliki kebutuhan bisnis yang valid.
Proses ini dapat menjadi bagian dari checklist offboarding sehingga external sharing tidak menjadi area yang terlupakan.
Buat Laporan Audit yang Konsisten
Agar audit memberikan manfaat jangka panjang, perusahaan sebaiknya menyimpan hasil pemeriksaan secara konsisten.
Laporan dapat mencatat jumlah file yang dibagikan secara eksternal, jenis akses yang diberikan, kategori risiko, tindakan remediation yang dilakukan, serta akses yang dipertahankan karena kebutuhan bisnis.
Dokumentasi tersebut dapat membantu tim IT melihat perubahan pola sharing dari waktu ke waktu dan menjadi bukti bahwa perusahaan memiliki proses pengawasan terhadap akses data.
Bagi organisasi yang memiliki kebutuhan compliance, dokumentasi ini juga dapat membantu proses evaluasi internal maupun audit keamanan.
Gunakan Prinsip Least Privilege untuk External Sharing
Prinsip yang sederhana tetapi penting adalah memberikan akses seminimal mungkin sesuai kebutuhan.
Jika pihak eksternal hanya perlu membaca dokumen, tidak ada alasan untuk memberikan akses Editor. Jika mereka hanya membutuhkan satu dokumen, hindari memberikan akses ke seluruh folder apabila tidak diperlukan.
Begitu kebutuhan kolaborasi berakhir, akses juga sebaiknya ditinjau kembali.
Dengan menerapkan prinsip least privilege, perusahaan dapat mengurangi kemungkinan bahwa satu akun eksternal memiliki akses lebih luas daripada yang sebenarnya dibutuhkan.
Kesimpulan
External sharing merupakan bagian penting dari kolaborasi bisnis modern. Klien, vendor, konsultan, dan partner sering kali memang membutuhkan akses ke dokumen perusahaan untuk menjalankan pekerjaan bersama.
Namun, akses eksternal yang tidak dikelola dapat menciptakan risiko keamanan, terutama ketika dokumen sensitif dibagikan kepada akun pribadi atau ketika akses tetap aktif setelah kebutuhan bisnis berakhir.
Dengan melakukan audit Google Drive secara berkala, meninjau akses eksternal, menerapkan prinsip least privilege, serta menggunakan fitur seperti DLP dan kebijakan sharing yang sesuai, perusahaan dapat menjaga keseimbangan antara kolaborasi dan keamanan data.
Yang terpenting, audit bukan sekadar mencari dan menghapus file yang dibagikan ke luar organisasi. Tujuan akhirnya adalah membangun kebiasaan pengelolaan akses yang terukur, sehingga setiap external sharing memiliki alasan bisnis yang jelas dan tetap berada dalam kendali perusahaan.
Ingin mengetahui file perusahaan mana saja yang saat ini dibagikan ke pihak eksternal? Tim AquaOrange Indonesia dapat membantu melakukan assessment Google Workspace, meninjau kebijakan external sharing, serta mengonfigurasi kontrol keamanan agar kolaborasi tetap fleksibel tanpa mengabaikan perlindungan data.
