Bisnis kecil hingga menengah (UKM) cenderung berpikir bahwa mereka memiliki risiko lebih rendah untuk menghadapi serangan siber. Namun, tidak demikian bagi para penyerang. Bagi mereka, semakin kecil bisnisnya, semakin kecil anggaran keamanannya. Namun, itu hanyalah sebagian alasan mengapa UKM membutuhkan keamanan yang lebih kuat.
Mengapa keamanan siber penting bagi UKM
UKM tidak mengabaikan keamanan siber. Menurut Laporan Keamanan Siber UKM Proton 2026 — sebuah survei terhadap 3.000 pemimpin bisnis di enam pasar — 92% telah berinvestasi dalam langkah-langkah keamanan.
Namun, satu dari empat masih mengalami serangan siber atau pembobolan dalam setahun terakhir.
Kesenjangan antara investasi dan perlindungan sebagian besar disebabkan oleh faktor manusia. UKM jarang memiliki sumber daya keamanan khusus, namun menangani data berharga dalam jumlah besar — kombinasi yang membuat mereka menjadi target yang menarik.
Saat terjadi kesalahan, dampaknya sangat luas:
- 46% dari mereka yang terkena dampak melaporkan kehilangan data
- 38% gangguan operasional
- 30% hilangnya kepercayaan pelanggan.
Penilaian risiko formal, audit rutin, dan langkah modern seperti autentikasi multifaktor dan pengelola kata sandi tidak berfungsi karena tanpa adanya penegakan aturan, alat yang baik pun akan gagal.
Setengah dari responden telah memiliki pengelola kata sandi — tetapi di organisasi yang sama, kredensial masih dibagikan melalui email (29%), dokumen bersama (28%), aplikasi pesan (23%), dan catatan tertulis (21%). Memiliki alat yang tepat tidaklah cukup jika tidak tersemat dalam cara orang-orang benar-benar bekerja.
Jadi, apa yang dapat dilakukan bisnis untuk melindungi diri mereka sendiri?
Praktik terbaik keamanan siber yang esensial untuk UKM
1. Terapkan manajemen kata sandi yang kuat
Manajemen kata sandi yang buruk adalah salah satu ancaman terbesar bagi keamanan di organisasi, dan dapat mencakup:
- Penggunaan ulang kata sandi: Menggunakan kata sandi yang sama untuk beberapa akun berarti jika peretas mencuri kata sandi untuk satu akun, mereka dapat menggunakannya untuk mengakses akun bisnis lainnya.
- Berbagi kata sandi yang tidak aman: Membagikan kredensial melalui email, aplikasi pesan, dokumen bersama, dalam percakapan, atau secara tertulis membuat rentan terhadap peretas atau orang yang tidak berwenang untuk mengakses akun.
- Akses tanpa batasan: Kegagalan dalam membatasi akses ke platform atau dokumen istimewa memungkinkan siapa saja yang memiliki kredensial untuk satu akun untuk melihat, mengubah, atau menghapus data bisnis sensitif yang seharusnya tidak boleh diakses.
Sebuah pengelola kata sandi bisnis(jendela baru) dapat membantu mencegah penggunaan ulang kata sandi dan mengaktifkan berbagi kata sandi yang aman. Namun, sangat penting untuk menerapkan pengelola kata sandi perusahaan daripada mengandalkan pengelola kata sandi berbasis peramban. Proton Pass menyediakan panel admin terpusat, log audit, serta kontrol pengguna dan grup yang granular, sehingga memudahkan untuk menambah atau menghapus akses selama proses orientasi dan purnatugas, serta saat terjadi acara keamanan siber.
Baca selengkapnya: Apa yang masih salah dipahami oleh bisnis kecil tentang pengelola kata sandi
2. Jaga agar perangkat lunak dan sistem tetap diperbarui
Menginstal semua pembaruan perangkat lunak yang relevan sangatlah penting. UKM sering kali melewati pembaruan karena takut akan waktu henti. Pembaruan ini melindungi dengan menambal kerentanan keamanan untuk melindungi dari pembobolan data, malware, dan akses yang tidak sah.
Banyak UKM menggunakan strategi manajemen patch otomatis yang terpusat untuk mengelola pembaruan. Satu platform tunggal menangani deteksi, pengujian, penerapan, dan audit pembaruan perangkat lunak di seluruh perangkat jaringan, mengurangi ketergantungan pada pembaruan manual dan membantu menjaga konsistensi.
3. Terapkan autentikasi multifaktor (MFA)
Autentikasi multifaktor adalah salah satu perlindungan terbaik yang tersedia untuk mengamankan akses ke sistem dan file. Kuncinya adalah menerapkan MFA secara bawaan — jangan biarkan sebagai pengaturan opsional.
- Metode MFA paling aman: Kunci perangkat keras dan aplikasi autentikator
- Metode MFA yang cukup aman: Biometrik, seperti sidik jari atau Face ID
- Metode MFA yang paling tidak aman: Notifikasi push dan pesan teks
Selain menerapkan MFA, pemblokiran notifikasi push dan pesan teks untuk akun admin dapat dilakukan. Gunakan aplikasi autentikator atau kunci perangkat keras untuk mencegah serangan pertukaran SIM, yang marak menyasar pemilik bisnis kecil.
Baca selengkapnya: Apa itu autentikasi dua faktor (2FA)?
4. Amankan akses jaringan
Jika organisasi menawarkan kerja jarak jauh atau hibrida atau memerlukan perjalanan, buat koneksi aman antara karyawan dan jaringan bisnis. Karyawan yang bekerja dari rumah, atau di jaringan Wi-Fi publik di kafe atau saat bepergian dapat memungkinkan penyerang mencegat data dalam transit. VPN mengenkripsi data dalam transit, melindungi informasi sensitif dari peretas dan ancaman internal.
Proton VPN(jendela baru) memberikan kendali atas jaringan dan melindungi perangkat dari pelacakan IP serta malware.
5. Lakukan pelatihan karyawan dan kesadaran keamanan
Teknologi saja tidak dapat mencegah pembobolan; kesalahan manusia secara konsisten menempati peringkat di antara penyebab utama pembobolan data. Karyawan perlu mengenali taktik rekayasa sosial, yang sering kali mengandalkan manipulasi psikologis. Disarankan untuk menerapkan latihan simulasi phishing secara berkala dan pelatihan keamanan untuk menumbuhkan budaya yang mengutamakan keamanan.
6. Enkripsi data
Enkripsi memastikan bahwa meskipun data dicuri, data tersebut tetap tidak dapat dibaca oleh penyerang. Hal ini berlaku baik untuk data yang diam (tersimpan di perangkat) maupun data yang transit (sedang dikirim melalui internet).
- Enkripsi email: Lindungi komunikasi klien dan cegah informasi sensitif agar tidak dicegat. Proton Mail menawarkan solusi email bisnis(jendela baru) terenkripsi secara end-to-end yang secara otomatis melindungi pesan.
- Enkripsi file: Pahami file mana saja yang perlu dienkripsi dan cara mengenkripsinya.
7. Pastikan penyimpanan cloud dan kolaborasi yang aman
Saat memilih penyedia cloud, hindari layanan yang memindai data untuk tujuan periklanan atau pelatihan AI. Pilihlah penyimpanan cloud tanpa pengetahuan di mana kunci enkripsi hanya dipegang oleh pengguna sendiri.
Proton Drive menyediakan penyimpanan cloud terenkripsi secara end-to-end, sehingga dokumen dan file tetap pribadi. Untuk kolaborasi tim, Proton Docs(jendela baru) and Proton Sheets(jendela baru) memungkinkan tim untuk bekerja secara real-time tanpa mengompromikan keamanan data.
Baca selengkapnya: 5 risiko keamanan penyimpanan cloud dan cara menghindarinya
8. Terapkan segmentasi jaringan dan kontrol akses
Jangan biarkan pembobolan di satu area menyebar ke seluruh jaringan. Terapkan segmentasi jaringan untuk membatasi pergerakan lateral selama serangan. Padukan ini dengan kontrol akses berbasis peran (RBAC) agar karyawan hanya memiliki akses ke data yang diperlukan untuk peran mereka.
9. Tinjau risiko vendor pihak ketiga
Rantai pasokan hanya seaman mata rantai terlemahnya. Penyerang sering kali menyasar vendor yang lebih kecil untuk mendapatkan akses ke mitra yang lebih besar. Lakukan penilaian keamanan vendor dan wajibkan mitra untuk mematuhi standar perlindungan data ketat yang sama.
10. Kembangkan dan terapkan kebijakan BYOD
Mengizinkan karyawan menggunakan perangkat pribadi (Bring Your Own Device/BYOD) menimbulkan risiko yang signifikan jika tidak dikelola dengan benar. Perangkat pribadi jarang memiliki kontrol keamanan yang sama dengan perangkat keras perusahaan.
Kembangkan kebijakan BYOD yang jelas yang menetapkan persyaratan keamanan, izin akses data, dan regulasi kepatuhan. Berikan akses kepada tim ke alat yang aman, seperti email terenkripsi dan pengelola kata sandi, di perangkat pribadi untuk mengurangi risiko.
Baca selengkapnya: Penjelasan solusi keamanan BYOD
11. Terapkan prinsip zero-trust
Adopsi pola pikir “jangan pernah percaya, selalu verifikasi”. Keamanan zero-trust memperlakukan setiap permintaan akses sebagai tidak tepercaya secara bawaan, baik yang berasal dari dalam maupun luar organisasi. Setiap permintaan harus diautentikasi, diotorisasi, dan dienkripsi.
12. Lakukan pemindaian kerentanan dan audit keamanan secara berkala
Tidak dapat memperbaiki apa yang tidak diketahui kerusakannya. Jadwalkan pemindaian kerentanan secara berkala untuk menemukan titik lemah dalam infrastruktur sebelum penyerang menemukannya. Gunakan temuan ini untuk memprioritaskan patching dan perubahan konfigurasi.
13. Pantau dan catat dalam log aktivitas jaringan
Monitoring berkelanjutan membantu mendeteksi aktivitas mencurigakan secara real-time. Catat lalu lintas jaringan ke dalam log dan tinjau log secara berkala untuk mendeteksi anomali yang dapat mengindikasikan pembobolan sedang berlangsung.
14. Siapkan rencana tanggap insiden
Banyak UKM berasumsi akan menangani pembobolan saat hal itu terjadi. Namun tanpa rencana, insiden kecil dapat berkembang menjadi gangguan berhari-hari.
Rencana tanggap insiden tidak perlu rumit — mulailah dengan dokumen satu halaman yang mencakup hal-hal dasar. Jalankan skenario sederhana “bagaimana jika” bersama tim untuk mengidentifikasi celah sebelum krisis nyata memaksa untuk menemukannya dengan cara yang sulit. Dan yang terpenting, tinjau rencana setelah setiap insiden atau uji coba.
Baca selengkapnya: Dari kerentanan menuju ketangguhan: kerangka kerja tanggap insiden untuk UKM
15. Adopsi strategi cadangan modern 3-2-1-1-0
Aturan cadangan “3-2-1” tradisional (tiga salinan, dua jenis media, satu salinan di luar lokasi) tidak lagi mencakup setiap risiko. Serangan ransomware dapat mengenkripsi cadangan yang terhubung bersama dengan file utama, membuat pemulihan menjadi jauh lebih sulit. Banyak organisasi kini mengikuti pendekatan 3-2-1-1-0:
- 3 salinan data: 1 utama + 2 cadangan.
- 2 jenis media penyimpanan yang berbeda: Misalnya, server lokal + drive eksternal.
- 1 salinan di luar lokasi atau di cloud.
- 1 salinan tidak dapat diubah atau terisolasi: Ini adalah tambahan yang sangat penting — memastikan satu salinan cadangan tidak dapat diubah, dihapus, atau dienkripsi oleh ransomware, bahkan jika penyerang mendapatkan akses admin ke jaringan.
- 0 kesalahan: Uji cadangan secara berkala untuk mengonfirmasi proses pemulihan berfungsi dengan sempurna — cadangan yang tidak dapat dipulihkan adalah pengeluaran yang sia-sia.
Banyak bisnis kecil mengandalkan folder sinkronisasi cloud yang secara otomatis memperbarui file di berbagai perangkat. Jika ransomware mengenkripsi file, versi terenkripsi tersebut dapat menyebar dengan cepat ke perangkat yang disinkronkan dan cadangan. Untuk mengurangi risiko ini, pertimbangkan untuk menggunakan penyimpanan cloud tanpa pengetahuan dengan riwayat versi dan kontrol retensi.
Proton Drive menyertakan enkripsi end-to-end dan riwayat versi file. Jika ransomware mengenkripsi file lokal dan perubahan tersebut disinkronkan ke cloud, riwayat versi dapat membantu memulihkan versi sebelumnya yang tidak terenkripsi. Namun, kepatuhan 3-2-1-1-0 penuh juga memerlukan cadangan terisolasi atau cadangan terlindungi lainnya yang terisolasi dari serangan ransomware.
Dengan menerapkan tip keamanan siber ini, UKM dapat secara signifikan mengurangi profil risiko serta melindungi reputasi dan pendapatan.
Siap untuk memulai? Coba uji coba Proton for Business gratis(jendela baru) dan tingkatkan pertahanan keamanan siber hari ini.
