Cara Mengamankan Wi-Fi Kantor dari Tamu dan Perangkat Asing

Wi-Fi kantor paling aman bila tamu, karyawan, dan perangkat seperti CCTV tidak berbagi satu jaringan yang sama.

Kenapa ini penting? Di banyak kantor kecil, password Wi-Fi ditempel di dinding, dibagikan ke setiap tamu, dan tidak pernah diganti sejak router dipasang. Akibatnya, laptop tamu, HP kurir yang pernah numpang, dan laptop mantan karyawan semuanya bisa masuk ke jaringan yang sama dengan server file, printer, dan perekam CCTV. Satu perangkat yang terinfeksi malware sudah cukup untuk mulai memindai seluruh isi jaringan.

Kenapa Wi-Fi tamu harus dipisah?

Ketika tamu tersambung ke jaringan kerja, perangkat mereka bisa melihat perangkat lain di jaringan itu: folder bersama di komputer admin, printer, NAS, dan panel router. Kamu tidak tahu apa yang terpasang di laptop tamu, dan tamu pun mungkin tidak tahu.

Jaringan tamu menyelesaikan ini dengan memberi akses internet saja. Sebagian besar router kantor dan bahkan router rumahan modern sudah punya fitur Guest Network. Saat mengaktifkannya, pastikan dua pengaturan ini menyala:

• Isolasi dari jaringan utama, sehingga tamu tidak bisa menjangkau perangkat kerja.
• Isolasi klien (client isolation atau AP isolation), sehingga perangkat tamu juga tidak bisa saling melihat satu sama lain.

Kalau perlu, batasi kecepatan jaringan tamu supaya satu tamu yang mengunduh file besar tidak memperlambat pekerjaan kantor.

Langkah dasar yang berlaku untuk semua kantor

1. Ganti password admin router. Password bawaan pabrik sering mudah ditebak atau tercantum di dokumentasi publik. Ini pintu pertama yang dicoba penyerang.
2. Pakai WPA3, atau minimal WPA2. WPA3 adalah standar keamanan Wi-Fi terbaru dari Wi-Fi Alliance dan lebih tahan terhadap tebakan password offline. Kalau masih ada perangkat lama, mode transisi WPA2/WPA3 bisa dipakai sementara. Jangan pernah memakai WEP atau jaringan terbuka untuk jaringan kerja.
3. Matikan WPS. Fitur sambung dengan tombol atau PIN ini memudahkan, tetapi implementasi PIN WPS punya riwayat kelemahan yang serius.
4. Pakai password Wi-Fi yang panjang, dan bedakan password jaringan kerja dan jaringan tamu.
5. Ganti password Wi-Fi tamu secara berkala, misalnya setiap bulan, dan ganti password jaringan kerja setiap ada karyawan yang keluar.
6. Perbarui firmware router dan access point. Celah di perangkat jaringan sering ditambal lewat firmware, dan pembaruan otomatis tidak selalu aktif.
7. Matikan administrasi router dari internet (remote management) bila tidak benar-benar dipakai.

Bagaimana dengan CCTV, printer, dan perangkat pintar?

Perangkat seperti kamera CCTV, NVR, printer, smart TV di ruang rapat, dan mesin absensi jarang diperbarui dan sering memakai password bawaan. Kalau perangkat ini berada di jaringan yang sama dengan laptop kerja, satu celah di kamera bisa menjadi pijakan untuk menjangkau komputer lain.

Solusinya adalah segmentasi. Router dan switch yang mendukung VLAN bisa membagi satu jaringan fisik menjadi beberapa jaringan logis, misalnya:

Aturan firewall di router lalu menentukan siapa boleh bicara dengan siapa. Laptop kerja boleh mengirim cetakan ke printer, tetapi kamera CCTV tidak perlu bisa menjangkau laptop mana pun. Pembahasan lebih dalam soal risiko perangkat semacam ini ada di CCTV dan perangkat IoT kantor, dan dasar pembagian alamat jaringannya ada di apa itu subnet dan CIDR.

Kapan perlu login Wi-Fi per karyawan?

Satu password untuk semua karyawan punya masalah klasik: ketika satu orang keluar, password harus diganti di semua perangkat. Selain itu, kamu tidak tahu perangkat mana milik siapa.

Mode WPA2-Enterprise atau WPA3-Enterprise (802.1X) menyelesaikannya. Setiap karyawan login ke Wi-Fi dengan akunnya sendiri, yang diperiksa oleh server RADIUS. Ketika karyawan keluar, cukup nonaktifkan akunnya. Akses Wi-Fi ikut tertutup tanpa mengganggu orang lain.

Mode ini butuh server RADIUS dan access point yang mendukungnya, jadi lebih cocok untuk kantor dengan puluhan karyawan atau yang menangani data sensitif. Untuk kantor yang sangat kecil, password kuat yang diganti setiap ada pergantian karyawan masih bisa diterima.

Bagaimana mengecek perangkat asing di jaringan?

Buka halaman router dan cari daftar klien atau DHCP leases. Daftar ini berisi perangkat yang sedang atau pernah tersambung, lengkap dengan nama dan alamat MAC. Cocokkan dengan perangkat yang kamu kenal. Perangkat dengan nama acak atau merek yang tidak pernah dibeli kantor patut ditelusuri.

Lakukan pengecekan ini secara berkala. Kalau menemukan perangkat yang tidak dikenali di jaringan kerja, ganti password Wi-Fi jaringan itu, lalu sambungkan ulang perangkat resmi satu per satu.

Supaya pengecekan berikutnya lebih mudah, beri nama yang jelas pada perangkat resmi di router, misalnya "printer-lantai2" atau "laptop-keuangan-1", dan simpan daftar alamat MAC-nya. Dengan begitu, perangkat baru yang muncul akan langsung terlihat berbeda. Ingat bahwa HP modern sering memakai alamat MAC acak per jaringan, jadi satu HP karyawan bisa tampil dengan alamat berbeda dari yang tercatat sebelumnya.

Di luar kantor, karyawan juga sering bekerja dari kafe atau bandara. Risikonya berbeda dan dibahas di bahaya Wi-Fi publik untuk laptop kerja.