Di tengah gencarnya perusahaan memperkuat sistem pertahanan digital mereka, justru ancaman terbesar sering datang dari dalam organisasi sendiri. Fenomena ini dikenal sebagai Insider Threat — ancaman yang dilakukan oleh orang dalam, baik secara sengaja maupun tidak disengaja. Menurut berbagai penelitian, risiko ini terus meningkat karena faktor manusia masih menjadi titik lemah utama dalam sistem keamanan siber. Bahkan, sebagian besar insiden siber global bermula dari kesalahan individu — mulai dari membuka tautan phishing, lalai menyimpan data, hingga penyalahgunaan akses oleh karyawan sendiri. Maka dari itu, strategi awareness menjadi kunci penting untuk mengurangi risiko ini, bukan hanya dengan teknologi, tetapi melalui perubahan perilaku dan budaya keamanan di seluruh level organisasi.
Insider Threat adalah ancaman yang berasal dari pihak internal organisasi seperti karyawan, kontraktor, atau mitra yang memiliki akses sah terhadap sistem atau data. Ancaman ini bisa berbentuk:
Penelitian “Effectiveness of Cybersecurity Awareness Training on Mitigating Insider Threat: The Case of Arusha Airport” oleh Masawe & Mashaka (2024) menunjukkan bahwa faktor psikologis dan sosial sering menjadi pemicu munculnya ancaman dari dalam. Misalnya, perasaan teralienasi, tekanan finansial, atau perbedaan ideologis dapat mendorong seseorang untuk berperilaku berisiko. Dalam penelitian tersebut, ditemukan bahwa faktor manusia masih menjadi titik lemah utama dalam sistem keamanan siber.
Kurangnya pelatihan yang relevan, lemahnya pengawasan, dan tidak adanya budaya pelaporan insiden menyebabkan ancaman dari dalam sering luput terdeteksi hingga menimbulkan kerugian signifikan bagi organisasi. Studi Masawe & Mashaka (2024) menegaskan bahwa strategi awareness yang dirancang berbasis teori sosial dan pencegahan (Social Learning & Deterrence Theory) mampu meningkatkan kewaspadaan, disiplin, dan rasa tanggung jawab individu terhadap keamanan informasi. Hasilnya, risiko insider threat dapat ditekan secara signifikan melalui pelatihan yang berkelanjutan dan kontekstual.
Temuan serupa juga didukung oleh jurnal lain seperti “Cybersecurity Awareness and Training Framework for Remote Working Employees” oleh Hijji & Alam (2022) serta “The Importance of Cybersecurity Awareness Training in the Aviation Industry” oleh Sabillon & Bermejo (2023). Keduanya menyoroti pentingnya pendekatan pelatihan yang berorientasi pada perilaku manusia dan budaya organisasi. Dengan kata lain, lemahnya kebijakan keamanan, minimnya literasi digital, dan rendahnya komunikasi antar level organisasi menjadi pemicu utama munculnya insider threat. Karena itu, organisasi perlu membangun strategi awareness yang tidak hanya berfokus pada edukasi teknis, tetapi juga pada pembentukan perilaku aman dan budaya kerja yang peduli terhadap keamanan siber.
Baca juga: Bagaimana AI Membuat Insider Threat Lebih Sulit Dideteksi
Untuk memahami mengapa strategi awareness efektif dalam mengurangi risiko insider threat, kita perlu melihat dasar teorinya. Berdasarkan penelitian Masawe & Mashaka (2024), efektivitas pelatihan kesadaran keamanan siber dapat dijelaskan melalui dua teori utama: Social Learning Theory dan Deterrence Theory. Kedua teori ini menekankan bahwa perubahan perilaku manusia terhadap keamanan siber tidak hanya bergantung pada pengetahuan, tetapi juga pada pembentukan kebiasaan sosial dan persepsi terhadap risiko.
Menurut Social Learning Theory, seseorang belajar dari lingkungan sosialnya melalui observasi dan peniruan. Dalam konteks keamanan siber, karyawan akan cenderung meniru perilaku aman jika mereka melihat kolega atau atasan menunjukkan kepatuhan terhadap protokol keamanan. Penelitian di Arusha Airport menunjukkan bahwa ketika organisasi secara konsisten memberikan contoh nyata seperti pimpinan yang aktif mengikuti pelatihan, mengingatkan tim tentang keamanan, dan memberikan penghargaan bagi perilaku aman sehingga tingkat kepatuhan meningkat drastis.
Hal ini juga sejalan dengan temuan “Game-based Learning for Cybersecurity Awareness Training Programmes” oleh Bacud & Mäses (2021), yang menegaskan bahwa pembelajaran berbasis pengalaman sosial dapat meningkatkan retensi dan adopsi perilaku keamanan secara alami di tempat kerja.
Sementara itu, Deterrence Theory menekankan bahwa ancaman terhadap sanksi atau hukuman dapat mencegah seseorang melakukan pelanggaran. Dalam pelatihan keamanan siber, karyawan yang memahami risiko konsekuensi dari tindakan ceroboh seperti kehilangan akses sistem, teguran, atau dampak hukum akan lebih berhati-hati dalam berperilaku.
Masawe & Mashaka (2024) menunjukkan bahwa pelatihan yang menyoroti potensi kerugian finansial dan reputasi akibat pelanggaran internal mampu memperkuat kepatuhan individu terhadap kebijakan keamanan. Hal ini juga didukung oleh penelitian “Deterrence by Denial in Cyberspace” oleh Borghard & Lonergan (2023) yang menegaskan bahwa rasa takut terhadap hukuman menjadi faktor penting dalam membangun perilaku keamanan yang patuh di lingkungan kerja modern.
Kombinasi kedua teori ini menjelaskan bahwa strategi awareness yang efektif tidak hanya mengajarkan karyawan tentang “apa yang boleh dan tidak boleh dilakukan”, tetapi juga menanamkan persepsi risiko dan rasa tanggung jawab etis terhadap data organisasi. Dengan memadukan pembelajaran sosial dan efek jera, organisasi dapat menciptakan ekosistem keamanan yang kuat — di mana setiap individu berperan aktif melindungi sistem, bukan sekadar mengikuti aturan.
Penelitian yang dilakukan di Arusha Airport oleh Masawe & Mashaka (2024) dalam jurnal “Effectiveness of Cybersecurity Awareness Training on Mitigating Insider Threat: The Case of Arusha Airport” menjadi contoh konkret bagaimana strategi awareness dapat secara signifikan mengurangi risiko Insider Threat. Studi ini melibatkan 133 karyawan dari berbagai divisi, termasuk manajer, staf keamanan, tim operasional, teknisi, hingga staf administrasi, untuk menilai efektivitas program pelatihan keamanan siber di lingkungan kerja berisiko tinggi seperti bandara. Metodologi yang digunakan menggabungkan dua pendekatan utama:
Hasil dari kedua pendekatan ini kemudian dianalisis menggunakan perangkat SPSS, yang membantu peneliti mengidentifikasi hubungan antara efektivitas pelatihan dan perubahan perilaku keamanan karyawan setelah mengikuti program awareness. Dari hasil analisis, penelitian tersebut menemukan empat temuan utama yang menunjukkan bukti nyata keberhasilan strategi awareness.
Penelitian ini membuktikan bahwa pelatihan awareness yang sistematis dan berbasis perilaku tidak hanya meningkatkan literasi keamanan, tetapi juga memperkuat budaya kepatuhan dan kewaspadaan kolektif di dalam organisasi.
Berdasarkan hasil penelitian Masawe & Mashaka (2024) serta beberapa literatur pendukung, terdapat sejumlah elemen utama yang menjadi pondasi dalam membentuk strategi awareness yang efektif dalam mengurangi risiko Insider Threat. Elemen-elemen ini bukan hanya bersifat teknis, tetapi juga menyentuh aspek perilaku, budaya, dan keterlibatan manajemen dalam membangun kesadaran keamanan siber secara menyeluruh di seluruh organisasi.
Elemen ini menekankan pentingnya memberikan pengalaman langsung kepada karyawan melalui simulasi yang menyerupai ancaman di dunia nyata, seperti serangan phishing, penyebaran malware, atau kebocoran data internal. Melalui latihan tersebut, karyawan dapat belajar mengenali tanda-tanda serangan dan memahami langkah yang tepat untuk meresponsnya. Penelitian di Arusha Airport membuktikan bahwa pelatihan berbasis skenario meningkatkan kemampuan karyawan dalam mendeteksi ancaman dan memperkuat kepercayaan diri mereka dalam bertindak cepat saat menghadapi insiden keamanan yang sebenarnya.
Kesadaran keamanan siber tidak bisa dibangun dalam satu kali pelatihan; ia memerlukan proses pembelajaran berkelanjutan. Program awareness yang efektif perlu menyertakan refresher course secara periodik agar informasi dan keterampilan karyawan tetap relevan terhadap ancaman terbaru. Menurut Masawe & Mashaka (2024), kesenjangan pengetahuan yang muncul setelah pelatihan awal dapat diatasi dengan sesi penguatan reguler yang disesuaikan dengan perubahan pola ancaman. Pendekatan ini memastikan bahwa budaya keamanan tetap hidup dan berkembang di seluruh organisasi.
Keterlibatan langsung manajemen puncak menjadi faktor penting yang menentukan keberhasilan strategi awareness. Ketika pimpinan organisasi aktif mengikuti pelatihan, mengingatkan tim akan pentingnya keamanan, dan memberikan contoh nyata dalam kepatuhan terhadap kebijakan, pesan tersebut akan berdampak lebih kuat kepada seluruh karyawan. Seperti yang ditemukan dalam penelitian Arusha Airport, kepemimpinan yang menunjukkan komitmen terhadap keamanan menciptakan budaya organisasi yang lebih disiplin, di mana keamanan siber dianggap sebagai prioritas strategis, bukan sekadar formalitas administratif.
Efektivitas strategi awareness harus diukur secara konsisten agar organisasi dapat menilai apakah program yang dijalankan memberikan hasil nyata. Evaluasi dapat dilakukan melalui berbagai indikator, seperti penurunan jumlah klik pada simulasi phishing, peningkatan laporan insiden oleh karyawan, atau survei tingkat kesadaran keamanan. Masawe & Mashaka (2024) menegaskan bahwa organisasi yang melakukan pengukuran rutin cenderung lebih cepat dalam memperbaiki celah dan memperkuat kebijakan keamanan internal. Evaluasi yang baik juga membantu mengidentifikasi kelompok atau departemen yang membutuhkan perhatian dan pelatihan tambahan.
Strategi awareness yang efektif menempatkan manusia sebagai inti dari pertahanan siber. Pendekatan ini berfokus pada pemahaman terhadap perilaku, motivasi, tekanan psikologis, dan kebiasaan individu di lingkungan kerja. Dengan memahami faktor-faktor tersebut, pelatihan dapat dirancang lebih personal dan relevan, sehingga pesan keamanan terasa lebih bermakna. Seperti disebutkan oleh Bacud & Mäses (2021), pelatihan berbasis manusia lebih berhasil dalam membangun empati dan rasa tanggung jawab dibanding pendekatan yang hanya mengandalkan ancaman hukuman. Hal ini menjadikan karyawan bukan sekadar peserta pelatihan, melainkan bagian aktif dari sistem pertahanan organisasi terhadap Insider Threat.
Hasil penelitian Masawe & Mashaka (2024) menunjukkan bahwa keberhasilan pelatihan keamanan siber tidak berhenti pada peningkatan pengetahuan, tetapi berlanjut pada perubahan budaya organisasi. Pelatihan awareness yang efektif menumbuhkan pola pikir baru di mana keamanan bukan lagi dianggap tanggung jawab tim IT semata, melainkan bagian dari perilaku dan etika kerja setiap individu. Budaya keamanan siber yang kuat ditandai oleh beberapa ciri utama berikut:
Selain membangun kebiasaan tersebut, organisasi juga perlu menciptakan media komunikasi terbuka yang mendukung kolaborasi dan pembelajaran berkelanjutan. Forum internal, grup diskusi, atau kanal khusus keamanan memungkinkan karyawan berbagi pengalaman, belajar dari insiden nyata, dan memperkuat rasa tanggung jawab kolektif terhadap keamanan. Untuk menjaga tingkat keterlibatan yang tinggi, pelatihan sebaiknya dipadukan dengan pendekatan gamifikasi dan AI-based learning, seperti yang disarankan oleh Masawe & Mashaka (2024).
Pendekatan ini tidak hanya membuat proses belajar lebih menarik, tetapi juga mampu menyesuaikan materi dengan perilaku dan kebutuhan individu. Dengan demikian, budaya keamanan yang berkelanjutan dapat tercipta secara alami — bukan karena kewajiban, melainkan karena kesadaran dan partisipasi aktif seluruh anggota organisasi.
Berdasarkan hasil penelitian Masawe & Mashaka (2024) serta beberapa literatur pendukung, terdapat sejumlah langkah praktis yang dapat diterapkan organisasi untuk memperkuat strategi awareness dalam mengurangi risiko Insider Threat. Langkah-langkah ini berfokus pada adaptasi, integrasi lintas divisi, serta pemanfaatan teknologi cerdas untuk menciptakan budaya keamanan yang partisipatif dan berkelanjutan.
Dengan menerapkan langkah-langkah di atas, organisasi tidak hanya akan meningkatkan kesadaran karyawan terhadap ancaman siber, tetapi juga membangun lingkungan kerja yang resilien terhadap Insider Threat. Strategi awareness yang adaptif, terukur, dan berorientasi manusia akan memastikan setiap individu berperan aktif dalam menjaga keamanan data dan reputasi perusahaan.
Baca juga: Deteksi Ancaman Insider Threats dengan Behavioral Analytics
Penelitian di Arusha Airport menunjukkan bahwa strategi awareness yang diterapkan secara konsisten mampu menekan risiko Insider Threat secara nyata. Pelatihan tidak hanya meningkatkan pengetahuan, tetapi juga mengubah perilaku dan memperkuat budaya keamanan di organisasi. Keberhasilannya bergantung pada tiga hal: konsistensi pelatihan yang berkelanjutan, relevansi materi dengan konteks kerja, dan keterlibatan aktif antara manajemen dan karyawan. Di era digital, keamanan siber bukan sekadar teknologi, melainkan tanggung jawab bersama setiap individu untuk menjadi garis pertahanan pertama organisasi.