Email Security, DMARC, dan Backup: Tiga Lapisan Perlindungan Sistem Email Bisnis

Perlindungan email bisnis sering disederhanakan menjadi spam filter atau fitur keamanan bawaan platform. Padahal, risiko pada sistem email tidak hanya berasal dari pesan berbahaya yang masuk ke inbox.

Domain perusahaan dapat digunakan secara tidak sah sebagai identitas pengirim. Email dan file penting juga dapat hilang akibat penghapusan, kompromi akun, atau kesalahan operasional.

Karena risikonya berbeda, fungsi perlindungannya juga perlu dibedakan. Email Security melindungi inbox dan pengguna dari ancaman email. DMARC membantu mengendalikan penggunaan domain sebagai identitas pengirim. Backup menjaga kemampuan perusahaan memulihkan email dan data ketika terjadi kehilangan atau insiden.

Ketiganya saling melengkapi, tetapi tidak saling menggantikan.

Mengapa Satu Lapisan Saja Tidak Selalu Cukup?

Google Workspace dan Microsoft 365 menyediakan fondasi penting untuk keamanan, autentikasi, dan pengelolaan data. Namun, ancaman yang masuk ke inbox, penyalahgunaan identitas domain, dan kehilangan data merupakan tiga jenis risiko yang berbeda.

Email Security tidak berfungsi sebagai backup. DMARC tidak memulihkan email yang terhapus. Backup juga tidak mencegah phishing masuk ke inbox.

Karena itu, perlindungan sistem email bisnis sebaiknya dilihat sebagai rangkaian fungsi, bukan sebagai satu produk yang menyelesaikan seluruh risiko.

Email Security Melindungi Inbox dan Pengguna

Email Security berfokus pada ancaman yang masuk melalui email dan berinteraksi dengan pengguna. Ancaman tersebut dapat berupa phishing, Business Email Compromise atau BEC, impersonation, tautan berbahaya, malware, dan pencurian kredensial.

Phishing modern tidak selalu terlihat seperti email palsu yang dipenuhi kesalahan ejaan. Pesan dapat menggunakan nama supplier, atasan, atau partner bisnis, lalu meminta perubahan rekening, pengiriman dokumen, reset password, atau persetujuan pembayaran. Microsoft menjelaskan bahwa phishing dan BEC dapat memanfaatkan identitas tepercaya untuk mencuri informasi atau mendorong tindakan finansial.

Sebagian solusi Email Security juga dapat membantu setelah email terkirim, misalnya dengan memeriksa pesan yang dilaporkan pengguna, menemukan email serupa pada mailbox lain, dan melakukan remediasi terhadap pesan berbahaya.

Namun, Email Security tidak membuat salinan cadangan atas email dan file. Lapisan ini juga tidak menggantikan DMARC karena perlindungan inbox dan pengendalian penggunaan domain merupakan dua kebutuhan yang berbeda.

DMARC Membantu Melindungi Identitas Domain

DMARC atau Domain-based Message Authentication, Reporting, and Conformance membantu pemilik domain mengendalikan penggunaan domainnya dalam pengiriman email.

DMARC bekerja bersama SPF dan DKIM. SPF membantu menentukan layanan yang diizinkan mengirim email untuk domain, sedangkan DKIM menggunakan tanda tangan digital untuk membantu memverifikasi sumber dan integritas pesan. DMARC memeriksa keselarasan autentikasi tersebut, menyediakan laporan, dan menentukan perlakuan terhadap email yang gagal pemeriksaan.

Fungsi reporting penting karena satu domain perusahaan dapat digunakan oleh Google Workspace atau Microsoft 365, aplikasi billing, CRM, email marketing, helpdesk, dan sistem notifikasi lainnya.

DMARC memiliki tiga kebijakan utama:

• p=none untuk monitoring
• p=quarantine untuk meminta email yang gagal diperlakukan sebagai pesan mencurigakan
• p=reject untuk meminta email yang gagal ditolak

Google merekomendasikan penerapan DMARC secara bertahap agar seluruh sumber pengiriman yang sah dapat diidentifikasi sebelum kebijakan diperketat.

DMARC membantu mengurangi exact-domain spoofing, tetapi bukan spam filter. DMARC juga tidak otomatis menghentikan display-name impersonation atau domain lain yang bentuknya menyerupai domain resmi.

Backup Menjaga Kemampuan Pemulihan Data

Backup digunakan ketika email atau data perlu dikembalikan. Kehilangan data dapat terjadi karena penghapusan tidak sengaja, kompromi akun, tindakan pengguna, ransomware, perubahan konfigurasi, atau kesalahan operasional.

Google Workspace dan Microsoft 365 memiliki mekanisme pemulihan bawaan dengan aturan dan periode tertentu. Backup independen dapat memperluas pilihan pemulihan dengan menyimpan salinan data secara terpisah dari data aktif utama.

Bergantung pada layanan yang digunakan, pemulihan dapat dilakukan pada level email, mailbox, file, folder, kalender, kontak, atau pengguna tertentu.

Namun, status backup yang berhasil belum otomatis membuktikan bahwa data dapat dipulihkan sesuai kebutuhan bisnis. Perusahaan tetap perlu memahami data apa yang dicadangkan, berapa lama data disimpan, siapa yang dapat meminta restore, dan apakah proses pemulihan pernah diuji. NIST menekankan pentingnya menjalankan, memelihara, dan menguji backup untuk mengurangi dampak kehilangan data.

Di sinilah perbedaan antara sekadar memiliki backup dan memiliki Recovery Readiness.

Perbandingan Email Security, DMARC, dan Backup

Risiko atau kebutuhan	Email Security	DMARC	Backup
Phishing masuk ke inbox	Fungsi utama	Bukan fungsi utama	Tidak
BEC dan impersonation	Fungsi utama	Membantu pada spoofing domain	Tidak
Domain perusahaan dipalsukan	Membantu sebagian	Fungsi utama	Tidak
Email atau file terhapus	Tidak	Tidak	Fungsi utama
Pemulihan setelah insiden	Terbatas	Tidak	Fungsi utama

Tabel tersebut menyederhanakan fungsi utama setiap lapisan. Kemampuan aktual tetap bergantung pada platform, konfigurasi, kebijakan, dan layanan yang digunakan.

Mana yang Perlu Diprioritaskan?

Tidak semua perusahaan perlu menerapkan ketiganya pada waktu yang sama. Prioritas dapat ditentukan dari risiko yang paling relevan.

Email Security dapat diprioritaskan ketika pengguna banyak menerima komunikasi eksternal, permintaan pembayaran, dokumen, atau instruksi bisnis melalui email.

DMARC perlu diperhatikan ketika domain digunakan oleh banyak aplikasi pengirim dan perusahaan membutuhkan visibilitas terhadap sumber yang menggunakan domain tersebut.

Backup menjadi prioritas ketika email dan file memiliki nilai operasional, historis, hukum, atau komersial dan harus dapat dipulihkan ketika terjadi kehilangan.

Perusahaan yang menjadikan email sebagai bagian penting dari transaksi, persetujuan, dan komunikasi supplier dapat membutuhkan kombinasi beberapa lapisan. Implementasinya tetap dapat dilakukan bertahap berdasarkan risiko dan kesiapan operasional.

Baca juga: 5 Tanda Keamanan Email Bisnis Anda Belum Memadai

Pertanyaan yang Sering Diajukan

Apakah DMARC Bisa Menggantikan Email Security?

Tidak. DMARC membantu mengendalikan penggunaan domain sebagai identitas pengirim, sedangkan Email Security mendeteksi ancaman yang masuk ke inbox. Keduanya bekerja pada area risiko yang berbeda.

Apakah Backup Email Bisa Mencegah Phishing?

Tidak. Backup tidak memeriksa atau memblokir email berbahaya. Fungsinya adalah menjaga agar email dan data dapat dipulihkan ketika terjadi penghapusan, kerusakan, atau insiden.

Apakah Ketiganya Bisa Ditambahkan Tanpa Memindahkan Lisensi Email?

Umumnya bisa. Email Security, DMARC, dan Backup dapat ditambahkan pada lingkungan Google Workspace atau Microsoft 365 yang sudah berjalan. Implementasinya perlu menyesuaikan akses admin, konfigurasi domain, sumber pengiriman, jumlah pengguna, dan data yang dilindungi.

Apakah Backup yang Berhasil Berarti Data Pasti Bisa Dipulihkan?

Belum tentu. Status backup menunjukkan proses pencadangan berjalan, tetapi perusahaan tetap perlu menguji restore untuk memastikan data dapat dikembalikan sesuai kebutuhan dan waktu yang diharapkan.

Keamanan Email Bisnis Membutuhkan Pembagian Fungsi yang Jelas

Email Security melindungi inbox dan pengguna. DMARC membantu melindungi identitas domain. Backup menjaga kemampuan pemulihan data.

Ketiganya bukan produk yang saling menggantikan. Kebutuhan dan urutan penerapannya perlu disesuaikan dengan platform, jumlah pengguna, sumber pengiriman, nilai data, dan proses operasional perusahaan.