Human Risk Management (HRM) adalah pendekatan untuk mengidentifikasi, mengukur, dan mengurangi risiko keamanan siber yang berasal dari perilaku manusia, mulai dari karyawan yang tertipu phishing sampai salah konfigurasi sistem. Alih-alih melatih karyawan sekali setahun, HRM menjadikan pengelolaan risiko manusia sebagai proses berkelanjutan yang berbasis data.
Sebagian besar insiden keamanan hari ini bermula dari orang, bukan dari kelemahan teknologi semata. Panduan ini menjelaskan apa itu HRM, bedanya dengan security awareness training, metrik yang dipakai, langkah membangunnya, serta kaitannya dengan kepatuhan UU PDP di Indonesia.
Faktor manusia adalah permukaan serangan terbesar di hampir semua organisasi. Laporan Verizon 2025 Data Breach Investigations Report mencatat sekitar 60% pelanggaran data melibatkan unsur manusia, baik lewat kesalahan, phishing, maupun penyalahgunaan akses. Dampaknya nyata secara finansial: menurut IBM Cost of a Data Breach Report 2025, rata-rata biaya global satu pelanggaran mencapai USD 4,44 juta.
Di Indonesia, UU Pelindungan Data Pribadi (UU PDP No. 27 Tahun 2022) mewajibkan setiap organisasi melindungi data pribadi yang mereka kelola. Ketika satu karyawan lengah, akibatnya bisa berupa kerugian finansial, sanksi hukum, sekaligus hilangnya kepercayaan pelanggan. HRM menutup celah ini dengan memperlakukan risiko manusia layaknya risiko teknis: diukur, dipantau, dan diturunkan secara sistematis.
Banyak orang menyamakan HRM dengan pelatihan kesadaran keamanan (security awareness training/SAT). Keduanya berbeda peran: SAT adalah salah satu alat di dalam HRM, bukan penggantinya. Tabel berikut merangkum perbedaannya.
| Aspek | Security Awareness Training | Human Risk Management |
|---|---|---|
| Fokus | Menyampaikan materi kesadaran | Menurunkan risiko terukur per individu |
| Frekuensi | Periodik (mis. tahunan) | Berkelanjutan |
| Ukuran keberhasilan | Tingkat penyelesaian modul | Skor risiko + perubahan perilaku |
| Sumber data | Kehadiran dan nilai kuis | Perilaku nyata (simulasi phishing, insiden, akses) |
| Tujuan akhir | Karyawan tahu | Karyawan bertindak aman dan risiko turun |
Singkatnya, pelatihan membuat karyawan paham; HRM memastikan pemahaman itu benar-benar menurunkan peluang insiden, lalu membuktikannya lewat data. Untuk dasar-dasar pelatihannya, baca apa itu security awareness dan mengapa penting.
HRM berjalan sebagai siklus berulang, bukan proyek sekali jadi. Ada tiga tahap yang terus berputar:
Karena berputar terus, program HRM makin lama makin akurat dalam mengarahkan sumber daya ke titik yang paling rawan.
Pelatihan yang efektif bersifat singkat, relevan, dan diberikan pada momen yang tepat, misalnya edukasi kilat tepat setelah seseorang gagal dalam simulasi phishing. Pelatihan tahunan yang panjang cenderung mudah dilupakan.
Karyawan butuh aturan yang mudah dipahami: cara menangani data sensitif, melaporkan email mencurigakan, dan menggunakan perangkat kerja. Kebijakan yang tegas menghilangkan area abu-abu yang sering dimanfaatkan penyerang.
Pantau sinyal perilaku berisiko, seperti lonjakan klik pada tautan berbahaya atau upaya login yang tidak wajar. Deteksi dini memungkinkan tim keamanan bertindak sebelum insiden membesar.
Terapkan prinsip hak akses seminimal mungkin (least privilege) dan wajibkan verifikasi dua langkah. Membatasi akses membuat satu akun yang diretas tidak otomatis membuka seluruh sistem.
Budaya yang sehat membuat karyawan berani melapor tanpa takut disalahkan. Ketika melapor dihargai, insiden lebih cepat terungkap dan tertangani.
Agar bisa dikelola, risiko manusia harus terukur. Beberapa metrik yang umum dipakai:
Metrik ini membuat perbaikan terlihat nyata dan memudahkan pelaporan ke manajemen.
Tentukan data serta sistem paling kritis, lalu identifikasi peran yang paling sering menjadi target. Ini menjadi fondasi prioritas.
Jalankan simulasi phishing dan survei singkat untuk mengetahui titik awal. Tanpa baseline, kemajuan mustahil dibuktikan.
Fokuskan pelatihan pada kelompok dan perilaku paling berisiko, bukan menyamaratakan semua karyawan dengan materi yang sama.
Gunakan alat yang memantau perilaku dan memberi pengingat kontekstual secara otomatis, agar tim keamanan tidak kewalahan.
Tinjau metrik secara rutin, rayakan penurunan risiko, dan sesuaikan program. HRM yang baik terus berevolusi mengikuti ancaman.
UU PDP No. 27 Tahun 2022 menuntut organisasi menerapkan langkah teknis dan organisasional untuk melindungi data pribadi. Karena banyak pelanggaran bermula dari kelalaian karyawan, program HRM menjadi bukti nyata bahwa organisasi menjalankan kewajiban perlindungan tersebut secara terukur, bukan sekadar formalitas. Dokumentasi pelatihan, metrik risiko, dan riwayat perbaikan juga berguna saat audit atau ketika terjadi insiden. Untuk memahami akar masalahnya, baca faktor penyebab kebocoran data dan cara mengatasinya dan UU PDP dan dampaknya bagi bisnis.
Human Risk Management adalah pendekatan berkelanjutan untuk mengidentifikasi, mengukur, dan mengurangi risiko keamanan siber yang berasal dari perilaku manusia di dalam organisasi.
Security awareness training berfokus menyampaikan materi kesadaran secara periodik, sedangkan HRM mengukur risiko nyata tiap individu dan menurunkannya secara berkelanjutan. Pelatihan adalah bagian dari HRM, bukan penggantinya.
Karena penyerang lebih mudah menipu orang daripada menembus sistem. Verizon 2025 DBIR mencatat sekitar 60% pelanggaran data melibatkan unsur manusia.
Melalui metrik seperti skor risiko manusia, tingkat kegagalan simulasi phishing, cakupan verifikasi dua langkah, dan jumlah insiden akibat kesalahan manusia dari waktu ke waktu.
Ya. HRM menyediakan bukti terukur bahwa organisasi menjalankan langkah perlindungan data, sesuai kewajiban dalam UU PDP No. 27 Tahun 2022.
Teknologi keamanan sekuat apa pun tetap bergantung pada orang yang menggunakannya. Dengan menjadikan risiko manusia sesuatu yang terukur dan terkelola, organisasi bisa menurunkan peluang insiden sekaligus memenuhi kewajiban perlindungan data. SiberMate membantu perusahaan menjalankan program HRM secara praktis, lewat pelatihan tertarget dan pemantauan risiko manusia yang berkelanjutan.