Lindungi Data Pelatihan Model: Keamanan Data untuk Transformasi Digital Perbankan

Sumber: ChatGPT

Permukaan Risiko yang Bertambah

Sistem yang melibatkan model kecerdasan buatan memiliki titik risiko yang tidak ada pada sistem konvensional, dan sebagian di antaranya sering terlewat karena tidak familiar.

Pada sistem biasa, yang dilindungi adalah data yang tersimpan dan jalur yang dilaluinya. Pada sistem berbasis model, ada tambahan yang perlu dijaga, yaitu data yang dipakai untuk melatih, model itu sendiri sebagai aset, dan perilaku model ketika menerima masukan yang dirancang untuk mengecohnya.

Bagi sektor perbankan dan keuangan yang menangani data paling sensitif, tambahan risiko ini bukan hal yang bisa ditangani belakangan. Solusi keamanan data untuk transformasi digital sektor perbankan perlu mencakup ketiganya sejak tahap perancangan.

Delapan Hal yang Perlu Dipenuhi

Berikut adalah hal-hal yang menurut kami perlu dipenuhi pada setiap sistem yang melibatkan pemrosesan data sensitif oleh model.

Penyamaran identitas sebelum pelatihan. Data pribadi yang tidak dibutuhkan untuk pembelajaran dihilangkan atau diganti sebelum masuk ke proses pelatihan, sehingga kebocoran pada tahap ini tidak berujung pada kebocoran identitas.

Perlindungan data saat disimpan dan saat dikirim. Berlaku untuk data pelatihan, model yang dihasilkan, maupun masukan dan keluaran saat sistem berjalan.

Pembatasan akses berdasarkan peran. Akses ke data mentah dan ke lingkungan produksi dibatasi hanya pada pihak yang memang membutuhkannya untuk menjalankan fungsinya.

Pengamanan jalur antarmuka. Jalur yang menghubungkan model dengan aplikasi perlu memvalidasi masukan dengan ketat dan membatasi laju permintaan, karena jalur inilah yang paling terbuka terhadap percobaan penyalahgunaan.

Pemeriksaan celah secara berkala. Dilakukan rutin selama pengembangan, bukan hanya sekali menjelang peluncuran.

Pencatatan yang tidak bisa diubah. Aktivitas penting terekam dalam bentuk yang bisa diaudit, dengan data sensitif di dalam catatan itu sendiri disamarkan.

Pengujian ketahanan model. Model diuji terhadap masukan yang sengaja dirancang untuk mengecoh, karena kelemahan seperti ini tidak muncul pada pengujian biasa.

Pemeriksaan pustaka pihak ketiga. Ekosistem pengembangan model sangat bergantung pada pustaka eksternal, sehingga asal-usul dan kerentanannya perlu diperiksa secara berkala.

Memetakan Ancaman Sebelum Membangun

Daftar pemeriksaan berguna sebagai pengingat, tetapi tidak menggantikan proses berpikir mengenai ancaman yang spesifik bagi sistem yang sedang dibangun.

Pemetaan ancaman dilakukan pada tahap perancangan dengan menanyakan hal-hal konkret. Siapa yang mungkin ingin menyalahgunakan sistem ini. Data apa yang paling bernilai bagi mereka. Jalur mana yang paling mungkin ditempuh. Apa yang terjadi bila satu lapisan pertahanan berhasil ditembus.

Jawaban atas pertanyaan-pertanyaan ini menentukan di mana upaya perlindungan sebaiknya dipusatkan, karena sumber daya untuk pengamanan selalu terbatas dan tidak semua titik memiliki tingkat risiko yang sama.

Kepatuhan yang Menyentuh Keputusan Teknis

Bagi sektor keuangan di Indonesia, ketentuan mengenai perlindungan data pribadi dan pengamanan informasi menyentuh keputusan arsitektur, bukan hanya kebijakan tertulis.

Pertanyaan mengenai di mana data boleh diproses, berapa lama boleh disimpan, dan bagaimana pemilik data bisa menggunakan haknya semuanya berdampak pada rancangan sistem. Memenuhinya setelah sistem berjalan hampir selalu jauh lebih mahal daripada mempertimbangkannya sejak awal.

Karena itu Sagara memulai dari pemetaan klasifikasi data dan kewajiban yang menyertainya, sebelum membahas teknologi apa pun yang akan dipakai.

Kapan Sistem Anda Perlu Ditinjau

Peninjauan yang dilakukan setelah insiden selalu terlambat, karena sebagian konsekuensinya tidak bisa dipulihkan.