security awareness training

• Mencegah kerugian finansial. Serangan siber dapat menyebabkan kerugian finansial yang besar bagi bisnis dan merusak reputasi merek. Laporan “Cost of a Data Breach Report 2023” dari IBM Security dan Ponemon Institute menyebutkan bahwa rata-rata biaya pelanggaran data mencapai $4,45 juta per insiden. Pelatihan kesadaran keamanan membantu karyawan dalam melindungi aset, data, serta sumber daya keuangan organisasi.
• Meminimalkan risiko insiden. Jumlah serangan terhadap organisasi terus meningkat. Laporan “2023 Data Breach Investigations Report” dari Verizon mencatat 16.312 insiden keamanan dengan 5.199 kasus merupakan pelanggaran data. Pelatihan yang tepat dapat mencegah serta mengurangi risiko insiden semacam ini.
• Mengurangi kesalahan manusia. Sebagian besar insiden keamanan terjadi karena kesalahan manusia. Pelatihan kesadaran keamanan dapat membekali karyawan dengan pengetahuan dan keterampilan untuk mengurangi risiko ini.
• Membentuk pola pikir keamanan siber. Organisasi dapat membantu karyawan mengenali risiko keamanan siber, menghindari serangan, serta merespons insiden dengan lebih efektif.
• Mencegah kehilangan dan kerusakan data. Pelatihan yang efektif membantu karyawan memahami pentingnya melindungi data sensitif, mencegah kebocoran informasi pribadi, dan menjaga reputasi perusahaan.

Perbedaan antara Kesadaran Keamanan dan Pelatihan Keamanan

Istilah kesadaran keamanan dan pelatihan keamanan sering digunakan secara bergantian, tetapi memiliki perbedaan yang signifikan:

• Kesadaran keamanan adalah proses mendidik dan mengarahkan perhatian karyawan terhadap isu-isu keamanan dalam organisasi. Karyawan yang sadar keamanan lebih bertanggung jawab dalam menjaga keamanan, memahami kepentingannya, serta mengetahui konsekuensi ketidakpatuhan.
• Pelatihan keamanan berfokus pada pemberian pengetahuan dan keterampilan khusus kepada karyawan agar mereka mampu mengenali dan menangani masalah keamanan dengan lebih baik. Tujuannya adalah memberikan panduan tentang praktik keamanan terbaik, seperti mengenali email phishing dan membangun kebiasaan menjelajah internet yang aman.

Singkatnya, kesadaran keamanan membangun budaya dan pola pikir keamanan dalam organisasi, sedangkan pelatihan keamanan memberikan keterampilan yang diperlukan untuk mengelola serta mengurangi risiko keamanan.

Apa Saja yang Harus Ada dalam Pelatihan Kesadaran Keamanan yang Kuat?

Program pelatihan kesadaran keamanan siber yang efektif harus dapat menjangkau karyawan dengan tingkat pemahaman teknis dan pengetahuan keamanan siber yang berbeda, serta gaya belajar yang beragam.

Program ini harus bersifat multifaset dengan kumpulan pelajaran dan peluang belajar agar menarik bagi semua orang di perusahaan. Selain itu, program yang komprehensif mencakup materi berbasis peran, yang memberikan instruksi yang disesuaikan dengan kebutuhan setiap peran karyawan, serta pemangku kepentingan pihak ketiga, seperti mitra bisnis dan pekerja kontrak, agar mereka tidak membahayakan organisasi.

Program yang efektif memiliki komponen utama berikut:

• Materi edukasi. Ini bisa berupa materi tertulis, pembelajaran daring interaktif, hingga sesi gamifikasi agar karyawan dapat mengakses informasi dalam format yang paling sesuai dengan gaya belajar mereka, baik itu audio, visual, atau lainnya. Materi harus mencakup pelajaran dan modul dengan berbagai tingkat kompleksitas sehingga karyawan dapat mengakses informasi yang paling relevan dengan peran mereka.
• Pemantauan dan komunikasi berkelanjutan. Ini bertujuan untuk mengingatkan karyawan tentang kebijakan keamanan siber perusahaan. Pesan ini juga menyajikan penyegaran singkat tentang cara mengenali dan menghindari risiko keamanan serta memberi tahu mereka tentang ancaman terbaru.
• Pengujian serangan simulasi. Menggunakan simulasi phishing, teknik rekayasa sosial, survei, kuis, dan penilaian lainnya dapat membantu mengevaluasi sejauh mana tenaga kerja mematuhi kebijakan keamanan siber perusahaan dan mengidentifikasi individu yang kurang memahami praktik keamanan terbaik.
• Pelaporan dan pengukuran keterlibatan karyawan. Hal ini membantu organisasi dalam mengidentifikasi kelemahan dalam program pelatihan dan area yang perlu diperbaiki.
• Persyaratan kepatuhan. Program harus memastikan bahwa karyawan memahami persyaratan kepatuhan spesifik dan pentingnya mematuhinya. Misalnya, standar kepatuhan seperti HIPAA dan PCI-DSS memiliki elemen khusus yang harus diajarkan kepada pengguna akhir dalam pelatihan kesadaran keamanan.

Bagaimana Membuat dan Menerapkan Program Pelatihan Kesadaran Keamanan yang Sukses?

Beberapa langkah penting dalam membuat program pelatihan kesadaran keamanan yang sukses meliputi:

• Pemimpin keamanan informasi (CISO) dan tim keamanan siber organisasi harus menjadi penggerak utama dalam merancang program pelatihan ini dan bekerja sama dengan eksekutif lain untuk memahami risiko utama yang harus ditangani oleh program tersebut.
• CISO harus berkoordinasi dengan departemen sumber daya manusia (HR) yang biasanya bertanggung jawab atas pelatihan dan pengembangan karyawan, untuk memastikan program ini terbentuk dengan baik.
• Pelatihan harus mencakup ancaman spesifik yang dihadapi oleh industri dan organisasi mereka karena ancaman dapat berbeda-beda tergantung pada sektor industri.
• Program pelatihan harus mencakup evaluasi untuk mengidentifikasi tingkat kesadaran keamanan siber setiap karyawan dan membuat jalur pembelajaran yang sesuai.
• Organisasi harus mempertimbangkan bahwa setiap peran menghadapi risiko yang berbeda. Misalnya, eksekutif tingkat tinggi yang menangani informasi sensitif mungkin menghadapi ancaman yang lebih tinggi dibandingkan karyawan tingkat pemula.
• Organisasi besar yang memiliki tim HR yang kuat mungkin dapat mengembangkan dan menyampaikan pelatihan mereka sendiri atau melengkapinya dengan sumber daya eksternal. Banyak organisasi memilih untuk mengalihdayakan sebagian atau seluruh pelatihan untuk efisiensi dan efektivitas.

Bagaimana Mempromosikan Budaya Kerja yang Mengutamakan Kesadaran Keamanan?

Menurut perkiraan Cybercrime Magazine, bisnis akan kehilangan hampir $10,5 triliun per tahun pada 2025 akibat kejahatan siber. Oleh karena itu, membangun budaya keamanan siber yang kuat sangat penting untuk melindungi informasi, aset, dan reputasi perusahaan.

Berikut ini beberapa cara untuk mempromosikan budaya kerja yang berfokus pada keamanan:

• Inklusivitas. Semua orang dalam organisasi harus memahami bahwa keamanan adalah tanggung jawab bersama. Keamanan harus dimasukkan ke dalam visi dan misi perusahaan agar menjadi prioritas bagi semua tingkat karyawan.
• Pelatihan dan edukasi. Program pelatihan rutin harus diadakan untuk mengajarkan karyawan tentang ancaman keamanan potensial dan praktik terbaik, seperti mengenali phishing, menjaga kata sandi yang kuat, dan melindungi data.
• Komunikasi dan pembaruan rutin. Perusahaan harus secara berkala memberi tahu karyawan tentang pembaruan keamanan, insiden terbaru, dan pengingat melalui berbagai media, seperti email, buletin, poster, dan portal intranet.
• Siklus Pengembangan Keamanan (SDL). Organisasi harus menerapkan SDL untuk mengarahkan praktik keamanan dalam pengembangan perangkat lunak dan sistem.
• Security Champions. Organisasi dapat menetapkan individu tertentu sebagai duta keamanan yang membantu meningkatkan kesadaran keamanan di antara rekan kerja.
• Insentif dan pengakuan. Memberikan penghargaan kepada karyawan yang unggul dalam kesadaran dan praktik keamanan dapat memotivasi karyawan lainnya untuk meningkatkan kepatuhan terhadap kebijakan keamanan.

Seberapa Sering Pelatihan Kesadaran Keamanan Harus Dilakukan?

Pakar setuju bahwa pelatihan kesadaran keamanan siber harus dilakukan secara berkelanjutan dalam suatu perusahaan. Pelatihan yang terus-menerus membantu karyawan membangun pola pikir keamanan sehingga mereka tetap waspada. Selain itu, perusahaan dapat memperbarui kebijakan serta prosedur keamanan, sekaligus memberi tahu karyawan mengenai ancaman dan risiko baru yang terus berkembang.

Agar pelatihan keamanan tetap efektif dan berkelanjutan, beberapa hal berikut perlu dipertimbangkan:

• Menurut penelitian dari Advanced Computing Systems Association berjudul “An Investigation of Phishing Awareness and Education Over Time,” idealnya pelatihan kesadaran keamanan dilakukan setiap empat hingga enam bulan sekali. Studi menunjukkan bahwa karyawan masih dapat mengenali email phishing dengan baik dalam empat bulan setelah pelatihan, tetapi pemahaman mereka mulai menurun setelah enam bulan.
• Perusahaan sebaiknya menetapkan jadwal pelatihan yang menentukan materi apa yang akan diberikan kepada karyawan serta seberapa sering pelatihan harus dilakukan. Misalnya, pelatihan keamanan sebaiknya dilakukan saat karyawan baru bergabung dengan perusahaan sebagai bagian dari proses orientasi.
• Banyak pakar menyarankan agar perusahaan menerapkan proses sertifikasi tahunan bagi karyawan, dengan kombinasi pelatihan formal dan informal yang tersedia sepanjang tahun untuk menjaga kesadaran akan praktik keamanan terbaik.
• Jika evaluasi atau pengujian menunjukkan adanya pelanggaran dalam praktik keamanan, perusahaan harus mempertimbangkan pelatihan wajib bagi seluruh organisasi atau karyawan tertentu.
• Perusahaan dapat menggunakan sistem manajemen pembelajaran agar materi pelatihan dapat diakses dengan mudah oleh karyawan.

Biaya dan Sumber Daya Pelatihan Kesadaran Keamanan

Biaya pelatihan kesadaran keamanan dalam perusahaan bervariasi, mulai dari gratis hingga ribuan dolar per tahun. Perusahaan kecil dapat memanfaatkan sumber daya eksternal yang murah atau gratis serta menggunakan staf internal untuk membuat program pelatihan dasar.

Perusahaan besar yang memiliki pelatih khusus untuk kesadaran keamanan biasanya bekerja sama dengan penyedia pelatihan terkemuka guna memberikan materi pelatihan yang komprehensif dan disesuaikan. Selain itu, mereka juga menggunakan pengujian serta simulasi serangan keamanan, seperti kampanye phishing, untuk mengevaluasi dan meningkatkan kesadaran keamanan karyawan.

Beberapa lembaga dan organisasi menawarkan sumber daya serta layanan pelatihan kesadaran keamanan, baik berbayar maupun gratis. Beberapa di antaranya adalah:

• Cybersecurity and Infrastructure Security Agency, yang menyediakan program evaluasi keamanan bagi lembaga pemerintah.
• SANS Institute, organisasi swasta yang menawarkan kursus langsung serta sertifikasi keamanan.
• ISACA, asosiasi profesional untuk tata kelola TI yang menawarkan kursus keamanan siber.
• National Institute of Standards and Technology serta National Initiative for Cybersecurity Education, yang menyediakan pelatihan keamanan siber gratis dan berbiaya rendah.
• Pelatihan kesadaran keamanan dari Amazon, kursus e-learning gratis yang memberikan sertifikat penyelesaian kepada peserta.