Human Risk Management (HRM): Panduan Lengkap

Human Risk Management (HRM) adalah pendekatan untuk mengidentifikasi, mengukur, dan mengurangi risiko keamanan siber yang berasal dari perilaku manusia, mulai dari karyawan yang tertipu phishing sampai salah konfigurasi sistem. Alih-alih melatih karyawan sekali setahun, HRM menjadikan pengelolaan risiko manusia sebagai proses berkelanjutan yang berbasis data.

Sebagian besar insiden keamanan hari ini bermula dari orang, bukan dari kelemahan teknologi semata. Panduan ini menjelaskan apa itu HRM, bedanya dengan security awareness training, metrik yang dipakai, langkah membangunnya, serta kaitannya dengan kepatuhan UU PDP di Indonesia.

Mengapa Human Risk Management Penting?

Faktor manusia adalah permukaan serangan terbesar di hampir semua organisasi. Laporan Verizon 2025 Data Breach Investigations Report mencatat sekitar 60% pelanggaran data melibatkan unsur manusia, baik lewat kesalahan, phishing, maupun penyalahgunaan akses. Dampaknya nyata secara finansial: menurut IBM Cost of a Data Breach Report 2025, rata-rata biaya global satu pelanggaran mencapai USD 4,44 juta.

Di Indonesia, UU Pelindungan Data Pribadi (UU PDP No. 27 Tahun 2022) mewajibkan setiap organisasi melindungi data pribadi yang mereka kelola. Ketika satu karyawan lengah, akibatnya bisa berupa kerugian finansial, sanksi hukum, sekaligus hilangnya kepercayaan pelanggan. HRM menutup celah ini dengan memperlakukan risiko manusia layaknya risiko teknis: diukur, dipantau, dan diturunkan secara sistematis.

HRM vs Security Awareness Training: Apa Bedanya?

Banyak orang menyamakan HRM dengan pelatihan kesadaran keamanan (security awareness training/SAT). Keduanya berbeda peran: SAT adalah salah satu alat di dalam HRM, bukan penggantinya. Tabel berikut merangkum perbedaannya.

Singkatnya, pelatihan membuat karyawan paham; HRM memastikan pemahaman itu benar-benar menurunkan peluang insiden, lalu membuktikannya lewat data. Untuk dasar-dasar pelatihannya, baca apa itu security awareness dan mengapa penting.

Cara Kerja HRM: Loop Identifikasi, Ukur, Kurangi

HRM berjalan sebagai siklus berulang, bukan proyek sekali jadi. Ada tiga tahap yang terus berputar:

1. Identifikasi: petakan siapa dan perilaku apa yang paling berisiko, misalnya departemen yang sering diincar, akses berlebih, atau pola klik pada tautan mencurigakan.
2. Ukur: beri nilai risiko yang objektif lewat hasil simulasi phishing, riwayat insiden, dan cakupan verifikasi dua langkah, sehingga risiko bisa dibandingkan antarwaktu.
3. Kurangi: berikan intervensi yang tertarget seperti pelatihan mikro untuk kelompok berisiko tinggi, pengingat kontekstual, atau pengetatan akses. Setelah itu, ukur lagi untuk memastikan risikonya benar-benar turun.

Karena berputar terus, program HRM makin lama makin akurat dalam mengarahkan sumber daya ke titik yang paling rawan.

Pilar Utama Human Risk Management

1. Pelatihan Berkelanjutan dan Kontekstual

Pelatihan yang efektif bersifat singkat, relevan, dan diberikan pada momen yang tepat, misalnya edukasi kilat tepat setelah seseorang gagal dalam simulasi phishing. Pelatihan tahunan yang panjang cenderung mudah dilupakan.

2. Kebijakan dan Prosedur yang Jelas

Karyawan butuh aturan yang mudah dipahami: cara menangani data sensitif, melaporkan email mencurigakan, dan menggunakan perangkat kerja. Kebijakan yang tegas menghilangkan area abu-abu yang sering dimanfaatkan penyerang.

3. Monitoring dan Deteksi Dini

Pantau sinyal perilaku berisiko, seperti lonjakan klik pada tautan berbahaya atau upaya login yang tidak wajar. Deteksi dini memungkinkan tim keamanan bertindak sebelum insiden membesar.

4. Pengelolaan Identitas dan Akses

Terapkan prinsip hak akses seminimal mungkin (least privilege) dan wajibkan verifikasi dua langkah. Membatasi akses membuat satu akun yang diretas tidak otomatis membuka seluruh sistem.

5. Budaya Keamanan yang Kuat

Budaya yang sehat membuat karyawan berani melapor tanpa takut disalahkan. Ketika melapor dihargai, insiden lebih cepat terungkap dan tertangani.

Metrik untuk Mengukur Risiko Manusia

Agar bisa dikelola, risiko manusia harus terukur. Beberapa metrik yang umum dipakai:

• Skor risiko manusia per individu atau departemen, sebagai indikator agregat.
• Tingkat kegagalan dan pelaporan phishing dari hasil simulasi berkala.
• Cakupan verifikasi dua langkah di seluruh akun penting.
• Waktu remediasi sejak perilaku berisiko terdeteksi sampai diperbaiki.
• Jumlah insiden akibat kesalahan manusia dari waktu ke waktu.

Metrik ini membuat perbaikan terlihat nyata dan memudahkan pelaporan ke manajemen.

5 Langkah Membangun Program HRM

1. Petakan Risiko dan Aset

Tentukan data serta sistem paling kritis, lalu identifikasi peran yang paling sering menjadi target. Ini menjadi fondasi prioritas.

2. Ukur Kondisi Awal (Baseline)

Jalankan simulasi phishing dan survei singkat untuk mengetahui titik awal. Tanpa baseline, kemajuan mustahil dibuktikan.

3. Berikan Pelatihan Tertarget

Fokuskan pelatihan pada kelompok dan perilaku paling berisiko, bukan menyamaratakan semua karyawan dengan materi yang sama.

4. Otomatiskan Monitoring dan Pengingat

Gunakan alat yang memantau perilaku dan memberi pengingat kontekstual secara otomatis, agar tim keamanan tidak kewalahan.

5. Evaluasi dan Iterasi

Tinjau metrik secara rutin, rayakan penurunan risiko, dan sesuaikan program. HRM yang baik terus berevolusi mengikuti ancaman.

HRM dan Kepatuhan UU PDP di Indonesia

UU PDP No. 27 Tahun 2022 menuntut organisasi menerapkan langkah teknis dan organisasional untuk melindungi data pribadi. Karena banyak pelanggaran bermula dari kelalaian karyawan, program HRM menjadi bukti nyata bahwa organisasi menjalankan kewajiban perlindungan tersebut secara terukur, bukan sekadar formalitas. Dokumentasi pelatihan, metrik risiko, dan riwayat perbaikan juga berguna saat audit atau ketika terjadi insiden. Untuk memahami akar masalahnya, baca faktor penyebab kebocoran data dan cara mengatasinya dan UU PDP dan dampaknya bagi bisnis.

Pertanyaan yang Sering Diajukan

Apa itu human risk management?

Human Risk Management adalah pendekatan berkelanjutan untuk mengidentifikasi, mengukur, dan mengurangi risiko keamanan siber yang berasal dari perilaku manusia di dalam organisasi.

Apa beda HRM dan security awareness training?

Security awareness training berfokus menyampaikan materi kesadaran secara periodik, sedangkan HRM mengukur risiko nyata tiap individu dan menurunkannya secara berkelanjutan. Pelatihan adalah bagian dari HRM, bukan penggantinya.

Mengapa faktor manusia jadi risiko siber terbesar?

Karena penyerang lebih mudah menipu orang daripada menembus sistem. Verizon 2025 DBIR mencatat sekitar 60% pelanggaran data melibatkan unsur manusia.

Bagaimana cara mengukur risiko manusia?

Melalui metrik seperti skor risiko manusia, tingkat kegagalan simulasi phishing, cakupan verifikasi dua langkah, dan jumlah insiden akibat kesalahan manusia dari waktu ke waktu.

Apakah HRM membantu kepatuhan UU PDP?

Ya. HRM menyediakan bukti terukur bahwa organisasi menjalankan langkah perlindungan data, sesuai kewajiban dalam UU PDP No. 27 Tahun 2022.

Mulai Kelola Risiko Manusia Anda

Teknologi keamanan sekuat apa pun tetap bergantung pada orang yang menggunakannya. Dengan menjadikan risiko manusia sesuatu yang terukur dan terkelola, organisasi bisa menurunkan peluang insiden sekaligus memenuhi kewajiban perlindungan data. SiberMate membantu perusahaan menjalankan program HRM secara praktis, lewat pelatihan tertarget dan pemantauan risiko manusia yang berkelanjutan.