Shared Responsibility Model pada Layanan Cloud: Konsep yang Wajib Dipahami Sebelum Migrasi

 

Shared Responsibility Model pada Layanan Cloud: Konsep yang Wajib Dipahami Sebelum Migrasi

Salah satu kesalahpahaman paling umum saat organisasi bermigrasi ke cloud adalah anggapan bahwa seluruh aspek keamanan sudah menjadi tanggung jawab penuh penyedia layanan cloud. Padahal, keamanan di lingkungan cloud bekerja berdasarkan konsep Shared Responsibility Model (Model Tanggung Jawab Bersama), di mana tanggung jawab keamanan terbagi antara penyedia cloud dan pengguna layanan. Artikel ini akan membahas secara lengkap apa itu Shared Responsibility Model, pembagian tanggung jawabnya pada berbagai jenis layanan cloud, hingga mengapa memahami konsep ini sangat penting bagi keamanan organisasi.

Apa Itu Shared Responsibility Model?

Shared Responsibility Model adalah kerangka kerja yang menjelaskan pembagian tanggung jawab keamanan antara penyedia layanan cloud (cloud provider) dan pengguna/pelanggan (customer). Secara umum, model ini membagi tanggung jawab menjadi dua kategori besar:

• Security of the Cloud: tanggung jawab penyedia cloud dalam mengamankan infrastruktur dasar, seperti data center fisik, jaringan, hardware, dan lapisan virtualisasi
• Security in the Cloud: tanggung jawab pengguna dalam mengamankan data, konfigurasi akses, aplikasi, dan segala sesuatu yang dijalankan di atas infrastruktur tersebut

Pembagian tanggung jawab ini digunakan oleh hampir seluruh penyedia layanan cloud besar, termasuk AWS, Microsoft Azure, dan Google Cloud Platform, meski dengan istilah dan detail yang sedikit berbeda.

Mengapa Shared Responsibility Model Penting?

Memahami model ini sangat penting karena:

• Banyak insiden kebocoran data di cloud disebabkan oleh kesalahan konfigurasi dari sisi pengguna, bukan kegagalan infrastruktur penyedia cloud
• Membantu organisasi menentukan area mana yang menjadi tanggung jawabnya, sehingga tidak ada celah keamanan yang terlewat
• Mendukung proses audit dan kepatuhan (compliance) dengan memperjelas siapa yang bertanggung jawab atas aspek keamanan tertentu
• Mencegah kesalahpahaman antara tim internal organisasi dan penyedia layanan cloud saat terjadi insiden keamanan

Pembagian Tanggung Jawab Berdasarkan Jenis Layanan Cloud

Pembagian tanggung jawab dalam Shared Responsibility Model juga bervariasi tergantung jenis model layanan cloud yang digunakan, yaitu IaaS, PaaS, dan SaaS.

1. Infrastructure as a Service (IaaS)

Pada model IaaS (seperti Amazon EC2, Azure Virtual Machines, atau Google Compute Engine), penyedia cloud bertanggung jawab atas infrastruktur fisik, jaringan, dan virtualisasi, sedangkan pengguna bertanggung jawab atas:

• Sistem operasi dan patch keamanan
• Konfigurasi firewall dan jaringan virtual
• Manajemen identitas dan akses
• Data dan aplikasi yang dijalankan di atasnya
• Enkripsi data

2. Platform as a Service (PaaS)

Pada model PaaS (seperti AWS Elastic Beanstalk, Azure App Service, atau Google App Engine), penyedia cloud mengambil alih tanggung jawab tambahan seperti sistem operasi dan runtime, sehingga tanggung jawab pengguna lebih terfokus pada:

• Konfigurasi aplikasi
• Manajemen data dan akses pengguna
• Kode aplikasi dan keamanannya

3. Software as a Service (SaaS)

Pada model SaaS (seperti Google Workspace, Microsoft 365, atau Salesforce), penyedia cloud bertanggung jawab atas hampir seluruh aspek infrastruktur, platform, dan aplikasi, sedangkan tanggung jawab pengguna umumnya terbatas pada:

• Manajemen akses pengguna (siapa yang boleh mengakses aplikasi)
• Konfigurasi keamanan yang tersedia dalam aplikasi (misalnya kebijakan berbagi dokumen)
• Data yang diunggah dan dikelola dalam aplikasi tersebut

Tabel Perbandingan Pembagian Tanggung Jawab

Aspek	IaaS	PaaS	SaaS
Infrastruktur fisik & jaringan	Penyedia cloud	Penyedia cloud	Penyedia cloud
Sistem operasi & patch	Pengguna	Penyedia cloud	Penyedia cloud
Runtime & middleware	Pengguna	Penyedia cloud	Penyedia cloud
Aplikasi & kode program	Pengguna	Pengguna	Penyedia cloud
Data dan konten	Pengguna	Pengguna	Pengguna
Manajemen identitas & akses	Pengguna	Pengguna	Pengguna
Konfigurasi keamanan aplikasi	Pengguna	Pengguna	Pengguna (terbatas pada pengaturan yang tersedia)

Perhatikan bahwa data dan manajemen identitas/akses hampir selalu menjadi tanggung jawab pengguna, terlepas dari jenis layanan cloud yang digunakan.

Contoh Tanggung Jawab Penyedia Cloud vs Pengguna

Tanggung Jawab Penyedia Cloud (Security of the Cloud)

• Keamanan fisik data center
• Ketersediaan dan redundansi infrastruktur
• Keamanan jaringan tingkat infrastruktur
• Patching pada lapisan virtualisasi dan hardware

Tanggung Jawab Pengguna (Security in the Cloud)

• Konfigurasi akses dan hak istimewa (permission) pada resource cloud
• Enkripsi data sesuai kebutuhan organisasi
• Pengelolaan kredensial dan kunci akses (access key)
• Konfigurasi firewall, security group, dan jaringan virtual
• Kepatuhan terhadap regulasi terkait data yang disimpan (misalnya perlindungan data pribadi)

Kesalahan Umum Terkait Shared Responsibility Model

Beberapa kesalahan yang sering terjadi akibat kurangnya pemahaman terhadap model ini, antara lain:

• Menganggap seluruh data otomatis aman hanya karena disimpan di penyedia cloud besar dan tepercaya
• Tidak mengonfigurasi kontrol akses (IAM) dengan benar, sehingga resource dapat diakses secara tidak sah
• Membiarkan storage bucket (seperti S3 atau Blob Storage) dalam kondisi publik tanpa disadari
• Tidak menerapkan enkripsi data tambahan meski sudah tersedia opsi dari penyedia cloud
• Tidak melakukan audit dan monitoring konfigurasi secara berkala

Cara Memastikan Tanggung Jawab Pengguna Terpenuhi dengan Baik

1. Pahami secara spesifik pembagian tanggung jawab sesuai jenis layanan cloud (IaaS/PaaS/SaaS) yang digunakan organisasi
2. Terapkan prinsip least privilege dalam manajemen akses dan identitas
3. Lakukan audit konfigurasi keamanan secara berkala, termasuk memeriksa resource yang berpotensi terekspos publik
4. Manfaatkan tools bawaan penyedia cloud untuk penilaian postur keamanan, seperti AWS Trusted Advisor, Microsoft Defender for Cloud, atau Google Security Command Center
5. Berikan pelatihan kepada tim internal mengenai batasan tanggung jawab keamanan di lingkungan cloud

Kesimpulan

Shared Responsibility Model menegaskan bahwa keamanan di lingkungan cloud bukan sepenuhnya tanggung jawab penyedia layanan, melainkan tanggung jawab bersama antara penyedia cloud dan pengguna. Penyedia cloud menjamin keamanan infrastruktur dasar (security of the cloud), sementara pengguna bertanggung jawab mengamankan data, konfigurasi akses, dan aplikasi yang dijalankan di atasnya (security in the cloud). Pembagian tanggung jawab ini juga bervariasi tergantung jenis layanan yang digunakan, baik IaaS, PaaS, maupun SaaS. Dengan memahami model ini secara menyeluruh, organisasi dapat menghindari kesalahan konfigurasi yang menjadi penyebab utama insiden kebocoran data di lingkungan cloud, sekaligus memastikan strategi keamanan yang diterapkan benar-benar komprehensif.