Dalam lanskap bisnis modern, kolaborasi dengan mitra eksternal, konsultan, dan kontraktor independen telah menjadi bagian penting dari operasional perusahaan. Melibatkan pihak ketiga memungkinkan organisasi memperoleh keahlian khusus, mempercepat penyelesaian proyek, dan menyesuaikan kapasitas kerja sesuai kebutuhan bisnis. Namun, semakin banyak pihak eksternal yang terlibat, semakin kompleks pula tantangan dalam menjaga keamanan informasi perusahaan.
Google Drive memudahkan perusahaan berbagi dokumen dan berkolaborasi secara real-time dengan pengguna di luar organisasi. Di sisi lain, akses yang diberikan tanpa batasan yang jelas dapat menciptakan risiko baru. Dokumen dapat tetap dapat diakses setelah kontrak berakhir, pengguna dapat memperoleh hak akses yang lebih tinggi dari kebutuhannya, atau informasi sensitif dapat tersebar ke pihak yang tidak semestinya.
Karena itu, pengelolaan akses eksternal membutuhkan pendekatan yang tidak hanya berfokus pada siapa yang mendapatkan akses, tetapi juga apa yang dapat mereka akses, bagaimana mereka mengaksesnya, dan berapa lama akses tersebut diperlukan. Prinsip Zero-Trust, dengan pendekatan “never trust, always verify”, dapat menjadi dasar untuk membangun model akses yang lebih terkontrol.
Dalam ekosistem Google Workspace, prinsip tersebut dapat diterapkan melalui kombinasi pengaturan berbagi Google Drive, Shared Drives, kontrol akses, Context-Aware Access, Data Loss Prevention (DLP), serta pemantauan aktivitas. Bersama AquaOrange Indonesia, perusahaan dapat merancang tata kelola akses eksternal yang menjaga produktivitas kolaborasi sekaligus mempertahankan kontrol terhadap aset informasi organisasi.
Memahami Konsep Zero-Trust pada Google Drive
Zero-Trust berangkat dari prinsip bahwa tidak ada pengguna atau perangkat yang seharusnya dipercaya secara otomatis hanya karena sebelumnya telah memperoleh akses. Setiap akses perlu diberikan berdasarkan kebutuhan dan tetap berada dalam kontrol kebijakan keamanan organisasi.
Dalam konteks Google Drive, pendekatan ini berarti kontraktor eksternal tidak perlu memperoleh akses luas ke lingkungan kerja perusahaan. Mereka cukup diberikan akses terhadap dokumen, folder, atau Shared Drive yang memang dibutuhkan untuk menyelesaikan tugas tertentu. Hak akses tersebut juga perlu disesuaikan dengan tanggung jawab mereka.
Misalnya, kontraktor yang hanya membutuhkan informasi untuk membaca laporan dapat diberikan akses Viewer. Jika mereka perlu memberikan masukan, Commenter mungkin sudah mencukupi. Hak Editor sebaiknya diberikan hanya ketika pekerjaan memang membutuhkan kemampuan untuk mengubah konten.
Pendekatan ini membantu menerapkan prinsip least privilege, yaitu memastikan setiap pengguna memperoleh tingkat akses minimum yang diperlukan untuk menjalankan pekerjaannya. Dengan membatasi hak akses sejak awal, dampak yang mungkin terjadi apabila akun eksternal mengalami kompromi juga dapat dikurangi.
Zero-Trust juga tidak berhenti pada pemberian izin. Organisasi perlu mempertimbangkan konteks akses, seperti identitas pengguna, perangkat yang digunakan, lokasi, dan kondisi jaringan, sesuai dengan kontrol yang tersedia pada edisi Google Workspace yang digunakan. Dengan begitu, kebijakan akses dapat dibuat lebih adaptif terhadap risiko yang dihadapi perusahaan.
Risiko Pengelolaan Akses Eksternal Tanpa Zero-Trust
Masalah utama dalam kolaborasi eksternal bukan selalu berasal dari niat buruk pengguna. Sering kali, risiko muncul karena akses yang diberikan terlalu luas atau tidak pernah ditinjau kembali.
Salah satu contohnya adalah orphaned access. Seorang kontraktor mungkin telah menyelesaikan proyek beberapa bulan sebelumnya, tetapi masih memiliki akses ke dokumen karena izin berbagi tidak pernah dicabut. Semakin banyak kolaborator eksternal yang terlibat, semakin sulit bagi administrator untuk mengidentifikasi akses semacam ini jika tidak memiliki proses offboarding yang terstruktur.
Risiko lainnya adalah over-sharing. Ketika pengguna memperoleh hak akses yang lebih tinggi dari kebutuhannya, mereka mungkin dapat mengubah konten, mengelola akses, atau membagikan dokumen kepada pengguna lain sesuai konfigurasi yang berlaku. Hal ini dapat memperluas permukaan akses tanpa melalui proses persetujuan internal.
Data juga dapat keluar dari lingkungan organisasi melalui aktivitas seperti pengunduhan, pencetakan, atau penyalinan informasi. Untuk dokumen tertentu, administrator dapat menerapkan pembatasan yang tersedia di Google Drive guna mengurangi kemampuan penerima dalam melakukan tindakan tersebut.
Masalah lain muncul ketika dokumen proyek disimpan di lokasi yang tidak berada dalam kendali organisasi. Jika aset bisnis penting berada di My Drive milik individu, proses pengelolaan dan pengalihan kepemilikan ketika kontraktor meninggalkan proyek dapat menjadi lebih kompleks. Karena itu, struktur penyimpanan perlu dirancang sejak awal agar kepemilikan dan akses terhadap aset perusahaan tetap berada dalam kendali organisasi.
Komponen Utama Konfigurasi Zero-Trust untuk Kontraktor
Penerapan Zero-Trust untuk kontraktor eksternal tidak bergantung pada satu fitur saja. Pendekatan yang efektif membutuhkan kombinasi antara struktur penyimpanan, hak akses, kondisi akses, dan pemantauan aktivitas.
Salah satu fondasinya adalah penggunaan Shared Drive khusus proyek. Berbeda dengan penyimpanan yang bergantung pada akun individu, Shared Drive memungkinkan file organisasi ditempatkan dalam ruang kerja yang kepemilikannya berada pada organisasi. Struktur ini juga mempermudah pengelolaan akses ketika anggota proyek berubah atau ketika sebuah proyek telah selesai.
Selanjutnya, administrator dapat menggunakan Context-Aware Access apabila tersedia pada edisi dan konfigurasi Google Workspace organisasi. Kebijakan dapat dirancang berdasarkan konteks tertentu, seperti identitas pengguna, lokasi, alamat IP, atau kondisi perangkat. Dengan pendekatan ini, akses kontraktor tidak hanya ditentukan oleh apakah alamat email mereka telah diberikan izin, tetapi juga oleh kondisi ketika akses tersebut dilakukan.
Hak akses di Google Drive juga perlu diberikan secara proporsional. Tidak semua kontraktor membutuhkan hak Editor. Untuk pekerjaan tertentu, akses Viewer atau Commenter sudah memadai. Pembatasan terhadap kemampuan berbagi dan perubahan izin juga dapat diterapkan sesuai pengaturan Google Drive dan kebutuhan organisasi.
Untuk kebutuhan akses sementara, organisasi dapat memanfaatkan expiring access pada skenario yang didukung. Dengan menetapkan batas waktu, perusahaan dapat mengurangi ketergantungan pada proses pencabutan akses manual setelah proyek selesai. Namun, mekanisme ini tetap perlu menjadi bagian dari proses access review, bukan satu-satunya kontrol.
Langkah Strategis Mengatur Akses Kontraktor Eksternal
Implementasi sebaiknya dimulai dengan memetakan siapa saja pihak eksternal yang memiliki akses dan informasi apa saja yang dapat mereka lihat. Tim TI perlu mengidentifikasi kontraktor berdasarkan proyek, departemen, jenis pekerjaan, serta tingkat sensitivitas data yang mereka perlukan.
Setelah itu, perusahaan dapat meninjau konfigurasi external sharing di Google Workspace. Pengaturan berbagi dapat disesuaikan untuk membatasi bagaimana pengguna internal membagikan dokumen kepada pihak luar. Jika diperlukan, organisasi juga dapat menggunakan daftar domain yang diizinkan untuk membatasi kolaborasi eksternal pada mitra tertentu. Penggunaan opsi seperti “Anyone with the link” juga perlu dikendalikan karena dapat memperluas akses di luar pengguna yang secara eksplisit ditentukan.
Untuk informasi yang tergolong sensitif, Data Loss Prevention (DLP) dapat digunakan sebagai lapisan kontrol tambahan. Kebijakan DLP dapat membantu mendeteksi jenis informasi tertentu dan menerapkan tindakan berdasarkan aturan yang telah ditentukan organisasi. Dengan demikian, dokumen yang mengandung informasi sensitif dapat diberikan perlakuan berbeda dibandingkan dokumen kerja biasa.
Pada dokumen tertentu, administrator juga dapat membatasi kemampuan penerima untuk mengunduh, mencetak, atau menyalin konten melalui pengaturan berbagi Google Drive yang tersedia. Efektivitas pembatasan tersebut tetap bergantung pada konfigurasi dan jenis akses yang digunakan, sehingga perusahaan perlu menentukan kontrol berdasarkan tingkat sensitivitas masing-masing dokumen.
Selain kontrol terhadap file, verifikasi identitas juga harus menjadi bagian dari strategi. Penggunaan autentikasi dua langkah dapat membantu menambahkan lapisan perlindungan terhadap akun yang digunakan untuk mengakses sumber daya perusahaan. Untuk pengguna eksternal, organisasi perlu menentukan mekanisme autentikasi yang sesuai dengan model kolaborasi dan kebijakan identitas yang berlaku.
Pengawasan dan Audit Akses Berkas Secara Real-Time
Memberikan akses secara aman hanyalah satu bagian dari Zero-Trust. Perusahaan juga perlu mengetahui bagaimana akses tersebut digunakan setelah izin diberikan.
Melalui Drive audit log dan kemampuan investigasi keamanan yang tersedia di Google Workspace, administrator dapat meninjau aktivitas yang berkaitan dengan file, termasuk aktivitas berbagi, perubahan, dan tindakan lain yang tercatat oleh sistem. Informasi tersebut dapat digunakan untuk mengidentifikasi pola penggunaan yang tidak sesuai dengan kebijakan organisasi.
Sebagai contoh, kontraktor yang biasanya hanya mengakses beberapa dokumen proyek tiba-tiba melakukan aktivitas terhadap sejumlah besar file. Pola seperti ini dapat menjadi alasan bagi tim keamanan untuk melakukan pemeriksaan lebih lanjut.
Pemantauan juga membantu organisasi melakukan access review secara berkala. Daripada menunggu sampai kontrak berakhir atau terjadi insiden, tim TI dapat meninjau apakah setiap akses eksternal masih relevan dengan pekerjaan yang sedang berlangsung. Jika sebuah proyek telah selesai, akses dapat dicabut dan dokumen dapat dikembalikan ke struktur penyimpanan internal yang sesuai.
Dengan demikian, Zero-Trust berubah dari sekadar konfigurasi awal menjadi proses pengelolaan akses yang berkelanjutan.
Keuntungan Bisnis dari Penerapan Zero-Trust Drive Access
Penerapan Zero-Trust pada Google Drive tidak berarti perusahaan harus menghilangkan fleksibilitas kolaborasi eksternal. Justru, pendekatan ini memungkinkan organisasi menentukan batas kolaborasi yang jelas tanpa harus memberikan akses berlebihan.
Kontraktor tetap dapat bekerja dengan dokumen yang mereka perlukan, sementara informasi di luar ruang lingkup pekerjaan tetap terlindungi. Pengaturan akses berdasarkan kebutuhan juga membantu mengurangi risiko ketika sebuah akun eksternal mengalami kompromi karena jumlah data yang dapat dijangkau oleh akun tersebut telah dibatasi.
Dari sisi operasional, struktur Shared Drive dan proses offboarding yang terencana juga membuat penghentian akses menjadi lebih sederhana. Ketika sebuah proyek berakhir, organisasi dapat mengakhiri akses pengguna tanpa harus mencari satu per satu dokumen yang tersebar di berbagai akun pribadi.
Pendekatan ini juga membantu perusahaan membangun jejak audit yang lebih jelas. Aktivitas akses dan perubahan terhadap data dapat ditinjau melalui kemampuan audit yang tersedia, sehingga organisasi memiliki informasi yang lebih baik untuk mendukung investigasi keamanan maupun kebutuhan tata kelola.
Kesimpulan
Kolaborasi dengan kontraktor eksternal merupakan bagian penting dari cara perusahaan modern bekerja. Namun, semakin terbuka lingkungan kolaborasi, semakin penting pula bagi organisasi untuk memastikan bahwa akses terhadap informasi tetap berada dalam kendali yang tepat.
Penerapan prinsip Zero-Trust pada Google Drive membantu perusahaan beralih dari model akses berbasis kepercayaan menjadi model yang lebih terukur. Akses diberikan berdasarkan kebutuhan, hak pengguna dibatasi sesuai peran, konteks akses dapat dipertimbangkan, dan aktivitas tetap dipantau setelah izin diberikan.
Dengan mengombinasikan Shared Drive, kontrol berbagi, Context-Aware Access, DLP, autentikasi yang kuat, serta audit dan access review, perusahaan dapat membangun lingkungan kolaborasi eksternal yang lebih aman tanpa menghilangkan fleksibilitas yang dibutuhkan oleh tim proyek.
Ingin mengevaluasi keamanan Google Drive dan tata kelola akses kontraktor eksternal di organisasi Anda? Tim ahli AquaOrange Indonesia siap membantu menganalisis struktur akses, merancang kebijakan Zero-Trust, mengonfigurasi fitur keamanan Google Workspace, serta membangun tata kelola kolaborasi eksternal yang sesuai dengan kebutuhan bisnis Anda.
