Pelajaran keamanan tanpa keamanan: bagaimana dua nyonya dari dunia buku catatan daring dan brosur iklan membangun teater “keamanan” berskala global

Anda menggulir situs TradingView sampai ke paling bawah, dan tepat di bawah baris “© 2026 TradingView, Inc.” mata Anda langsung tertumbuk pada dua tombol raksasa berbingkai tegas: SOC 2 Compliant dengan stempel bundar dan GDPR Compliant yang dikelilingi bintang-bintang Uni Eropa. Kelihatannya monumental — Anda langsung segan pada para penjaga keamanan platform yang garang. Anda mengeklik lencana itu murni karena penasaran, ingin melihat bagaimana persisnya baju zirah yang tak tertembus itu ditempa, lalu mendarat di halaman trust.tradingview.com.

Dan di sinilah, begitu Anda mulai menelusuri, terbuka sebuah absurditas yang membuat Anda bingung mau tertawa atau menangis.

Di etalase terpajang lencana SOC 2, PCI DSS 4.0.1, GDPR, dan DORA, dan di sebelahnya sebuah indikator hijau berdetak riang: “Updated 4 minutes ago” — seolah empat menit lalu semua gembok sudah diperiksa, perbatasan terkunci rapat. Di bawahnya berjajar dua puluh poin perlindungan infrastruktur yang meyakinkan: akses ke server ketat lewat kunci kriptografi, jaringan dipisah, enkripsi berjalan, sistem deteksi intrusi tidak pernah tidur.

Anda mulai memperhatikan detailnya — dan kolom berisi status pemeriksaan yang sebenarnya ternyata kosong melompong. Laporannya sendiri disembunyikan di balik tombol “Minta akses”, yang tidak akan meloloskan orang dari jalanan. Tapi yang paling lucu bahkan bukan itu: tak satu pun dari dua puluh poin yang garang di halaman itu ditulis oleh insinyur TradingView. Seluruh “benteng” ini dibuat utuh dari templat siap pakai oleh sebuah perusahaan kecil Amerika pihak ketiga bernama Vanta.

Untuk membuktikan tidak ada pencuri di rumah, persilakan orang asing masuk ke setiap kamar tidur

Bagaimana bisnis ini bekerja? Di dunia korporat, layanan dituntut punya selembar kertas dari auditor — sertifikat SOC 2 yang terkenal itu. Dulu, demi kertas itu orang harus berbulan-bulan menahan kehadiran pemeriksa sungguhan di kantor yang dengan membosankan mengorek-ngorek pengaturan server. Lalu muncullah Vanta dan menawarkan kepada industri kode curang yang jenius: “Tidak perlu mengumpulkan apa pun secara manual. Sambungkan perangkat lunak kami ke perusahaan Anda, kami yang akan mencentang kotak untuk auditor di latar belakang, sekalian kami gambarkan etalase cantik berisi lencana di situs Anda.”

Sekarang perhatikan baik-baik tangan sang pesulap. Demi memasang tombol bangga “Kami tidak membiarkan siapa pun mendekati data Anda” di kaki situs, perusahaan dengan sukarela memasukkan firma asing ke bawah kapnya sendiri. Ia memberi server Vanta akses ke infrastruktur cloud-nya (AWS, Google Cloud), ke kode sumber di GitHub, ke email korporat, dan ke basis data kepegawaian berisi daftar semua karyawan. Belum cukup: di laptop kerja setiap programmer dan admin wajib dipasang program mata-mata dari Vanta yang 24 jam memeriksa apakah kata sandi di komputer aktif, apakah antivirus berjalan, dan apakah pembaruan sudah diunduh.

Secara formal, aksesnya “hanya baca” — skrip orang lain tidak akan menghapus basis data Anda dengan sendirinya. Sebagai gantinya, di server perusahaan pihak ketiga itu dengan telaten dihimpun peta rontgen lengkap perusahaan: cetak biru seluruh jaringan, nama dan email semua insinyur, model laptop mereka, dan daftar hidup semua kerentanan yang belum ditambal.

Para tukang isi formulir di kemudi keamanan dunia

Lantas, siapa sebenarnya para jenius kriptografi yang garang dan veteran pasukan siber itu, yang dipercaya ribuan perusahaan di seluruh dunia memegang kunci dapur internal mereka?

Kita buka biografi para petinggi Vanta dan siapkan berondong jagung.

Pendiri sekaligus pemimpin abadi perusahaan ini adalah Christina Cacioppo. Di mana ia menempa pengalaman legendarisnya di bidang keamanan informasi? Di laboratorium rahasia Pentagon? Dalam pengembangan perlindungan untuk sistem inti perbankan? Bukan. Sang nona pergi belajar pemrograman, beberapa tahun mengutak-atik proyek-proyek kecil yang tak pernah lepas landas, lalu masuk ke Dropbox sebagai manajer produk. Dan di sana ia bahkan tidak mengurusi penyimpanan file atau enkripsi disk. Puncak kariernya adalah Dropbox Paper — buku catatan daring kelas dua untuk menulis catatan bersama di dalam layanan berbagi file, yang keberadaannya bahkan tidak diketahui sembilan dari sepuluh pengguna Dropbox. Selagi ia merakit buku catatan mungil itu, ia disuruh mengisi tabel-tabel membosankan untuk auditor — dan ia memutuskan bahwa jauh lebih menguntungkan menjual formulir web kecil kepada perusahaan lain untuk mengumpulkan tabel-tabel serupa secara otomatis.

Kita lanjutkan: siapa perempuan utama kedua di kapal ini? Direktur pemasaran Sarah Scharf. Wanita ini datang dari Google, tempat ia selama tujuh tahun mengurusi “pemasaran privasi, keamanan, dan Android”. Renungkan jabatannya saja: orang ini tidak menulis kode dan tidak menangkap peretas, tetapi selama tujuh tahun mengarang dongeng iklan tentang betapa korporasi Google peduli pada privasi Anda, sementara korporasi itu sendiri mengumpulkan berkas tentang setiap penduduk planet ini.

Anggota tim lainnya pun setara: direktur teknologi produk sebelumnya mengurusi tambahan-tambahan sampingan dan etalase di GitHub, sedangkan direktur keuangannya datang dari Calendly — situs yang membuat formulir kecil untuk menjadwalkan panggilan di kalender.

Inilah tim impian itu — pencipta buku catatan cloud, humas “privasi” dari Google, dan juru hitung dari kalender daring — yang hari ini membagi-bagikan standar keamanan kepada fintech dunia.

Satpam bersandal rumah dan paradoks tenaga penjual kantoran

Tetapi komedi yang sesungguhnya dimulai ketika Anda melihat bagaimana dapur internal para “pemeriksa” itu sendiri bekerja. Perusahaan yang menyimpan cetakan kerentanan ribuan bisnis orang lain ini secara resmi bekerja dalam mode “remote-first”. Pada musim semi 2022 pun mereka sudah dengan gembira menulis di situsnya: “Kami bekerja dengan sukses dari mana saja.”

Jika Anda membuka papan lowongan kerja mereka sekarang juga, dari 83 posisi, 52 adalah murni kerja jarak jauh di AS, Kanada, Inggris, dan Irlandia. Dan yang bekerja dari sofa di sana sama sekali bukan desainer ikon:

• Sr. Manager, Security Operations (jarak jauh). Orang ini mengonfigurasi pertahanan Vanta sendiri dan memimpin penanganan serangan peretas. Dalam deskripsi lowongan, ia dengan penuh perhatian dijanjikan “tunjangan ruang kerja di rumah, internet, dan ponsel”. Komandan penangkal serangan siber menjalankan pertahanan lewat router rumahan, ditanggung perusahaan.
• Insinyur cloud pemerintah GovCloud (jarak jauh, dengan piket darurat). Satu-satunya syarat keamanan untuk bekerja dengan sektor pemerintah — masuk ke sistem “secara fisik dari wilayah AS”. Dari warung pinggir jalan atau apartemen sewaan yang mana persisnya — tidak ada yang peduli.
• Senior Engineer, Enterprise Resilience dan Senior Security Engineer (jarak jauh). Orang-orang yang bertanggung jawab atas ketahanan produksi dan dalam teks lowongan bersumpah menjadi “penjaga tepercaya data sensitif” juga duduk di rumah masing-masing.
• Staff Engineer, Program Structure & Trust (jarak jauh). Posisi yang satu ini ingat baik-baik: spesialis jarak jauh ini bertanggung jawab memastikan data rahasia berbagai klien tidak tercampur satu sama lain.

Tahukah Anda apa absurditas utamanya di sini? Tenaga penjual biasa di London dan Dublin diwajibkan atasan Vanta datang ke kantor tiga hari seminggu. Artinya, orang-orang yang hanya menelepon klien dan menampilkan presentasi harus duduk di bawah pengawasan di gedung perkantoran. Sementara para insinyur yang memegang kunci produksi dan peta infrastruktur ribuan perusahaan duduk bersandal rumah di dapur, dikelilingi kerabat, tetangga, kurir, dan tukang ledeng. Dan ini terjadi di zaman ketika perusahaan IT Amerika menangkapi pekerja jarak jauh palsu secara borongan — ketika wawancara video dijalani aktor bayaran, dan laptop kerja dikirim lewat pos langsung ke ‘laptop farm’ milik peretas Korea Utara.

Empat hari dengan ritsleting terbuka lebar

Ke mana arah keamanan buatan para pencipta buku catatan dan pekerja jarak jauh di Wi-Fi rumahan, tidak perlu lama-lama ditebak.

Ingat lowongan insinyur jarak jauh yang harus menjaga agar basis data berbagai perusahaan tidak tercampur? Pada Mei 2025, para tukang isi formulir dari Vanta merilis pembaruan yang asal-asalan, dan data rahasia sebagian klien begitu saja tertulis ke akun klien lain (laporan insiden INC-868).

Rahasia ratusan perusahaan begitu saja tumpah ke layar orang lain. Ke tangan orang asing bocor daftar karyawan perusahaan lain, jabatan mereka, dan — ceri di atas kue — pengaturan autentikasi dua faktor (MFA) mereka. Alias contekan siap pakai untuk membobol: siapa bekerja sebagai apa dan siapa yang akunnya tidak terpasang pengaman.

Namun seluruh skala lawakan badut ini terungkap lewat dua detail:

1. Lubangnya menganga selama empat hari. Pemantauan otomatis Vanta yang diagung-agungkan, yang setiap empat menit menggambar centang hijau di situs klien, selama empat hari tidak melihat apa yang ada tepat di depan hidungnya: ia membagi-bagikan basis data orang lain kepada tetangga acak. Kesalahan itu baru ditemukan ketika salah satu klien yang terperangah melihat sendiri dapur internal orang lain di akunnya dan menulis ke dukungan teknis.
2. Muka tembok kelas wahid. Ketika aib itu terbongkar, para pemasar Vanta merilis laporan dan dengan muka tanpa dosa menyebut bocornya data ratusan perusahaan ke tangan orang lain sebagai insiden yang “tidak terkait keamanan” (non-security related). Ya sudahlah, basis datanya tertukar — yang penting centang di laporan tetap hijau!

Perisai kertas

Hanya segitulah harga tombol-tombol garang SOC 2 Compliant dan GDPR Compliant di kaki situs.

Orang awam melihat lencana-lencana itu dan mengira layanannya dilindungi seperti koper nuklir. Padahal kenyataannya, demi selembar kertas birokrasi, perusahaan-perusahaan sendiri yang menjebol lubang di tembok mereka, menuangkan seluruh skema pertahanan mereka ke satu palung bersama milik mantan manajer catatan dan iklan, lalu menugaskan penjagaan palung itu kepada orang-orang di router rumahan, yang perangkat lunaknya bahkan tidak sanggup menyadari bahwa selama empat hari berturut-turut ia membagi-bagikan rahasia orang lain ke kiri dan ke kanan.

Pelajaran keamanan tanpa keamanan diserap dengan nilai sempurna: lencana di situs berkilau, dan apa yang ada di balik pintu — lebih baik tidak ada yang tahu.

Sebagai ganti epilog: siapa sebenarnya “petugas keamanan jarak jauh” di kehidupan nyata

Ketika korporasi melukiskan frasa Remote Security Engineer dalam presentasi mereka, di kepala klien muncul bayangan seorang profesional yang fokus di ruang kerja bermandikan cahaya matahari, menjaga rahasia orang lain lewat kanal satelit yang aman.

Kenyataannya, pekerja jarak jauh adalah kotak hitam yang isinya sama sekali tidak dikendalikan pemberi kerja. Perusahaan tidak punya gambaran apa yang terjadi di seberang webcam begitu panggilan pagi lima belas menit selesai. Dan di sana berlangsung kehidupan nyata dengan segala keindahannya.

1. Jiwa berkabut, SSRI, dan mikrodosis jamur Di kantor, setidaknya Anda melihat orangnya secara langsung: apakah tangannya gemetar, apakah tatapannya waras, apakah ia mandi minggu ini, dan apakah ia tidak sedang mengobrol dengan tembok. Dalam kerja jarak jauh, seluruh kontak dengan orang yang memegang akses root ke server ribuan perusahaan menyusut menjadi kotak kecil di Zoom dengan latar belakang buram.

Lima belas menit sehari di stand-up, pria ini dengan susah payah memeras senyum formalitas dan melapor dengan bersemangat: “Tidak ada blocker, saya dorong update ke produksi.” Setelah itu ia mematikan kamera — dan tak seorang pun di kantor pusat tahu bagaimana kondisinya. Mungkin sudah tiga bulan ia menenggak antidepresan berat (SSRI) dalam dosis kuda, yang membuat rasa bahayanya benar-benar mati dan ia sama sekali tidak peduli basis data mana yang akan ia bocorkan dan ke mana. Mungkin, mengikuti tren Silicon Valley, sejak pagi ia sudah menelan mikrodosis jamur psilosibin, atau hidup dengan Adderall diselingi terapi ketamin, berusaha keluar dari depresi pascaperceraian. Bagi perusahaan, ia adalah bulatan hijau di Slack. Padahal kenyataannya, di depan panel kendali reaktor nuklir duduk seseorang dalam kondisi kognitif yang sangat tidak fokus.

2. Penodongan di kafe dan MacBook yang terbuka Pusat teknologi Amerika seperti San Francisco, Seattle, atau Austin sudah lama berubah menjadi wahana kriminal. Di San Francisco bahkan ada satu profesi jalanan tersendiri — laptop snatching: para perampok menyerbu kafe-kafe kekinian, merenggut langsung dari tangan para pekerja IT MacBook yang terbuka dan tidak terkunci, lengkap dengan sesi VPN yang sudah tersambung dan terminal yang terbuka, lalu membawanya ke mobil yang menunggu di depan pintu.

Atau lebih sederhana lagi: malam hari sepulang kerja, sang “penjaga data sensitif” ini keluar membeli burrito dengan ponsel kerja dan laptop di ransel. Beberapa blok dari rumah, dua pemuda berpistol menghampirinya, memukul kepalanya, dan menjelaskan dengan gamblang bahwa saat ini juga ia tidak hanya akan menyerahkan semua perangkatnya, tetapi juga menempelkan jarinya ke Touch ID dan menyebutkan PIN-nya. Tak ada firewall cloud ataupun lencana SOC 2 Compliant yang pernah menyelamatkan siapa pun dari pipa besi di gang gelap.

3. Istri, kekasih, dan akses yang dicuri langsung dari bantal Bahkan jika sang insinyur sama sekali tidak keluar rumah, apartemennya bagaikan terminal bus. Di belakang punggungnya lalu-lalang istri, mantan pacar dan pacar sekarang, teman sekamar di tempat sewaan, petugas kebersihan, kurir, dan tamu pesta Jumat malam.

Di AS ini bukan lagi teori, melainkan berkas perkara pengadilan. Pada 2024, Komisi Sekuritas dan Bursa (SEC) membongkar skema keluarga yang indah: suami seorang karyawan jarak jauh raksasa minyak BP cukup mondar-mandir di rumah dan menginap sekamar dengannya saat perjalanan, sementara sang istri dari rumah menangani kesepakatan merger perusahaan yang dirahasiakan. Ia menguping panggilan teleponnya, mengintip layar laptop kerja yang terbuka saat istrinya pergi ke dapur, memborong saham jaringan yang tepat, dan meraup hampir dua juta dolar dari informasi orang dalam.

Sekarang bayangkan skenario yang lebih membumi: seorang petugas keamanan jarak jauh di tengah perceraian yang pahit atau pertengkaran dengan belahan jiwanya. Istri yang sakit hati atau teman sekamar yang banyak akal cukup menunggu sampai sang “penjaga infrastruktur” pergi mandi atau tertidur, memotret dengan ponsel layar yang terbuka berisi kunci akses, token, dan percakapan Slack — atau sekadar mencolokkan flashdisk ke laptop sang insinyur, yang kata sandinya sudah lama mereka intip dari balik bahu.

4. Kelelahan pukul tiga pagi Dan akhirnya, sebuah klasik yang dalam beberapa tahun terakhir membuat raksasa-raksasa dari Uber hingga layanan autentikasi Okta kecolongan. Ketika para pembobol membeli kata sandi curian seorang pekerja jarak jauh, tinggal autentikasi dua faktor (MFA) yang harus mereka akali. Apa yang mereka lakukan? Mereka menunggu sampai si pekerja jarak jauh tidur di rumahnya, dan pada pukul tiga pagi mulai membombardir ponselnya dengan puluhan notifikasi push: “Konfirmasi masuk.” Lalu segera mereka mengirim pesan pribadi atas nama “dukungan teknis perusahaan”: katanya ini cuma gangguan sistem, tekan “Konfirmasi” supaya notifikasinya berhenti berbunyi. Dan orang yang mengantuk dengan celana dalam itu, asal ponselnya akhirnya diam dan membiarkannya tidur, dengan jarinya sendiri mempersilakan para peretas masuk ke ruang mahakudus.

Dari kekacauan manusia inilah — pil, drama keluarga, kejahatan jalanan, dan kemalasan tengah malam — sebenarnya tersusun fondasi tempat seluruh industri modern “kepercayaan cloud” berdiri. Dan lain kali ketika Anda melihat lencana tegas SOC 2 Compliant dan GDPR Compliant di bagian bawah situs keuangan yang cantik, ingat saja bahwa di suatu tempat di seberang samudra, saat ini juga, seorang pria lelah yang mengonsumsi antidepresan beranjak dari laptopnya yang terbuka untuk menuang kopi, sementara pacarnya dengan termenung menggulir daftar server orang lain di monitornya.