Jika ada satu hal yang harus dipetik oleh perusahaan rintisan teknologi dari tahun 2025, hal itu adalah bahwa tidak ada bisnis yang terlalu kecil untuk menjadi target penjahat siber. Faktanya, UKM sekarang menjadi prospek yang lebih menarik untuk ransomware daripada perusahaan besar dengan sistem lama, berkat keterbatasan sumber daya dan data pelanggan mereka yang berharga.
Sering kali, perusahaan rintisan kekurangan pengetahuan atau sumber daya yang dibutuhkan untuk membuat keputusan yang baik di awal bisnis mereka. Kami menghubungi pakar keamanan TI yang sering bekerja sama dengan perusahaan rintisan teknologi untuk mendapatkan wawasan tentang apa yang perlu diketahui bisnis saat baru memulai.
Gary Power, COO dan Direktur Layanan Klien di Power Consulting(jendela baru), memiliki keahlian selama 25 tahun di industri TI outsourcing. Power Consulting bekerja sama erat dengan bisnis dari semua ukuran di semua industri, menyediakan layanan termasuk layanan TI terkelola, perencanaan strategis TI, serta audit dan layanan keamanan siber.
Kami berbicara dengan Gary untuk memahami di mana letak kesalahan yang dilakukan perusahaan rintisan teknologi di awal bisnis mereka.
Bisnis tidak terlalu kecil untuk tindakan keamanan siber
Menggunakan Data Breach Observatory kami, Proton melacak kebocoran data bisnis di dark web untuk memahami siapa yang menjadi target peretas dan bagaimana bisnis dibobol. Kami menemukan 794 pembobolan, dengan total lebih dari 300 juta catatan yang bocor, dan menjadi jelas bahwa organisasi yang lebih kecil semakin berisiko.
Bisnis dapat memperoleh manfaat dengan mempelajari bagaimana dan mengapa bisnis lain terkena dampak pembobolan data. Wawasan yang diperoleh dari Data Breach Observatory, serta rekomendasi keamanan siber kami untuk perusahaan rintisan teknologi, dapat ditemukan di eBook terbaru kami, The breaches that broke 2025.
Baik karena pengelolaan kredensial yang kurang baik, atau kegagalan dalam menggunakan tindakan perlindungan seperti enkripsi end-to-end, tampaknya UKM melakukan kesalahan krusial dalam praktik keamanan mereka. Dan jika bisnis kecil tetap rentan terhadap ancaman siber, hal itu pada akhirnya akan merusak industri dan inovasi di seluruh dunia dengan membatasi pertumbuhan bisnis.
Gary mencatat bahwa bagian penting dari melindungi bisnis secara memadai adalah mengubah pola pikir terkait tindakan keamanan yang diterapkan.
“Di awal, pendiri biasanya mengajukan pertanyaan reaktif seperti ‘Apakah kita membutuhkan ini?’ atau ‘Apakah ini berlebihan untuk ukuran kita?’ Seiring kedewasaan bisnis, pertanyaan beralih ke ‘Apa yang sebenarnya akan menghentikan kita dari pembobolan?’ dan ‘Bagaimana cara meningkatkan skala dengan aman tanpa memperlambat bisnis?'”
Alih-alih melewati langkah-langkah saat bisnis mulai mapan, berinvestasilah sejak awal dalam keamanan siber. Bagaimanapun, seperti yang dikatakan Gary: “Pendiri paling sukses menyadari bahwa keamanan adalah pemampu, bukan penghambat.”
Alat lama tidak secara otomatis aman
Saat tiba waktunya untuk memilih alat, seperti solusi email, drive, dan pengelola kata sandi yang akan digunakan bisnis, pilihan tersebut membawa perbedaan besar. Gary memperingatkan agar tidak berasumsi bahwa solusi populer dan modern akan otomatis menjadi opsi paling aman.
“Titik buta terbesar adalah mengasumsikan keamanan bersifat ‘implisit’ karena menggunakan alat modern atau platform cloud. Pendiri sering kali percaya bahwa Microsoft 365, Google Workspace, atau AWS secara otomatis sama dengan aman. Kenyataannya, sebagian besar pembobolan berasal dari kesalahan konfigurasi, kontrol identitas yang lemah, kebersihan akses yang buruk, dan kurangnya pemantauan — bukan teknik peretasan yang eksotis.”
Ini mungkin tidak terdengar positif, tetapi sebenarnya ini kabar baik: Jauh lebih sulit untuk memprediksi dan mencegah teknik peretasan yang canggih daripada membangun praktik manajemen identitas dan pemantauan yang kuat di dalam jaringan. Isu-isu yang disoroti Gary dapat diatasi menggunakan hal-hal berikut:
- Praktik keamanan aplikasi web menyeluruh yang memungkinkan identifikasi dan mitigasi potensi ancaman terhadap lingkungan Anda.
- Tindakan manajemen identitas seperti single sign-on (SSO) dan autentikasi dua faktor (2FA) yang melindungi jaringan bisnis sekaligus memudahkan dan mengamankan anggota tim saat mengakses jaringan bisnis.
- Monitoring Dark Web adalah alat bantu yang dapat menginformasikan jika ada data bisnis yang muncul di dark web, memungkinkan tindakan cepat untuk mencegah pembobolan data.
Kesalahan manusia adalah ancaman serius
Tidak peduli apakah alat Anda aman jika tidak digunakan dengan aman. Kesalahan manusia sebenarnya adalah salah satu ancaman keamanan siber terbesar bagi bisnis. Permukaan serangan tumbuh secara eksponensial berkat kerumitan jaringan bisnis modern, mengharuskan anggota tim membuat puluhan akun dengan kata sandi unik dan berpotensi mengakses akun tersebut dari perangkat pribadi mereka.
“Kesalahan besar lainnya adalah meremehkan risiko manusia: phishing, penggunaan kembali kredensial, dan perangkat yang tidak dikelola biasanya merupakan pintu masuk utamanya.“
Risiko-risiko ini dapat disebabkan oleh kurangnya kesadaran akan keamanan siber dan ketidakjelasan ekspektasi tentang bagaimana atau apakah jaringan bisnis dapat diakses melalui perangkat pribadi anggota tim. Untungnya, risiko tersebut dapat diatasi dengan mudah menggunakan pendekatan ganda berupa kebijakan dan edukasi:
- Edukasi di seluruh bisnis tentang cara mengenali penipuan phishing dan jenis malware lainnya(jendela baru) akan membantu setiap anggota tim melindungi jaringan bisnis
- Kebijakan bekerja jarak jauh dan kebijakan bring your own device (BYOD) jika relevan untuk bisnis
- Pengelola kata sandi bisnis yang aman akan memastikan kebijakan kata sandi diterapkan dan kredensial sensitif disimpan di lokasi terpusat, bahkan dapat dibagikan dengan aman jika diperlukan.
“Keputusan awal menjadi setelan bawaan permanen,” kata Gary. “Model identitas, lokasi data, akses admin, dan standar perangkat sangat sulit untuk diubah nantinya — terutama setelah pelanggan, investor, dan regulator terlibat. Utang keamanan menumpuk seperti halnya utang teknis. Jauh lebih murah dan tidak terlalu mengganggu untuk menetapkan batasan yang baik sejak awal daripada memasang kontrol setelah pembobolan, kegagalan audit, atau penolakan asuransi siber.”
Prinsip dasar keamanan lebih penting daripada alat
Alat bukan satu-satunya pertimbangan yang perlu dibuat bisnis saat masuk ke pasar. Infrastruktur TI akan menentukan seberapa aman anggota tim dapat bekerja, seberapa baik risiko dapat dideteksi, dan seberapa cepat isu dapat dimitigasi.
Gary menjelaskan bagaimana para ahli di Power Consulting melakukan pendekatan untuk menyiapkan infrastruktur TI dan keamanan siber bagi perusahaan rintisan. “Kami fokus pada prinsip dasar sebelum alat yang mentereng.”
- Siapkan kebijakan manajemen identitas dan akses yang kuat, termasuk MFA dan “hak istimewa terkecil”, yang berarti orang hanya boleh memiliki akses ke sistem yang mereka butuhkan.
- Amankan endpoint, termasuk perangkat pribadi karyawan, sejak hari pertama. Perangkat lunak manajemen perangkat dapat membantu melacak siapa yang masuk ke jaringan dan dari mana.
- Gunakan pencatatan log dan pemantauan terpusat sehingga isu seperti akses tidak sah atau pembobolan akun tidak luput dari perhatian.
- Persiapkan diri untuk menghadapi situasi darurat dengan alat pencadangan dan pemulihan yang tepat seperti cadangan tidak dapat diubah (yang tidak dapat diubah setelah dibuat) atau perlindungan di luar lokasi tempat data penting dikirim dan disimpan jauh dari lokasi bisnis utama.
Dengan membangun bisnis di atas dasar yang kuat, pada akhirnya investasi dilakukan untuk bisnis yang lebih aman di masa depan. Waktu yang dihabiskan untuk membangun infrastruktur yang aman sebanding dengan uang yang akan dihemat dan risiko yang akan dihindari dalam jangka panjang.
Luangkan waktu untuk menyiapkan dengan benar
Gary merekomendasikan untuk berfokus pada arsitektur identitas karena ini adalah area dengan dampak keamanan tertinggi. Setiap anggota tim memiliki identitas digital yang memberi mereka akses ke data dan alat yang mereka butuhkan dalam jaringan bisnis, dan mengonfigurasinya dengan baik akan membuat perbedaan besar di masa mendatang.
“Arsitektur identitas yang buruk adalah yang paling sulit untuk dibatalkan — akun bersama, adopsi MFA yang lemah, dan terlalu banyak admin menciptakan risiko jangka panjang,” Gary menjelaskan. “Penyebaran data yang tidak terstruktur adalah isu utama lainnya; setelah data sensitif tersebar di drive pribadi, kotak masuk email, dan aplikasi SaaS yang tidak dikelola, mendapatkan kembali kendali akan sangat merepotkan. Terakhir, kurangnya dokumentasi dan kepemilikan sejak awal menyebabkan kebingungan dan titik buta seiring pertumbuhan tim.”
