JAWABAN
1. Bagaimana API yang tidak diamankan dengan baik dapat menyebabkan kebocoran data meskipun sistem menggunakan enkripsi?
API yang tidak diamankan dengan baik tetap dapat menjadi celah kebocoran data walaupun data terenkripsi. Hal ini terjadi karena API berfungsi sebagai gerbang akses data. Jika autentikasi lemah, token bocor, atau endpoint terbuka, penyerang dapat mengakses data setelah data berhasil didekripsi oleh sistem**. Enkripsi hanya melindungi data saat transit atau disimpan, tetapi tidak melindungi dari akses tidak sah pada level aplikasi melalui API yang salah konfigurasi.
2. Mengapa enkripsi data tidak menjamin keamanan apabila kontrol akses dan otorisasi gagal?
Enkripsi tidak menjamin keamanan jika kontrol akses dan otorisasi gagal karena enkripsi **tidak membatasi siapa yang boleh mengakses data**. Jika pengguna atau sistem yang tidak berhak berhasil melewati proses autentikasi atau mendapatkan hak akses berlebihan (privilege escalation), mereka tetap dapat membaca data dalam bentuk asli. Dengan kata lain, **enkripsi melindungi data, tetapi kontrol akses melindungi siapa yang boleh melihat data tersebut**.
3. Langkah pencegahan dari sisi keamanan API dan manajemen akses
Langkah pencegahan yang dapat dilakukan antara lain:
* Menerapkan autentikasi dan otorisasi kuat
* Menggunakan prinsip least privilege pada setiap user dan service.
* Membatasi akses API dengan rate limiting dan IP filtering.
* Mengamankan API menggunakan API Gateway dan HTTPS/TLS.
* Melakukan logging dan monitoring terhadap aktivitas API.
* Audit dan uji keamanan API secara berkala (penetration testing).
4. Langkah respons insiden awal setelah kebocoran data terdeteksi
Langkah respons awal yang harus dilakukan adalah:
1. Isolasi sistem terdampak untuk mencegah kebocoran lanjutan.
2. Menonaktifkan atau mengganti kredensial yang dicurigai bocor.
3. Melakukan analisis awal (incident triage) untuk mengetahui sumber dan dampak kebocoran.
4. Mengaktifkan logging dan forensik digital.
5. Melaporkan insiden kepada tim internal dan pihak terkait sesuai prosedur.
6. Menyusun langkah pemulihan dan perbaikan keamanan.