Crypto-Erase SSD: Cara Aman Menghapus Data Permanen

Crypto-erase SSD adalah jawaban atas masalah yang sudah lama diketahui praktisi keamanan: metode penghapusan data warisan era hard disk tidak bekerja andal pada solid-state drive. Alih-alih menimpa setiap sel memori satu per satu, crypto-erase (cryptographic erase) menghancurkan kunci enkripsi yang dipakai drive untuk menulis seluruh datanya. Ketika kunci itu hilang, isi media berubah menjadi ciphertext tanpa kunci — secara praktis setara data acak. Prosesnya selesai dalam hitungan detik hingga menit, bukan jam, dan drive tetap bisa dipakai ulang. Artikel ini membahas cara kerjanya, perintah teknis yang sebenarnya dijalankan, prasyarat agar metode ini sah dipertanggungjawabkan, serta bagaimana memposisikannya dalam kerangka kepatuhan di Indonesia.

Mengapa menimpa data (overwrite) tidak andal di SSD

Pada hard disk magnetik, satu blok logis memetakan ke satu lokasi fisik yang relatif stabil, sehingga menimpanya dengan pola tertentu benar-benar mengganti data lama. SSD tidak bekerja seperti itu. Di antara sistem operasi dan sel NAND ada lapisan Flash Translation Layer (FTL) yang bebas memindahkan data demi memperpanjang usia sel. Akibatnya:

• Wear leveling menyebarkan tulisan ke blok berbeda, sehingga perintah overwrite ke alamat logis yang sama justru mendarat di sel fisik baru dan meninggalkan salinan lama utuh.
• Over-provisioning menyisakan kapasitas fisik (kerap 7–28%) yang tidak pernah terlihat oleh sistem operasi dan tidak tersentuh perangkat lunak penimpa.
• Blok yang dipensiunkan (retired/bad block) dikeluarkan dari peta FTL tetapi isinya masih dapat dibaca lewat akses tingkat chip.
• Cache internal dan SLC buffer menyimpan fragmen tulisan terakhir di luar jangkauan perintah baca-tulis biasa.

Karena itu NIST SP 800-88 Rev. 1 — rujukan teknis internasional yang paling banyak dipakai — tidak menempatkan overwrite berlapis sebagai teknik Purge untuk media flash, melainkan mengarahkan pada perintah sanitasi bawaan perangkat, termasuk cryptographic erase.

Cara kerja crypto-erase SSD dan posisinya di NIST SP 800-88

Hampir semua SSD kelas enterprise dan sebagian besar SSD konsumen modern adalah self-encrypting drive (SED). Controller-nya mengenkripsi setiap byte yang masuk memakai Media Encryption Key (MEK) yang dibangkitkan di dalam chip dan tidak pernah keluar dari drive. Enkripsi ini aktif secara default, bahkan ketika pengguna tidak pernah menyalakan fitur password apa pun — yang berubah hanya apakah MEK dilindungi oleh kredensial pengguna atau tidak.

Crypto-erase memerintahkan controller membuang MEK lama dan membangkitkan kunci baru. Seluruh ciphertext di NAND — termasuk yang berada di area over-provisioning dan blok pensiun — otomatis menjadi tidak terbaca, tanpa perlu menyentuhnya. Inilah alasan metode ini digolongkan sebagai Purge, satu tingkat di atas Clear dan setara secara tujuan dengan Destroy untuk sebagian besar tingkat sensitivitas, selama implementasi kriptografinya tepercaya.

Kekuatannya bergantung pada kualitas enkripsi

Konsekuensi logisnya: keamanan crypto-erase sama dengan keamanan algoritma dan pengelolaan kuncinya. Modul enkripsi yang tervalidasi FIPS 140-2 atau FIPS 140-3 memberi jaminan pihak ketiga bahwa AES-256 diimplementasikan benar dan MEK dibangkitkan dari sumber acak yang layak. SSD tanpa validasi apa pun memaksa Anda mempercayai klaim vendor tanpa bukti — risiko yang perlu dinyatakan terbuka dalam dokumen risiko, bukan disembunyikan.

Perintah teknis per antarmuka

“Crypto-erase” adalah nama konsep; di lapangan ia dieksekusi lewat perintah yang berbeda tergantung antarmuka drive. Menjalankan perintah yang salah menghasilkan sanitasi tingkat Clear, bukan Purge.

Perlu ditegaskan: menghapus partisi, memformat cepat, atau menjalankan TRIM bukan sanitasi. TRIM hanya menandai blok siap dikosongkan oleh garbage collection, tanpa jaminan waktu maupun cakupan.

Prasyarat agar crypto-erase dapat dipertanggungjawabkan

Metode ini gagal secara diam-diam jika asumsinya tidak dipenuhi. Sebelum menetapkannya sebagai prosedur standar, pastikan hal berikut:

• Enkripsi aktif sejak penulisan pertama. Data yang ditulis sebelum enkripsi dinyalakan tersimpan sebagai plaintext dan tidak akan terpengaruh penghapusan kunci.
• Cakupan penuh media. Enkripsi tingkat sistem berkas atau folder tidak menjangkau swap, hibernation file, dan sisa metadata.
• Tidak ada salinan kunci di luar drive. Escrow kunci di manajemen perangkat perusahaan atau backup harus ikut dimusnahkan.
• Drive dalam kondisi sehat dan merespons perintah. SSD dengan controller rusak tidak dapat menerima perintah sanitasi — ini kasus yang harus dialihkan ke penghancuran fisik.
• Salinan data di tempat lain sudah dipetakan. Backup, replika, dan arsip tidak ikut hilang hanya karena satu drive disanitasi.

Verifikasi juga tidak boleh dilewati. Karena crypto-erase tidak mengubah isi NAND, pemeriksaan dilakukan lewat kombinasi pembacaan sampel sektor (harus mengembalikan data acak atau nol), pembacaan log status sanitasi dari drive, dan pencatatan serial number perangkat. Untuk data berklasifikasi sangat tinggi, praktik konservatif menambahkan overwrite penuh setelah crypto-erase, atau memilih penghancuran fisik sekaligus.

Kaitan dengan regulasi di Indonesia

Penting dinyatakan jujur: tidak ada regulasi Indonesia yang secara eksplisit mewajibkan crypto-erase atau menyebut satu metode teknis tertentu. Yang diwajibkan adalah hasilnya — data benar-benar tidak dapat dipulihkan — dan kemampuan Anda membuktikannya.

UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan pengendali data menghentikan pemrosesan serta menghapus atau memusnahkan data pribadi dalam kondisi tertentu, antara lain ketika masa retensi berakhir atau subjek data menarik persetujuannya; pembahasan lengkap kewajiban ini ada pada ulasan kewajiban pemusnahan data pribadi menurut UU PDP. Di ranah sistem elektronik, PP No. 71 Tahun 2019 mengatur kewajiban penyelenggara sistem elektronik menyediakan mekanisme penghapusan informasi elektronik yang tidak relevan, sejalan dengan ketentuan Pasal 26 UU ITE beserta perubahannya.

Sektor tertentu menambah lapisan. Bank dan lembaga jasa keuangan tunduk pada ketentuan OJK mengenai penyelenggaraan teknologi informasi, termasuk tata kelola pelepasan aset TI dan retensi dokumen. Fasilitas kesehatan mengikuti Permenkes No. 24 Tahun 2022 yang mengatur penyimpanan rekam medis elektronik dengan jangka waktu minimum sebelum dapat dimusnahkan. NIST SP 800-88 Rev. 1 sendiri bukan hukum Indonesia, melainkan standar teknis yang lazim diadopsi sebagai rujukan pembuktian bahwa metode yang dipilih memadai.

Menjadikannya prosedur, bukan tindakan sesaat

Nilai kepatuhan crypto-erase muncul dari rantai bukti, bukan dari perintah tunggal. Alur yang layak diaudit mencakup pendataan aset dan serial number, klasifikasi data di dalamnya, penetapan metode, eksekusi oleh petugas berwenang dengan saksi, verifikasi hasil, lalu penerbitan berita acara. Dokumen penutup inilah yang akan diminta auditor atau regulator — unsur-unsurnya diuraikan pada pembahasan anatomi sertifikat pemusnahan data.

Crypto-erase juga bukan pengganti universal. Drive yang gagal total, media magnetik, dan aset dengan klasifikasi tertinggi tetap menuntut pendekatan lain. Perbandingan trade-off antar metode dibahas terpisah dalam panduan degaussing, penghancuran fisik, dan crypto-erase. Yang perlu Anda putuskan adalah matriks kebijakan: kondisi apa memicu metode apa, siapa yang berwenang, dan bukti apa yang disimpan.

Pertanyaan yang sering diajukan

Apakah degaussing bisa dipakai untuk SSD?

Tidak. Degausser bekerja dengan medan magnet kuat yang mengacak domain magnetik pada piringan hard disk. SSD menyimpan data sebagai muatan listrik di sel NAND, sehingga medan magnet tidak berpengaruh. Untuk SSD, pilihannya adalah crypto-erase, perintah sanitasi bawaan drive, atau penghancuran fisik sampai ukuran partikel yang memadai.

Berapa lama proses crypto-erase pada SSD berkapasitas besar?

Umumnya beberapa detik hingga beberapa menit, dan relatif tidak dipengaruhi kapasitas karena yang dihapus adalah kunci, bukan seluruh isi media. Inilah keunggulan operasionalnya dibanding overwrite penuh yang bisa memakan waktu berjam-jam per drive pada armada ratusan unit.

Bagaimana membuktikan crypto-erase benar-benar berhasil?

Gabungkan tiga bukti: log status sanitasi yang dilaporkan drive, pembacaan sampel sektor yang menunjukkan data acak atau nol, serta berita acara yang mencantumkan model, serial number, metode, waktu, dan petugas pelaksana. Verifikasi kriptografis memang tidak sekuat pemeriksaan visual pada penghancuran fisik — batasan ini sebaiknya dinyatakan terbuka dalam dokumen risiko.

Apakah crypto-erase cukup untuk memenuhi UU PDP?

UU PDP menuntut hasil dan akuntabilitas, bukan metode tertentu. Crypto-erase yang dijalankan pada drive dengan enkripsi tepercaya, diverifikasi, dan didokumentasikan dapat mendukung pemenuhan kewajiban tersebut. Yang membuatnya lemah bukan tekniknya, melainkan absennya kebijakan retensi, jejak audit, dan bukti tertulis.