Kebijakan keamanan siber adalah dokumen dasar yang memberikan cara jelas bagi bisnis kecil Anda untuk menjelaskan bagaimana karyawan harus melindungi sistem, akun, perangkat, dan data digital perusahaan.

Kebijakan ini mengubah keamanan dari saran yang tersebar menjadi ekspektasi bersama dengan menjawab pertanyaan seperti praktik mana yang diizinkan, apa yang harus dihindari karyawan, siapa yang memegang keputusan tertentu, dan apa yang terjadi jika terjadi kesalahan.

Panduan ini memberikan kerangka kerja praktis untuk menulis atau meninjau kebijakan keamanan siber bagi bisnis kecil Anda. Anda dapat menggunakannya sebagai templat awal, menyesuaikan setiap bagian dengan alat dan risiko Anda, serta menghubungkan kebijakan tersebut ke kontrol operasional agar lebih mudah diikuti.

Apa itu kebijakan keamanan siber?

Mengapa bisnis kecil membutuhkan kebijakan keamanan siber

Templat kebijakan keamanan siber: 9 bagian inti

Mengapa kebijakan keamanan TI untuk bisnis gagal?

Bagaimana Proton Pass for Business mendukung penegakan kebijakan

Apa itu kebijakan keamanan siber?

Kebijakan keamanan siber adalah dokumen tertulis yang menentukan bagaimana bisnis Anda melindungi informasi, sistem, perangkat, dan akun dari ancaman siber(jendela baru). Dokumen ini harus menjelaskan apa yang diharapkan dari karyawan dan kontraktor, termasuk manajer dan administrator, dalam pekerjaan sehari-hari.

Kebijakan yang kuat harus terasa seperti referensi yang benar-benar dapat digunakan saat keputusan tidak jelas. Kebijakan ini harus menjawab pertanyaan seperti:

  • Kata sandi dan akun mana yang memerlukan perlindungan ekstra?
  • Apakah karyawan boleh menggunakan perangkat pribadi untuk bekerja?
  • Di mana data sensitif harus disimpan?
  • Siapa yang dapat menyetujui akses ke sistem bisnis?
  • Apa yang harus dilakukan jika mencurigai adanya pembobolan?
  • Seberapa sering kebijakan ini akan ditinjau?
  • Apa yang terjadi pada akses ketika seseorang keluar dari perusahaan?

Bagi UKM, kebijakan keamanan siber terbaik adalah yang singkat, jelas, dan cukup spesifik untuk menghilangkan spekulasi.

Mengapa bisnis kecil membutuhkan kebijakan keamanan siber

Kebijakan keamanan siber dapat membantu bisnis Anda dalam tiga cara:

Menetapkan ekspektasi: Karyawan mengetahui apa yang diperbolehkan, apa yang diwajibkan, dan apa yang memerlukan persetujuan.

Menciptakan akuntabilitas: Jika penanganan akses, perangkat, data, dan respons insiden memiliki pemilik yang jelas, keamanan tidak lagi bergantung pada ingatan masing-masing individu.

Mendukung kepatuhan dan kepercayaan pelanggan: Mematuhi regulasi data seperti GDPR mewajibkan bisnis Anda untuk memproses data pribadi secara aman menggunakan langkah-langkah teknis dan organisasional yang tepat, termasuk analisis risiko, kebijakan organisasi, dan tindakan teknis.

Kebijakan keamanan informasi tertulis membantu menunjukkan bahwa bisnis Anda telah mempertimbangkan tanggung jawab tersebut dan membuat kontrol untuk mengurangi risiko.

Laporan keamanan siber UKM Proton memperkuat alasan mengapa hal ini penting bagi tim yang lebih kecil: UKM sering menghadapi risiko keamanan yang nyata tanpa sumber daya yang sama seperti perusahaan besar. Kebijakan yang praktis memberikan tim tersebut cara untuk memprioritaskan hal-hal mendasar dan membuatnya dapat diulang.

Templat kebijakan keamanan siber: 9 bagian inti

Gunakan struktur berikut sebagai templat kebijakan keamanan siber. Tidak perlu membuat setiap bagian terlalu panjang. Tujuannya adalah untuk menetapkan aturan, menentukan kepemilikan, dan menjelaskan bagaimana karyawan harus menerapkannya.

1. Tujuan dan ruang lingkup kebijakan

Mulailah dengan menjelaskan mengapa kebijakan ini ada dan kepada siapa kebijakan ini berlaku. Bagian ini mencegah masalah umum: orang berasumsi bahwa kebijakan tersebut hanya berlaku untuk “sistem TI” atau karyawan penuh waktu.

Salinan templat:

Kebijakan keamanan siber ini menetapkan bagaimana [Nama Perusahaan] melindungi sistem, akun, perangkat, dan data bisnis. Kebijakan ini berlaku untuk karyawan, kontraktor, pekerja temporer, dan pihak ketiga yang mengakses informasi atau sistem perusahaan.

Ruang lingkup harus mencakup perangkat milik perusahaan, layanan cloud yang disetujui, akun bisnis, lingkungan kerja jarak jauh, perangkat pribadi yang digunakan untuk bekerja, dan akses vendor.

2. Kebijakan penggunaan yang dapat diterima

Bagian penggunaan yang dapat diterima menjelaskan bagaimana karyawan dapat menggunakan sistem dan akun perusahaan.

Ini harus mencakup:

  • Perangkat lunak dan layanan bisnis yang disetujui
  • Pembatasan pada aplikasi atau ekstensi peramban yang tidak sah
  • Aturan untuk mengunduh file dan perangkat lunak
  • Penggunaan email perusahaan dan perpesanan
  • Penggunaan pribadi perangkat perusahaan
  • Aktivitas yang dilarang, seperti membagikan akun tanpa persetujuan atau menghindari kontrol keamanan

Buat bagian ini tetap praktis. Karyawan harus memahami pilihan sehari-hari mana yang dapat diterima tanpa perlu menafsirkan bahasa teknis.

Salinan templat:

Karyawan harus menggunakan sistem bisnis yang disetujui untuk pekerjaan perusahaan. Aplikasi yang tidak disetujui, akun penyimpanan pribadi, dan ekstensi peramban yang tidak sah tidak boleh digunakan untuk menyimpan, memproses, atau membagikan data perusahaan kecuali disetujui oleh [peran/tim].

3. Persyaratan manajemen kata sandi dan akses

Penting untuk mempertimbangkan kontrol admin. Kebijakan dapat menentukan siapa yang harus memiliki akses, kapan autentikasi dua faktor (2FA) diperlukan, dan bagaimana offboarding harus berjalan, tetapi tim masih memerlukan cara operasional untuk menerapkan aturan tersebut. Pengelola kata sandi bisnis seperti Proton Pass for Business mendukung hal tersebut melalui panel adminnya, tempat tim Anda dapat mengelola akses, menerapkan kebijakan, meninjau aktivitas, dan mengurangi ketergantungan pada penanganan kata sandi informal.

Kebijakan Anda harus menyatakan bahwa:

  • Kata sandi kerja harus unik dan kuat.
  • Kata sandi tidak boleh digunakan kembali di seluruh akun bisnis dan pribadi.
  • Kredensial yang dibagikan tidak boleh dikirim melalui cara yang tidak disetujui seperti email, obrolan, tangkapan layar, tiket, atau dokumen.
  • 2FA harus diaktifkan di mana saja, dimulai dengan akun berisiko tinggi.
  • Akses harus diberikan berdasarkan peran dan kebutuhan bisnis.
  • Akses harus dihapus ketika seseorang berganti peran atau keluar.
  • Pengecualian harus didokumentasikan, termasuk kasus ketika 2FA belum dapat diaktifkan, akun bersama sementara waktu tidak dapat dihindari, vendor memerlukan akses yang ditingkatkan dengan batas waktu, atau sistem lama tidak dapat memenuhi persyaratan kata sandi atau akses standar.

Panduan membuat kebijakan kata sandi dari Proton dapat mendukung bagian ini dengan lebih banyak rincian tentang aturan kata sandi, pembagian, manajemen akses, dan autentikasi dua faktor.

Di sinilah kebijakan memerlukan dukungan operasional. Aturan yang menyatakan “gunakan kata sandi unik” akan menjadi lemah jika karyawan masih harus membuat dan mengingat setiap kata sandi secara manual.

Pengelola kata sandi bisnis seperti Proton Pass for Business membantu tim mengubah persyaratan kata sandi menjadi praktik sehari-hari: Karyawan dapat membuat kata sandi yang kuat dan unik, menyimpannya di brankas terenkripsi, menggunakan isi otomatis, dan membagikan kata sandi dengan aman alih-alih menggunakan kanal yang tidak aman — semuanya dalam satu aplikasi.

Salinan templat:

Kata sandi kerja harus unik, kuat, dan disimpan di pengelola kata sandi bisnis yang disetujui. Kata sandi tidak boleh digunakan kembali di seluruh akun pribadi dan bisnis atau dibagikan melalui email, obrolan, tangkapan layar, tiket, atau dokumen. Autentikasi multifaktor harus diaktifkan untuk akun berisiko tinggi, dan akses harus diberikan berdasarkan peran dan kebutuhan bisnis. Ketika karyawan, kontraktor, atau vendor tidak lagi memerlukan akses, izin harus ditinjau dan dihapus.

4. Klasifikasi dan penanganan data

Kebijakan keamanan siber harus menetapkan jenis informasi yang ditangani bisnis Anda dan bagaimana setiap jenis informasi tersebut harus dilindungi. Berikut adalah tiga tingkatan yang dapat digunakan oleh bisnis kecil tanpa mempersulit keadaan:

Publik: Informasi yang disetujui untuk penggunaan publik

Internal: Informasi bisnis untuk karyawan dan kontraktor yang disetujui yang tidak layak untuk dibagikan secara eksternal

Rahasia: Data klien, data keuangan, kredensial, kontrak, catatan karyawan, atau informasi operasional sensitif — apa pun yang dapat menimbulkan kerugian jika bocor

Salinan templat:

Informasi rahasia hanya boleh disimpan di sistem yang disetujui, dibagikan kepada orang yang berwenang, dan dilindungi dari akses yang tidak sah. Karyawan tidak boleh menyimpan data bisnis rahasia di akun pribadi, dokumen yang tidak dikelola, atau perangkat yang tidak disetujui.

5. Pelaporan insiden dan respons pertama

Kebijakan Anda harus menjelaskan apa yang harus dilakukan karyawan saat mengidentifikasi atau mencurigai adanya kerentanan. Ini tidak perlu menjadi rencana respons insiden yang lengkap, tetapi harus menetapkan tindakan pertama dan kepemilikan.

Sertakan contoh seperti:

  • Peringatan masuk yang mencurigakan
  • Perangkat yang hilang atau dicuri
  • Email phishing
  • Pembagian data yang tidak disengaja
  • Peringatan malware
  • Aktivitas akun yang tidak biasa
  • Akses tidak sah ke dokumen atau sistem

Gunakan panduan pencegahan pembobolan data untuk bisnis dari Proton untuk panduan lebih lanjut tentang mengurangi risiko pembobolan sebelum insiden terjadi.

Salinan templat:

Karyawan harus segera melaporkan insiden keamanan yang dicurigai ke [peran/tim/kontak]. Karyawan tidak boleh menghapus bukti, mengatur ulang sistem yang terdampak, atau berkomunikasi secara eksternal tentang suatu insiden kecuali diinstruksikan oleh pemilik insiden.

6. Aturan kerja jarak jauh dan Bring Your Own Device (BYOD)

Kerja jarak jauh dan perangkat pribadi di dalam jaringan bisnis Anda dapat menimbulkan risiko yang tidak perlu jika tidak dikelola dengan benar. Kebijakan keamanan siber Anda harus menjelaskan apakah karyawan dapat menggunakan perangkat pribadi, persyaratan keamanan mana yang berlaku (seperti keamanan BYOD), dan apa yang terjadi jika perangkat hilang atau seseorang keluar.

Meliputi:

Panduan kebijakan kerja jarak jauh dan kebijakan BYOD dari Proton dapat mendukung bagian ini dengan aturan yang lebih rinci untuk tim terdistribusi dan perangkat milik karyawan.

Salinan templat:

Karyawan hanya boleh mengakses sistem perusahaan dari perangkat yang disetujui yang memenuhi persyaratan keamanan. Perangkat yang hilang atau dicuri harus segera dilaporkan. Data perusahaan tidak boleh disimpan di akun cloud pribadi atau aplikasi yang tidak dikelola.

7. Akses vendor pihak ketiga

Bisnis kecil sering kali mengandalkan agensi, kontraktor, penyedia perangkat lunak, akuntan, konsultan, dan penyedia layanan terkelola. Akses vendor tidak boleh dianggap sepele karena dapat membuat pintu belakang yang tidak dikontrol sepenuhnya oleh bisnis Anda.

Pengelola kata sandi bisnis dapat membantu membuat kontrol tersebut lebih praktis dengan membantu tim menjaga kredensial vendor tetap dalam cakupan, terpantau, dan mudah dicabut saat kontrak berakhir.

Kebijakan Anda harus menetapkan:

  • Siapa yang dapat menyetujui akses vendor
  • Sistem mana yang dapat diakses oleh vendor
  • Apakah akun vendor harus bersifat individu atau bersama
  • Berapa lama akses berlangsung
  • Seberapa sering akses vendor diaudit
  • Bagaimana izin minimum ditentukan untuk setiap vendor
  • Apa yang terjadi ketika kontrak berakhir

Bagian ini juga mendukung keamanan rantai pasokan. 10 Langkah NCSC(jendela baru) memasukkannya sebagai area utama untuk mengelola risiko siber, yang sangat relevan untuk bisnis kecil yang mensubkontrakkan bagian dari TI, keuangan, pemasaran, atau operasional.

Salinan templat:

Akses pihak ketiga harus disetujui oleh [peran/tim], terbatas pada sistem yang diperlukan untuk pekerjaan, dan ditinjau pada akhir masa kontrak. Akses vendor harus dihapus jika tidak lagi diperlukan.

8. Persyaratan pelatihan karyawan

Kebijakan keamanan siber tidak akan berjalan jika orang hanya melihatnya saat onboarding. Pelatihan kesadaran keamanan secara berkala memastikan bahwa kebijakan Anda selalu diikuti.

Kebijakan Anda harus menjelaskan:

  • Kapan karyawan menerima pelatihan keamanan
  • Topik apa saja yang dicakup dalam pelatihan
  • Seberapa sering pelatihan penyegaran dilakukan
  • Siapa yang harus menyelesaikan pelatihan
  • Bagaimana risiko baru atau perubahan kebijakan dikomunikasikan

Topik pelatihan dapat mencakup phishing, manajemen kata sandi, 2FA, berbagi file dengan aman, penanganan data, kerja jarak jauh, keamanan perangkat, dan pelaporan insiden.

Buat pelatihan tetap singkat dan praktis. Kebijakan lima halaman yang ringkas dengan daftar centang yang didukung oleh contoh-contoh singkat biasanya lebih berguna daripada dokumen 40 halaman yang bertele-tele dan terlalu padat.

Salinan templat:

Karyawan harus menyelesaikan pelatihan keamanan siber selama onboarding dan setidaknya [setahun sekali/dua kali setahun]. Pelatihan akan mencakup keamanan kata sandi, phishing, penanganan data, keamanan perangkat, dan pelaporan insiden.

9. Frekuensi peninjauan kebijakan

Kebijakan keamanan siber harus berubah seiring perubahan bisnis. Sistem baru, pola kerja jarak jauh, vendor, regulasi, dan insiden semuanya dapat membuat aturan lama menjadi tidak lengkap.

Tetapkan:

  • Seberapa sering kebijakan ditinjau
  • Pemilik untuk peninjauan kebijakan keamanan siber
  • Bagaimana perubahan disetujui
  • Bagaimana pembaruan dikomunikasikan
  • Apa yang memicu peninjauan di luar siklus

Salinan templat:

Kebijakan ini akan ditinjau setiap [enam atau 12 bulan] oleh [pemilik]. Kebijakan ini juga harus ditinjau setelah insiden keamanan besar, perubahan sistem yang signifikan, pembaruan regulasi, atau perubahan material dalam operasional bisnis

Mengapa kebijakan keamanan TI untuk bisnis gagal?

Sebagian besar kebijakan keamanan siber gagal karena alasan praktis:

Kebijakan terlalu panjang: Kebijakan keamanan siber bisnis kecil tidak boleh mencoba mencakup setiap skenario yang mungkin terjadi. Jika terlalu panjang, karyawan akan berhenti menggunakannya. Buat tetap ringkas dan tautkan ke prosedur yang lebih mendalam jika diperlukan.

Bahasa terlalu teknis: Karyawan tidak memerlukan latar belakang keamanan untuk mengikuti panduan keamanan siber bisnis. Gunakan bahasa yang sederhana dan ganti istilah teknis dengan penjelasan sehari-hari jika memungkinkan.

Kebijakan hanya disajikan saat onboarding: Jika kebijakan hanya disebutkan sekali selama onboarding, hal itu tidak akan membentuk perilaku sehari-hari. Perkuat kebijakan tersebut melalui pelatihan, pengingat, panduan referensi cepat, dan pembaruan saat proses berubah.

Kebijakan tidak pernah ditinjau: Kebijakan yang ditulis dua tahun lalu mungkin tidak mencerminkan sistem saat ini, praktik kerja jarak jauh, akses vendor, atau ekspektasi regulasi. Tinjau kebijakan tersebut secara berkala.

Kebijakan tidak ditegakkan: Ini adalah alasan paling umum atas kegagalan. Kebijakan dapat menyatakan bahwa kata sandi harus disimpan dengan aman, 2FA harus diaktifkan, atau akses vendor harus dihapus, tetapi aturan tersebut tidak penting jika tidak ada yang mengawasinya. Penegakan berarti menetapkan pemilik, menggunakan kontrol admin jika tersedia, meninjau pengecualian, dan membuat perilaku aman lebih mudah daripada menggunakan pintasan.

Untuk manajemen kata sandi dan akses, Proton Pass for Business dapat membantu mendukung penegakan kebijakan secara operasional. Alat ini memberikan tim brankas terenkripsi, berbagi dengan aman, pembuatan kata sandi, dan visibilitas admin, sehingga bisnis Anda tidak hanya bergantung pada teori. Admin juga dapat memantau kesehatan kata sandi, penggunaan ulang kredensial, dan paparan pembobolan dark web di seluruh organisasi secara aman, tanpa mengetahui kata sandi karyawan.

Bagaimana Proton Pass for Business mendukung penegakan kebijakan

Kebijakan keamanan siber hanya berguna jika bisnis dapat menerapkannya dalam praktik. Aturan kata sandi dan akses adalah contoh yang baik. Dapat ditulis bahwa kata sandi harus unik, dibagikan dengan aman, dan dihapus ketika orang keluar. Namun, jika karyawan masih menggunakan peramban, spreadsheet, pesan obrolan, atau catatan pribadi, kebijakan tersebut mudah diabaikan.

Proton Pass for Business memberikan karyawan cara yang aman untuk membuat, menyimpan, mengisi otomatis, dan membagikan kredensial, sekaligus memberikan visibilitas yang lebih baik kepada admin tentang bagaimana akses dikelola. Hal ini membuat bagian manajemen kata sandi dan akses dari kebijakan Anda lebih mudah diikuti.

Bagi bisnis kecil, manfaatnya sangat praktis. Tidak perlu tim keamanan besar untuk mulai meningkatkan kebersihan kredensial. Pengelola kata sandi bisnis memberikan tim Anda tempat terpusat untuk kredensial kerja, mendukung kolaborasi yang lebih aman, dan membantu mengurangi risiko penggunaan ulang kata sandi atau berbagi tanpa pengawasan.

Kontrol akses adalah salah satu tempat paling praktis untuk mewujudkan kebijakan menjadi tindakan. Ketika kredensial lebih mudah dibuat, disimpan, dibagikan, dan dicabut secara aman, karyawan cenderung tidak akan mengandalkan solusi alternatif yang tidak aman. Manajer juga mendapatkan cara yang lebih jelas untuk mendukung persyaratan kata sandi dan akses dalam operasional sehari-hari.

Tegakkan kebijakan keamanan siber Anda dengan pengelola kata sandi bisnis yang aman seperti Proton Pass for Business.