Risiko mengirim PDF tanpa proteksi bukan satu hal, melainkan beberapa hal yang bekerja bersamaan. Isinya bisa diubah tanpa jejak, salinannya mudah tersebar, dan metadatanya ikut terbawa ke penerima. Yang paling sering terlewat justru yang tidak terlihat di layar: nama penyusun, nama perangkat, dan tanggal pembuatan yang tersimpan di balik halaman. Sebelum berkas dikirim ke luar, ketiga hal itu perlu diperiksa.
Artikel ini tidak menjual solusi tertentu. Ini penjelasan tentang apa yang sebenarnya berisiko saat berkas dikirim terbuka, dan kapan proteksi justru bukan jawaban yang tepat. Sebagian risiko tidak hilang dengan kata sandi, dan sebagian dokumen lebih baik tidak dikirim sama sekali daripada dikirim dengan perlindungan yang setengah.
Isi yang bisa berubah setelah terkirim
PDF tanpa proteksi bisa disunting oleh siapa pun yang memegang berkasnya, selama ia punya tool penyunting PDF. Teks bisa ditambah, gambar bisa digeser, dan sebagian isi bisa ditimpa. Kalau dokumennya dipakai sebagai bukti atau rujukan, perubahan seperti ini menimbulkan pertanyaan tentang versi mana yang sah.
Yang membuat masalah ini berbahaya adalah perubahan pada PDF sering tidak meninggalkan jejak yang mudah dilihat. Berbeda dari dokumen kerja yang menyimpan riwayat penyuntingan, PDF adalah format kirim. Setelah diekspor, ia tidak membawa riwayat perubahan. Penerima yang tidak menyimpan salinan asli tidak punya cara memastikan isinya masih sama.
Untuk dokumen yang bentuknya harus persis, seperti penawaran, kontrak, atau surat resmi, kemampuan mengubah ini adalah risiko nyata. Orang yang menerima bisa mengubah angka atau kalimat, lalu mengirimkannya kembali seolah-olah itu versi asli.
Salinan yang tersebar tanpa kendali
Berkas PDF mudah digandakan. Satu berkas yang terkirim bisa disalin berkali-kali, disimpan di banyak perangkat, dan diteruskan ke pihak lain tanpa sepengetahuan pengirim. Sekali berkasnya keluar dari tangan Anda, kendali atas penyebarannya hilang.
Tanpa proteksi, berkas yang beredar juga tetap bisa dibuka oleh siapa pun yang menemukannya. Kalau berkas itu tersimpan di folder yang bisa diakses banyak orang, atau terkirim ke alamat yang salah, isinya terbuka begitu saja. Tidak ada lapisan yang menghalangi.
Ada batas yang perlu diakui di sini: proteksi tidak menghentikan penyebaran. Kata sandi menghalangi orang membuka berkas, tetapi berkas terkunci tetap bisa diteruskan ke orang lain. Yang berubah adalah penerima berikutnya tetap memerlukan sandi. Kalau sandinya ikut tersebar, proteksinya hilang.
Metadata yang ikut terbawa
Metadata adalah risiko yang paling sering terlewat karena tidak terlihat. PDF menyimpan informasi di balik halaman: judul, penulis, subjek, nama perangkat lunak yang membuatnya, dan tanggal. Sebagian pembaca PDF hanya menampilkan sebagian kecilnya, sehingga orang mengira berkasnya bersih padahal jejaknya masih ada.
Berkas yang lahir dari Word biasanya membawa nama pembuat dan nama perangkat dari aplikasi aslinya. Ekspor ke PDF tidak selalu menghapus jejak itu. Berkas hasil pindai juga membawa metadata dari perangkat atau aplikasi pemindainya. Jejak ini ikut terbawa ketika berkasnya dikirim.
Untuk dokumen yang dikirim ke pihak luar, metadata bisa membocorkan lebih banyak daripada yang disadari pengirim. Nama penyusun, nama perangkat, dan tanggal pembuatan bisa memberi tahu lebih banyak tentang proses internal daripada yang ingin dibagikan. Membersihkan metadata adalah langkah terpisah dari memberi sandi. Pembahasan lebih lengkapnya ada di Metadata Apa Saja yang Tersimpan di PDF dan Cara Menghapus Properti PDF Sebelum Dikirim.
Isi yang bisa disalin dan dikutip
Berkas tanpa proteksi memungkinkan isinya disalin lewat menu. Teks bisa dipindahkan ke dokumen lain, dan gambar bisa diambil. Untuk sebagian dokumen, ini tidak masalah, bahkan diinginkan. Untuk dokumen lain, misalnya laporan yang hanya boleh dibaca, kemampuan menyalin membuka peluang isinya dipindahkan tanpa konteks.
Perlu disebut dengan jujur bahwa membatasi salin bukan larangan mutlak. Isi halaman tetap bisa difoto dengan kamera, diketik ulang, atau dibaca dan diceritakan kepada orang lain. Pembatasan salin bekerja pada perangkat lunak, bukan pada orang. Ia menaikkan sedikit hambatan, bukan menutup pintu.
Risiko yang tidak hilang dengan kata sandi
Ini bagian yang penting dipahami sebelum mengandalkan proteksi. Kata sandi melindungi akses, tetapi ada risiko yang tetap ada meskipun berkasnya dikunci.
Yang pertama, penerima yang berhak tetap bisa menyalahgunakan isinya. Sandi diberikan kepada orang yang perlu membukanya, dan orang itu bisa memotret layarnya, menyalin isinya setelah terbuka, atau meneruskan berkasnya beserta sandinya. Proteksi tidak mengatur apa yang dilakukan penerima yang sah.
Yang kedua, izin di dalam PDF ditegakkan oleh pembaca yang menghormati izin dokumen. Pembaca yang mengabaikannya tetap bisa membuka isi selama sandinya diketahui. Izin adalah lapisan tambahan, bukan tembok.
Yang ketiga, kata sandi yang lemah bisa ditebak, dan sandi yang lupa tidak bisa dipulihkan. Kata sandi yang pendek atau berupa kata umum tidak menambah banyak perlindungan.
Kapan proteksi bukan jawaban
Kalau dokumennya berisi data yang benar-benar sensitif, mengirimnya dengan proteksi tetap berisiko. Yang lebih aman adalah tidak mengirimnya sama sekali, atau menyensor bagian sensitifnya secara permanen sebelum berkas dikirim. Menutup bagian rahasia dengan kotak hitam atau kotak putih bukan sensor, karena isi di bawahnya tetap ada di dalam berkas dan bisa tembus bila teksnya disalin. Yang benar-benar menghapus data adalah Sensor PDF.
Kalau dokumennya hanya perlu dibaca sekali oleh satu orang, mengirimnya sebagai berkas terkunci mungkin berlebihan. Berkas terkunci menuntut penerima mengetik sandi, dan itu menambah langkah yang tidak selalu sepadan dengan manfaatnya.
Kalau dokumennya masih akan berubah, menguncinya justru merepotkan. Kunci baru dipasang setelah isinya benar-benar final.
Memeriksa sebelum mengirim
- Tentukan apakah dokumennya memang perlu dikirim, dan kepada siapa. Kalau penerimanya tidak jelas, tunda pengiriman.
- Periksa properti dokumen untuk melihat judul, penulis, dan perangkat yang tercatat.
- Bersihkan metadata bila jejak penyusun tidak perlu diketahui penerima.
- Kalau isinya terbatas, tambahkan kata sandi dan atur izin yang sesuai.
- Kalau ada data rahasia di dalamnya, sensor bagian itu secara permanen, bukan sekadar menutupnya.
- Periksa alamat penerima sebelum menekan kirim. Kesalahan alamat adalah penyebab kebocoran yang paling sederhana dan paling sering terjadi.
- Kirim sandinya lewat saluran yang berbeda dari berkasnya, supaya satu kebocoran saja tidak cukup untuk membuka dokumen.
Langkah keenam sering dianggap sepele, padahal salah alamat adalah cara berkas rahasia paling sering berpindah ke tangan yang salah.
Kapan dokumen sebaiknya tidak dikirim sama sekali
Kalau isinya memuat data pribadi lengkap, laporan keuangan yang belum dipublikasikan, atau dokumen perusahaan yang belum boleh keluar dari jaringan kantor, pertimbangkan untuk tidak mengirimnya lewat surel. Gunakan saluran yang dikendalikan organisasi, misalnya sistem berbagi berkas internal. Kalau terpaksa dikirim, sensor bagian yang paling sensitif lebih dulu.
Untuk dokumen seperti ini, tool online pun sebaiknya dihindari. Berkas yang diunggah ke layanan web meninggalkan perangkat selama proses berlangsung, meskipun tidak ditulis ke penyimpanan permanen. Keterangan tentang cara layanan ini menangani berkas ada di kebijakan privasi.
Pertanyaan yang sering muncul
Apakah memberi kata sandi sudah cukup untuk mengamankan PDF? Untuk membatasi akses, ya, selama sandinya kuat dan dijaga. Tetapi risiko lain seperti penyebaran salinan dan penyalahgunaan oleh penerima yang sah tetap ada.
Apakah metadata benar-benar perlu dibersihkan? Tergantung dokumennya. Untuk berkas yang dikirim ke pihak luar dan tidak ingin membocorkan proses internal, membersihkan metadata adalah langkah yang masuk akal. Untuk dokumen internal, biasanya tidak perlu.
Bisakah penerima mengubah isi PDF yang tidak dikunci? Bisa, selama ia punya tool penyunting PDF. PDF tanpa proteksi tidak mencegah perubahan.
Apakah PDF tanpa kata sandi tetap lebih aman daripada Word? Untuk tampilan dan jejak penyusun, ya. Tampilannya terkunci dan metadatanya bisa dibersihkan. Untuk kerahasiaan, tidak ada bedanya: keduanya bisa dibuka siapa pun yang memegang berkasnya.
Apakah mengirim sandi di pesan yang sama berbahaya? Ya, karena satu kebocoran pada pesan itu cukup untuk membuka dokumen. Pisahkan saluran berkas dan saluran sandinya.
Mengurangi risiko sebelum berkas keluar
Periksa dokumennya sebelum dikirim, bukan sesudah. Bersihkan metadatanya bila perlu, kunci berkasnya bila isinya terbatas, dan sensor data rahasia yang tidak boleh beredar. Urutan lengkapnya ada di Keamanan PDF, dan gambaran seluruh silo PDF ada di Panduan PDF.