Ransomware dapat mengganggu operasional perusahaan dengan mengenkripsi file penting, menghambat akses ke dokumen, dan dalam beberapa kasus menghapus atau mencuri data untuk menekan korban agar membayar tebusan. Dampaknya tidak berhenti pada file yang tidak bisa dibuka. Tim dapat kehilangan akses ke dokumen proyek, laporan keuangan, materi pelanggan, dan informasi operasional yang dibutuhkan untuk menjalankan bisnis.
Ketika serangan terjadi, perusahaan membutuhkan lebih dari sekadar sistem pencegahan. Tim IT juga harus mengetahui cara mengidentifikasi file yang terdampak, menghentikan perubahan berbahaya agar tidak terus tersinkronisasi, dan memulihkan data ke versi yang masih dapat digunakan.
Bagi organisasi yang menggunakan Google Workspace, Google Drive menyediakan riwayat versi dan fitur pemulihan versi file yang dapat membantu menangani perubahan akibat ransomware. Google Admin console juga memiliki kemampuan untuk memulihkan data Drive yang dihapus dalam periode tertentu. Sementara itu, Google Vault dapat membantu mempertahankan data yang tercakup dalam aturan retensi dan mendukung pencarian serta ekspor untuk kebutuhan investigasi.
Ketiga kemampuan tersebut memiliki fungsi berbeda. Riwayat versi membantu memulihkan konten yang berubah, Admin console membantu memulihkan data yang dihapus dalam periode pemulihan yang tersedia, sedangkan Google Vault berfokus pada retensi dan eDiscovery. Memahami perbedaannya menjadi langkah penting untuk menyusun strategi pemulihan ransomware yang realistis.
Memahami Dampak Ransomware pada File Google Drive
Serangan ransomware dapat dimulai ketika karyawan membuka lampiran berbahaya, mengunduh file yang terinfeksi, atau menjalankan perangkat lunak yang telah disusupi. Jika malware kemudian mengenkripsi file lokal yang disinkronkan dengan Google Drive for desktop, perubahan tersebut berpotensi ikut tercermin pada file di cloud.
Namun, sinkronisasi cloud tidak dengan sendirinya membuat perangkat kebal terhadap ransomware. Jika file lokal berubah akibat enkripsi, salinan yang tersinkronisasi juga dapat terdampak. Google Drive for desktop memiliki mekanisme untuk menjeda sinkronisasi ketika mendeteksi enkripsi ransomware dalam kondisi yang didukung, tetapi perusahaan tetap perlu memeriksa kondisi akun, perangkat, dan file yang terdampak.
Karena itu, ketika menemukan file yang tidak bisa dibuka atau berisi teks yang rusak, jangan langsung menganggap file tersebut telah hilang permanen. Tim IT perlu mengidentifikasi waktu perubahan yang mencurigakan, menentukan perangkat atau akun yang mungkin terlibat, dan menghentikan sinkronisasi dari perangkat yang terinfeksi agar file terenkripsi tidak terus memperbarui salinan di cloud.
Langkah ini harus dilakukan sebelum proses pemulihan dimulai. Memulihkan versi lama tanpa menangani sumber infeksi dapat membuat file kembali terdampak ketika perangkat yang terinfeksi tersambung dan melakukan sinkronisasi lagi.
Memulihkan File Terenkripsi dengan Google Drive Version History
Riwayat versi Google Drive memungkinkan pengguna mengakses versi file sebelumnya. Untuk file yang kompatibel, seperti PDF, gambar, dan file lain yang diunggah ke Drive, pengguna dapat membuka menu pengelolaan versi untuk melihat versi terdahulu. Sementara itu, Google Docs, Sheets, dan Slides memiliki riwayat revisi tersendiri.
Perbedaan ini penting dalam proses pemulihan ransomware. File Microsoft Office, PDF, gambar, dan file lain yang disimpan di Drive dapat mengalami perubahan akibat proses enkripsi pada perangkat. Jika tersedia versi sebelumnya yang belum terdampak, versi tersebut dapat digunakan untuk memulihkan konten. File yang dibuat langsung di aplikasi Google seperti Docs dan Slides tidak dienkripsi oleh ransomware dengan cara yang sama seperti file lokal, sehingga tidak muncul dalam alat pemulihan versi massal yang dirancang untuk skenario tersebut.
Untuk file individual yang didukung, pengguna dapat membuka Google Drive melalui browser, memilih file, lalu masuk ke menu Manage versions untuk memeriksa versi sebelumnya. Versi yang masih bersih dapat diunduh atau digunakan sesuai opsi yang tersedia. Untuk Google Docs, Sheets, dan Slides, pengguna dapat membuka riwayat versi melalui menu File > Version history dan memilih revisi yang ingin dipulihkan.
Namun, riwayat versi tidak boleh dianggap sebagai arsip tanpa batas. Versi lama untuk file yang diunggah memiliki aturan penyimpanan tersendiri, dan hanya versi terbaru tertentu yang dipertahankan kecuali versi tersebut ditandai untuk disimpan selamanya. Karena itu, perusahaan perlu memahami batasan versi berdasarkan jenis file dan kebijakan penyimpanannya.
Memulihkan Banyak File Sekaligus dengan Restore File Versions
Jika ransomware mengubah banyak file dalam waktu berdekatan, memulihkan setiap file satu per satu bisa menjadi pekerjaan yang berat. Google Drive kini menyediakan alat Restore file versions untuk mengembalikan banyak file ke versi sebelumnya. Fitur ini tercantum sebagai versi beta dalam dokumentasi Google dan secara khusus dapat digunakan untuk membantu pemulihan dari enkripsi ransomware.
Alat ini mempertahankan revisi dari 25 hari terakhir. Administrator atau pengguna yang memiliki akses sesuai kebutuhan dapat membuka Google Drive melalui browser, masuk ke Settings, lalu memilih Restore file versions. Setelah memeriksa riwayat perubahan, pengguna memilih titik pemulihan yang sesuai dan menjalankan proses restore.
Ada batasan yang perlu diperhatikan: alat ini bekerja terhadap sekumpulan file yang dipilih berdasarkan proses pemulihan yang tersedia, bukan dengan memilih file satu per satu di dalam proses tersebut. Versi sebelumnya disalin menjadi versi terkini yang baru; versi yang ada tidak dihapus. File yang dibuat langsung di aplikasi Google seperti Docs dan Slides tidak termasuk dalam alat pemulihan massal ini karena tidak terdampak ransomware dengan cara yang sama.
Selama proses pemulihan berlangsung, Google menyarankan pengguna menghindari pengeditan file. Nama dan konten file yang dipulihkan, tetapi pemulihan ini tidak boleh dianggap sebagai rollback menyeluruh terhadap semua metadata atau seluruh kondisi lingkungan kerja. Setelah proses selesai, tim IT tetap perlu memeriksa hasilnya dan menangani file lokal yang terenkripsi agar tidak kembali tersinkronisasi.
Untuk perangkat yang terinfeksi, gunakan perangkat lunak antivirus atau anti-malware terpercaya untuk memindai dan membersihkan sistem. Dalam kasus tertentu, perangkat mungkin perlu dihapus dan sistem operasinya dipasang ulang. Sinkronisasi baru sebaiknya dilanjutkan setelah tim IT memastikan perangkat aman digunakan kembali.
Memulihkan File yang Dihapus melalui Google Admin Console
Tidak semua serangan hanya mengenkripsi file. Penyerang juga dapat menghapus file atau folder untuk mengganggu operasional dan mempersulit pemulihan. Untuk data Drive yang dihapus, administrator Google Workspace memiliki opsi Restore data di Google Admin console.
Dalam kondisi yang memenuhi syarat, administrator dapat membuka Directory > Users, memilih akun pengguna yang terdampak, lalu memilih opsi pemulihan data. Administrator menentukan rentang tanggal penghapusan dan memilih Drive sebagai layanan yang akan dipulihkan. Google menyediakan kemampuan pemulihan untuk data Drive yang dihapus dalam 25 hari terakhir.
Namun, fitur ini bukan alat untuk mengembalikan semua file ke kondisi pada jam tertentu. Pemulihan didasarkan pada data yang dihapus dalam rentang tanggal yang dipilih, bukan pada rollback menyeluruh terhadap setiap perubahan file. Administrator juga tidak dapat memilih satu file atau folder tertentu melalui proses pemulihan data ini. Setelah file dipulihkan, pengguna mungkin perlu membagikannya kembali kepada pihak lain agar akses kolaborasi kembali sesuai kebutuhan.
Karena itu, ketika menangani insiden ransomware, tim IT perlu membedakan file yang terenkripsi dari file yang dihapus. Untuk file terenkripsi, riwayat versi atau alat Restore file versions mungkin lebih relevan. Untuk file yang dihapus, pemulihan melalui Admin console dapat menjadi pilihan jika data masih berada dalam jangka waktu pemulihan yang tersedia.
Menggunakan Google Vault untuk Retensi dan Investigasi
Google Vault memiliki peran berbeda dalam strategi pemulihan. Vault adalah layanan retensi informasi dan eDiscovery yang membantu organisasi menyimpan data sesuai aturan retensi, menempatkan data dalam hold, mencari informasi yang relevan untuk investigasi, dan mengekspor hasil pencarian.
Jika aturan retensi atau hold telah dikonfigurasi dengan benar, data yang tercakup dapat tetap tersedia di Vault meskipun pengguna menghapusnya dari layanan Google Workspace dan mengosongkan tempat sampah. Hal ini dapat membantu organisasi mempertahankan bukti digital dan menemukan informasi yang dibutuhkan untuk penyelidikan insiden.
Meski demikian, Google Vault bukan sistem backup dan bukan alat untuk mengembalikan file langsung ke lokasi semula di Google Drive. Data yang ditemukan melalui Vault dapat diekspor untuk analisis atau penanganan lebih lanjut, tetapi ekspor tersebut tidak sama dengan memulihkan file, struktur folder, dan permission seperti semula. Jika perusahaan membutuhkan salinan data yang dapat digunakan untuk memulihkan operasional, proses pemulihannya perlu direncanakan secara terpisah.
Retensi juga tidak bekerja secara otomatis hanya karena organisasi memiliki akses ke Vault. Administrator harus mengonfigurasi aturan retensi atau hold yang sesuai, memastikan data dan akun yang relevan tercakup, serta memahami bagaimana aturan tersebut berinteraksi dengan siklus penghapusan data. Jika data sudah dipurge dari sistem Google dan tidak lagi tersedia di Vault, data tersebut tidak dapat dipulihkan melalui Vault.
Oleh sebab itu, Vault paling tepat diposisikan sebagai lapisan perlindungan untuk mempertahankan informasi dan mendukung investigasi, bukan sebagai pengganti strategi backup dan pemulihan operasional.
Menyusun Strategi Pemulihan Ransomware yang Terkoordinasi
Ketika ransomware menyerang, perusahaan sebaiknya tidak langsung memulai pemulihan tanpa terlebih dahulu mengendalikan sumber insiden. Tim IT perlu mengisolasi perangkat yang dicurigai terinfeksi, menghentikan sinkronisasi yang berpotensi menyebarkan perubahan berbahaya, serta memeriksa aktivitas akun yang terkait dengan file terdampak. Jika terdapat indikasi kredensial telah dicuri, akses akun tersebut juga perlu diamankan.
Setelah sumber insiden dikendalikan, tim dapat menentukan metode pemulihan berdasarkan kondisi data. File yang terenkripsi dapat diperiksa melalui riwayat versi atau alat Restore file versions. File yang dihapus dapat ditangani melalui Admin console selama masih memenuhi batas pemulihan. Jika dibutuhkan untuk investigasi, Google Vault dapat digunakan untuk mencari dan mengekspor data yang tercakup dalam retensi atau hold.
Perusahaan juga perlu melakukan validasi setelah pemulihan. Pastikan file dapat dibuka, kontennya sesuai, dan pengguna yang berwenang kembali memiliki akses. Untuk file penting, jangan hanya memeriksa apakah nama file telah muncul kembali; verifikasi juga isi dan kegunaannya sebelum menganggap proses pemulihan selesai.
Pengujian berkala membantu perusahaan memahami berapa lama proses pemulihan yang sebenarnya dibutuhkan dan apakah prosedur internal sudah cukup jelas. Dokumentasikan siapa yang berwenang menjalankan pemulihan, bagaimana menentukan titik pemulihan yang tepat, serta bagaimana menghindari sinkronisasi ulang dari perangkat yang belum bersih. Untuk kebutuhan yang lebih ketat, organisasi juga dapat mengevaluasi solusi backup khusus yang mendukung pemulihan granular dan retensi sesuai kebutuhan bisnis.
Pencegahan Tetap Menjadi Bagian dari Strategi
Kemampuan pemulihan tidak menggantikan pencegahan. Google Workspace menyediakan berbagai kontrol keamanan yang dapat membantu mengurangi risiko, tetapi efektivitasnya bergantung pada konfigurasi, edisi layanan, dan praktik keamanan organisasi.
Perusahaan dapat memperkuat perlindungan Gmail, menerapkan Verifikasi 2 Langkah, mengelola perangkat yang mengakses data perusahaan, serta membatasi pembagian file sensitif sesuai kebutuhan. Administrator juga perlu meninjau akses eksternal dan memastikan pengguna memahami cara mengenali email phishing serta melaporkan aktivitas yang mencurigakan.
Untuk menghadapi risiko penghapusan atau perubahan data, perusahaan perlu meninjau aturan retensi Google Vault dan memahami batas pemulihan Drive sebelum insiden terjadi. Retensi harus disesuaikan dengan kebutuhan bisnis dan kepatuhan, sementara backup yang terpisah dapat dipertimbangkan jika perusahaan membutuhkan jaminan pemulihan yang lebih luas.
Yang terpenting, jangan mengandalkan satu fitur sebagai perlindungan mutlak. Riwayat versi, pemulihan Admin console, Vault, kontrol akses, keamanan endpoint, dan backup memiliki fungsi yang berbeda. Strategi yang efektif menggabungkan kemampuan tersebut berdasarkan risiko dan kebutuhan operasional perusahaan.
Membangun Kesiapan Pemulihan Bersama AquaOrange Indonesia
Pemulihan ransomware bukan hanya soal menemukan versi file yang masih bersih. Perusahaan perlu memastikan bahwa proses pemulihan dapat dilakukan dengan aman, data yang dibutuhkan masih tersedia, dan perangkat yang terinfeksi tidak kembali menyebarkan perubahan berbahaya.
AquaOrange Indonesia dapat membantu perusahaan mengevaluasi konfigurasi Google Workspace, meninjau penggunaan Google Drive dan Google Vault, serta menyusun prosedur pemulihan yang sesuai dengan kebutuhan operasional. Mulai dari evaluasi retensi dan akses data hingga perencanaan pemulihan setelah insiden, pendekatan yang terstruktur membantu tim IT memahami kemampuan yang tersedia sekaligus mengenali batasannya.
Dengan strategi yang direncanakan sebelum insiden terjadi, perusahaan dapat meningkatkan kesiapan menghadapi ransomware, memperjelas tanggung jawab tim, dan mengurangi risiko gangguan berkepanjangan tanpa mengandalkan janji pemulihan instan.
Kesimpulan
Google Workspace menyediakan beberapa kemampuan yang dapat membantu perusahaan memulihkan data setelah serangan ransomware. Google Drive Version History membantu mengembalikan versi file yang masih bersih, Restore file versions mendukung pemulihan banyak file yang terdampak, sementara Google Admin console dapat digunakan untuk memulihkan data Drive yang dihapus dalam periode yang memenuhi syarat. Di sisi lain, Google Vault membantu mempertahankan data untuk kebutuhan retensi dan investigasi, tetapi bukan pengganti backup atau alat untuk mengembalikan file langsung ke lokasi semula.
Efektivitas pemulihan tidak hanya bergantung pada ketersediaan fitur, tetapi juga pada persiapan perusahaan sebelum insiden terjadi. Konfigurasi retensi, pengamanan akun dan perangkat, pengujian prosedur pemulihan, serta evaluasi kebutuhan backup tambahan perlu menjadi bagian dari strategi keamanan data. Dengan memahami fungsi dan batasan setiap fitur, perusahaan dapat menentukan langkah pemulihan yang sesuai dengan kondisi data dan kebutuhan operasional.
AquaOrange Indonesia dapat membantu perusahaan mengevaluasi konfigurasi keamanan Google Workspace, meninjau kebijakan retensi Google Vault, serta menyusun strategi pemulihan data menggunakan Google Drive dan Google Admin console. Dengan perencanaan yang tepat, perusahaan dapat meningkatkan kesiapan menghadapi ransomware, mengurangi risiko kehilangan data, dan membantu menjaga keberlangsungan operasional bisnis setelah insiden terjadi.
