Apa Itu Security Awareness dan Mengapa Penting?
Read Time 5 mins | 19 Sep 2024 | Written by: Nur Rachmi Latifa
Satu klik pada tautan palsu sudah cukup bagi penyerang untuk masuk ke jaringan perusahaan. Security awareness membuat karyawan terbiasa memeriksa sebelum mengeklik dan melapor sebelum terlambat.
Pengertian Security Awareness
Definisi singkat: Security awareness atau kesadaran keamanan adalah pemahaman dan pengetahuan yang dimiliki oleh individu dalam organisasi mengenai ancaman dan risiko keamanan siber yang mungkin dihadapi, termasuk cara melindungi informasi sensitif dan merespons insiden keamanan dengan benar.
Tanggung jawabnya dipikul semua tingkatan, dari staf operasional sampai direksi. Tim TI tidak bisa menanggungnya sendirian.
Mengapa Security Awareness Penting?
Unsur manusia, seperti kesalahan atau menjadi korban rekayasa sosial (social engineering, yaitu manipulasi psikologis agar korban menyerahkan akses atau informasi), terlibat dalam 62% pelanggaran data menurut Verizon Data Breach Investigations Report 2026, naik dari 60% setahun sebelumnya. Menurut laporan yang sama, rekayasa sosial menjadi pola pelanggaran paling umum ketiga dengan porsi 16%. Laporan itu juga mencatat tingkat klik dalam simulasi lewat telepon dan pesan teks 40% lebih tinggi daripada lewat email.
Dampaknya terasa di biaya. Rata-rata global satu kebocoran data mencapai USD 4,99 juta menurut IBM Cost of a Data Breach Report 2026, naik 12% dan menjadi rekor tertinggi. Karena celahnya ada pada perilaku, pelatihan karyawan menyasar sumber risiko itu secara langsung.
Manfaat Security Awareness bagi Perusahaan
Insiden yang bisa dicegah tidak lagi mengganggu pekerjaan: karyawan yang waspada lebih berhati-hati memakai perangkat dan sistem kantor, sehingga gangguan operasional makin jarang. Aturan keamanan juga lebih mudah dipatuhi ketika rekan kerja saling mengingatkan.
Ancaman Siber yang Dapat Dicegah dengan Security Awareness
Pelatihan bekerja pada ancaman yang bergantung pada keputusan manusia. Phishing adalah penipuan lewat email atau pesan agar korban menyerahkan kredensial. Malware, yaitu perangkat lunak berbahaya, sering masuk lewat lampiran atau tautan yang diklik. Ransomware, yaitu program yang mengunci data lalu meminta tebusan, dapat berawal dari satu email phishing yang berhasil. Vishing (penipuan lewat telepon), smishing (lewat SMS) dan BEC, yaitu penipuan email yang menyamar sebagai atasan atau vendor untuk memicu pembayaran, memakai pola yang sama.
Kasus Twitter pada Juli 2020 menunjukkan taktiknya. Peretas menelepon beberapa karyawan sambil mengaku tim IT yang membantu masalah VPN (koneksi jarak jauh ke jaringan kantor), lalu mengarahkan mereka ke situs login palsu. Karyawan memasukkan kredensial dan sebagian menyetujui notifikasi autentikasi dua faktor yang muncul. Hasilnya, dari 130 akun yang diretas, 45 dipakai untuk mengirim tweet penipuan, dan bitcoin senilai lebih dari USD 118.000 diraup, menurut laporan investigasi Departemen Layanan Keuangan New York. Peretas tidak memakai malware sama sekali. Sebagian karyawan melaporkan telepon itu, tetapi sedikitnya satu orang percaya pada pelaku. Itu yang dilatih program security awareness.
Praktik Keamanan Sederhana yang Wajib Diketahui Karyawan
- Kata sandi. Pakai kata sandi panjang dan unik untuk tiap akun, serta aktifkan autentikasi dua faktor (2FA).
- Kode OTP dan notifikasi login. Jangan membagikan kode OTP atau menyetujui notifikasi login yang tidak Anda minta, bahkan jika penelepon mengaku tim IT.
- Tautan dan lampiran. Pastikan pengirim asli sebelum mengeklik tautan atau mengunduh lampiran.
- Pelaporan. Laporkan email atau aktivitas mencurigakan ke tim keamanan tanpa menunda. Budaya yang mendorong karyawan melaporkan ancaman membuat kebiasaan ini bertahan.
Langkah-Langkah Implementasi Security Awareness di Organisasi
- Lakukan gap analysis assessment, yaitu mengukur selisih antara tingkat pemahaman karyawan saat ini dan target yang ingin dicapai, lewat survei pengetahuan dan simulasi awal. Hasilnya menunjukkan divisi dan topik yang perlu pelatihan lebih dulu.
- Tetapkan kebijakan keamanan tertulis (penggunaan perangkat, pelaporan insiden) sebagai acuan pelatihan.
- Jalankan simulasi phishing rutin dan otomatis untuk menguji serta melatih karyawan. Pahami dulu apa itu simulasi phishing beserta metrik dan batas etikanya.
- Berikan pelatihan rutin per peran (misalnya keuangan, HR, manajemen) yang disesuaikan dengan hasil assessment dan simulasi, supaya materi tetap terbaru.
- Pantau partisipasi, skor pelatihan, tingkat klik, dan tingkat pelaporan. Panduan cara mengukur tingkat security awareness karyawan secara objektif membahas indikator lainnya.
Contoh Target Simulasi Phishing
Sebagai ilustrasi (angka contoh, bukan data pelanggan), sebuah perusahaan dengan 400 karyawan menjalankan simulasi awal untuk menentukan baseline, yaitu titik awal pengukuran. Hasilnya 112 orang mengeklik tautan tiruan (tingkat klik 28%) dan 24 orang melapor (tingkat pelaporan 6%). Targetnya: tingkat klik di bawah 10% dan tingkat pelaporan di atas 30% dalam enam bulan, lewat simulasi bulanan dan pelatihan singkat bagi yang mengeklik. Uji juga kanal telepon dan pesan teks.
SiberMate menyediakan modul pelatihan (SMLearn) dan simulasi phishing (SMPhish) untuk menjalankan langkah-langkah ini.
Pemetaan Security Awareness ke UU PDP dan ISO 27001
UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) tidak menyebut pelatihan karyawan secara eksplisit. Program awareness dapat menjadi bukti bahwa pengendali data menjalankan kewajiban pengamanan dan bisa membuktikannya (Pasal 47). ISO/IEC 27001:2022 lebih tegas lewat kontrol Annex A 6.3. Panduan peran karyawan dalam mematuhi UU PDP membahas sisi hariannya.
| Kegiatan | UU PDP | ISO/IEC 27001:2022 Annex A |
|---|---|---|
| Pelatihan rutin sesuai peran | Pasal 35: langkah teknis operasional untuk melindungi data pribadi | 6.3 Information security awareness, education and training |
| Simulasi phishing | Pasal 39 ayat (1): mencegah data pribadi diakses secara tidak sah | 6.3 (menguji hasil pelatihan) |
| Jalur pelaporan insiden | Pasal 46 ayat (1): pemberitahuan tertulis atas kegagalan pelindungan data | 6.8 Information security event reporting |
Pertanyaan yang Sering Diajukan (FAQ)
Apa perbedaan security awareness dan security awareness training?
Security awareness adalah kondisi pemahaman karyawan terhadap risiko keamanan. Security awareness training adalah program terstruktur dan berkala yang membangun serta menjaga kondisi itu.
Seberapa sering pelatihan security awareness perlu dilakukan?
UU PDP tidak menetapkan masa berlaku baku, dan ISO/IEC 27001 hanya meminta pelatihan diperbarui secara berkala. Praktik yang disarankan adalah penyegaran tahunan ditambah simulasi phishing rutin, dengan frekuensi yang disesuaikan pada hasil gap analysis assessment.
Apakah security awareness cukup untuk mencegah serangan siber?
Tidak. Pelatihan menurunkan risiko, tetapi tetap perlu dilengkapi kontrol teknis seperti autentikasi dua faktor, penyaring email, dan prosedur verifikasi pembayaran.
Mira