Belajar Cloud Security Engineer - Regulatory Cloud (GDPR, HIPAA)

#Pendahuluan

Setelah di episode 19 kita mempertahankan identitas dari serangan modern, kita naik ke lapisan yang menentukan apakah sebuah bisnis boleh beroperasi: regulasi. Ketika produk menyentuh data warga Eropa (GDPR), catatan medis AS (HIPAA), atau kartu pembayaran (PCI DSS), desain teknis tidak lagi sekadar best practice — ia jadi kewajiban hukum dengan sanksi finansial nyata.

Mengapa Cloud Security Engineer yang harus paham ini? Karena lawyer bisa membaca pasal, tapi cuma engineer yang bisa menerjemahkan "right to erasure" menjadi pipeline delete yang benar, atau "minimum necessary" menjadi IAM scope yang ketat. Jembatan hukum-ke-teknologi inilah nilai premium kalian.

#Data Residency dan Region

Regulasi sering menuntut data tinggal di yurisdiksi tertentu. Di cloud, ini soal keputusan region + guardrail:

Pilih region awal — replika cross-region yang "hanya untuk DR" tetap transfer data; pastikan dasar hukumnya jelas.
Kunci dengan policy: SCP/org policy melarang resource di region non-approved (pola dari episode 3).
Waspadai metadata: backup snapshot, log, CDN edge cache — semuanya bisa "melari" data keluar region tanpa sadar.

SCP: larang resource di region seluar approved

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "DenyRegionsOutsideEU",
    "Effect": "Deny",
    "Action": "*",
    "Resource": "*",
    "Condition": {
      "StringNotEquals": {"aws:RequestedRegion": ["eu-central-1", "eu-west-1"]},
      "ArnNotLike": {"aws:PrincipalARN": "arn:aws:iam::*:role/cloudfront-manager"}
    }
  }]
}

Provider Eropa (misal sovereign cloud offerings) ada untuk kasus ketat; biasanya trade-off-nya catalog service lebih kecil.

Beberapa konsep GDPR dan padanan teknisnya:

Konsep Hukum	Implementasi Teknis
Lawful basis + minimization	Data minimization: jangan simpan yang tak perlu; schema field-level justification
Right to access (DSAR)	Pipeline export data per-subject yang bisa dieksekusi otomatis
Right to erasure	Delete end-to-end: DB + backup strategy + log pseudonymized + cache invalidation
Data portability	Export format machine-readable (JSON/CSV)
Breach notification 72 jam	IR playbook (episode 9) + daftar kontak regulator siap
Processor agreements (DPA)	AWS/GCP/Azure menyediakan DPA standar — lampirkan ke vendor list

Yang paling sering gagal secara teknis adalah erasure: tim menghapus baris database tapi melupakan backup (yang di-retain wajib tapi terenkripsi + akses ketat), log aplikasi yang menyimpan email, dan replika analitik. Solusi arsitektural yang elegan: pseudonymize sedini mungkin — simpan mapping identitas di satu tabel terkunci CMK, sisanya bekerja dengan ID anonim sehingga "menghapus subjek" berarti menghapus satu row mapping.

#HIPAA dan Data Kesehatan

HIPAA berlaku untuk PHI (Protected Health Information) di sistem covered entity/business associate. Poin teknis intinya:

BAA wajib dengan provider sebelum workload PHI masuk (AWS/Azure/GCP menyediakannya; cek daftar service yang in-scope BAA — tidak semua service boleh pegang PHI!).
Encryption at rest & transit wajib; audit trail akses PHI wajib (siapa membaca rekam medis apa — log retention panjang).
Minimum necessary access: IAM sangat granular; akses break-glass dengan alert real-time (dokter darurat boleh, tapi tercatat dan direview).

Pola arsitektur umum: PHI di akun/VPC terpisah dengan private endpoint saja, aplikasi mengakses via service layer, dan setiap read ter-log ke WORM store.

#PCI DSS 4.0: Kartu Pembayaran

Prinsip emas PCI: jangan simpan PAN kalau tidak harus. Gunakan tokenisasi provider pembayaran (Stripe/Midtrans/Xendit) sehingga kartu tak pernah menyentuh infrastruktur kalian — CDE (cardholder data environment) menyusut jadi hampir nol.

Kalau benar-benar menyentuh data kartu:

Segmen CDE di akun/VPC terpisah (scope reduction ala episode 10).
Enkripsi + key management ketat; PAN masked di display (tampilkan 4 digit terakhir saja).
Monitoring ketat + quarterly ASV scan untuk komponen publik.
Segnet network: no direct internet ke CDE; egress allowlist ketat.

#Pola Arsitektur Regulated Workload

Merangkum pola yang berulang di semua regulasi:

100%

Dan checklist desain yang bisa kalian tempel di review arsitektur:

Region pinned; SCP/org policy mencegah drift.
Workload isolated account; hanya private connectivity.
Semua data dienkripsi CMK milik organisasi; rotasi aktif.
Audit akses data sensitif ke immutable log; review berkala.
Backup terenkripsi + akses ketat + strategi erasure terdefinisi.
DPA/BAA lengkap dengan provider dan vendor pihak ketiga.
Evidence otomatis (Audit Manager/Prowler compliance packs) untuk kontrol rutin.

Tip

Regulasi menakuti sampai kalian melihat strukturnya: semuanya menuntut kombinasi yang sudah kalian kuasai — least privilege, enkripsi, logging immutable, IR playbook. Episode 0-19 adalah 95% pekerjaan compliance; sisanya dokumentasi dan pemetaan (episode 10).

#Common Pitfalls

Anggap region = compliance — residency hanyalah satu syarat; kontrol akses, enkripsi, dan proses DSAR tetap harus ada.
Lupa subprosesor — vendor analytics/SaaS yang menyentuh data EU butuh DPA juga; daftar vendor adalah bagian audit.
Log berisi PII mentah — masking di pipeline logging; log adalah sumber bocor yang sering dilupakan.
Erasure hanya di database primer — replikasi, backup, warehouse, dan cache adalah titik gagal klasik audit.

#Penutup

Inti yang harus dibawa pulang:

Data residency = keputusan region + guardrail policy; waspadai metadata dan backup.
GDPR diterjemahkan ke teknis: minimization, DSAR otomatis, erasure end-to-end via pseudonymization, notifikasi 72 jam via IR.
HIPAA: BAA + in-scope services, encryption wajib, minimum necessary, audit akses PHI.
PCI: tokenisasi provider pembayaran adalah strategi termurah — kecilkan CDE sebisa mungkin.
Regulasi = kombinasi kontrol yang sudah kalian kuasai + dokumentasi pemetaan.

Di episode 21 selanjutnya kita bahas platform security generasi baru: cloud-native security tools — CNAPP vs CWPP vs CSPM, agentless vs agent-based, dan cara memilih platform yang benar-benar mengurangi pekerjaan. Sampai jumpa!