Menurut Cyber Security Breaches Survey 2025(jendela baru), lebih dari 93% bisnis dan 95% lembaga amal menjadi target serangan phishing pada tahun 2025, dengan banyak organisasi terdampak berkali-kali.

Secara global, jenis data yang paling sering bocor adalah nama dan alamat email (dalam 9 dari 10 pembobolan), diikuti oleh nomor telepon, kata sandi, dan data sensitif, menurut penelitian yang dilakukan untuk Data Breach Observatory.

Bisnis kecil sangat rentan: 1 dari 4 berhasil diretas meskipun telah menerapkan tindakan keamanan siber.


Mengingat semua hal ini, bisnis dan profesional keamanan harus bersiap serta menyadari kewajiban pelaporan mereka guna menjaga operasi tetap aman dan patuh.

Di Inggris Raya, melaporkan pembobolan data pribadi ke Information Commissioner’s Office (ICO) lebih dari sekadar kewajiban hukum; ini adalah prosedur penting yang membentuk kepercayaan publik, melindungi individu, dan memengaruhi dampak pembobolan data bagi organisasi yang terdampak.

Dalam panduan ini, akan dieksplorasi apa saja yang memenuhi syarat sebagai pembobolan yang wajib dilaporkan, bagaimana pembobolan diatur di Inggris Raya, serta langkah-langkah praktis (berdasarkan pengalaman nyata) to help bisnis menangani pelaporan secara langsung.

Apa saja yang memenuhi syarat sebagai pembobolan data di Inggris Raya?

Kapan dan bagaimana cara melaporkan pembobolan data ke ICO

Apa saja tantangan umum dalam pelaporan pembobolan data?

Apa saja praktik terbaik dalam mempersiapkan pelaporan pembobolan?

Bagaimana Proton Pass for Business dapat mengurangi risiko pembobolan

Jaga agar bisnis tetap bersiap

Apa saja yang memenuhi syarat sebagai pembobolan data di Inggris Raya?

Pembobolan data di Inggris Raya merujuk pada insiden keamanan apa pun yang mengakibatkan hilangnya, hancurnya, berubahnya, diungkapkannya secara tidak sah, atau diaksesnya data secara tidak sengaja atau melanggar hukum. Menurut panduan ICO, pembobolan terjadi ketika data disimpan dengan buruk atau terancam bahaya, baik kejadian tersebut disebabkan oleh kesalahan manusia, kerusakan teknis, maupun tindakan kriminal.

Beberapa situasi yang dapat menyebabkan pembobolan data meliputi:

  • Email berisi informasi sensitif yang dikirim ke penerima yang salah
  • Kehilangan atau pencurian perangkat yang menyimpan rincian pribadi yang tidak terenkripsi
  • Penghapusan atau kerusakan file penting yang tidak disengaja
  • Infeksi Malware(jendela baru) yang memungkinkan orang luar untuk mengakses catatan karyawan
  • File fisik hilang atau tertinggal di area publik

Situasi-situasi ini merupakan pengingat penting bahwa pembobolan tidak terbatas pada insiden peretasan. Dalam praktiknya, kesalahan sederhana, seperti faktur yang salah letak atau surat yang salah alamat, bisa sama seriusnya di mata hukum.

Artinya, dampaknya tidak terbatas pada acara besar. Jika ada risiko nyata terhadap hak atau kebebasan orang — seperti pencurian identitas, penipuan, atau kerusakan reputasi — yang muncul, kemungkinan besar akan menghadapi pembobolan yang wajib dilaporkan. Dengan kata lain, kelalaian kecil pun dapat berdampak besar.

Kapan dan bagaimana cara melaporkan pembobolan data ke ICO

Menurut persyaratan ICO(jendela baru), pembobolan data pribadi yang kemungkinan besar menimbulkan risiko terhadap hak dan kebebasan orang wajib dilaporkan dalam waktu 72 jam sejak menyadarinya. Kegagalan untuk melaporkannya dapat mengakibatkan denda hingga 2% dari omzet global karena tidak melapor. Selain itu, denda maksimum untuk pembobolan data di Inggris Raya adalah 4%.

Bagi organisasi yang bertindak sebagai penyedia layanan tepercaya di bawah UK eIDAS(jendela baru), aturan khusus berlaku(jendela baru): jika pembobolan berdampak signifikan pada layanan yang diberikan, ICO harus diberi tahu dalam waktu 24 jam dan pengguna harus diinformasikan sesegera mungkin.

Namun bagaimana cara mengetahui jika pembobolan mencapai ambang batas pelaporan? Uji utamanya adalah risiko. Pertimbangkan: mungkinkah insiden ini menyebabkan kerugian fisik, material, atau nonmaterial bagi individu? Jika jawabannya “mungkin”, tindakan perlu diambil.

Berikut adalah cara melaporkan pembobolan data di Inggris Raya langkah demi langkah:

  1. Identifikasi dan kendalikan pembobolan dengan cepat. Ambil tindakan segera untuk memperkecil kerugian — misalnya, cabut akses, isolasi sistem yang terdampak, atau atur ulang kredensial yang terekspos.
  2. Nilai risikonya. Siapa yang terdampak dan bagaimana caranya? Pertimbangkan jenis dan jumlah data pribadi yang terlibat, seberapa mudah mengidentifikasi individu, serta segala konsekuensi yang mungkin terjadi.
  3. Catat semuanya. Bahkan jika diputuskan untuk tidak melapor, secara hukum wajib untuk menyimpan catatan pembobolan, investigasi yang dilakukan, serta alasan di balik keputusan tersebut.
  4. Lengkapi formulir pelaporan daring ICO. Informasi berikut diperlukan:
    • Deskripsi tentang apa yang terjadi dan bagaimana hal itu dideteksi
    • Tanggal dan waktu penemuan pembobolan
    • Kategori dan perkiraan jumlah individu serta catatan yang terlibat
    • Kemungkinan hasil dan tindakan yang diambil untuk mengatasi isu tersebut
    • Tindakan pencegahan yang telah diterapkan
    • Rincian kontak Petugas Perlindungan Data (DPO) atau penanggung jawab laporan utama
  5. Hubungi individu yang terdampak jika terdapat risiko tinggi terhadap hak atau kebebasan mereka. Ini bukan sekadar praktik terbaik — General Data Protection Regulation (GDPR) dan Data Protection Act mewajibkan tindakan ini.

Karena merupakan persyaratan hukum, bisnis tidak boleh ragu untuk melaporkan acara ini, bahkan jika mereka yakin situasinya dapat diselesaikan. Terlepas dari jenis pembobolan dan ekstensinya, notifikasi yang tepat waktu sebenarnya dapat menunjukkan kepada ICO bahwa perusahaan berkomitmen serius terhadap akuntabilitas dan mitigasi. Terlebih lagi, kepatuhan terhadap persyaratan pelaporan ICO membantu bisnis membangun kepercayaan, baik dengan pelanggan maupun dengan regulator.

Halaman pelaporan pembobolan data pribadi(jendela baru) milik ICO mencakup semua nuansa dan dapat membantu mengidentifikasi situasi kritis serta bertindak sesuai dengan situasi tersebut.

Apa saja tantangan umum dalam pelaporan pembobolan data?

Maupun persyaratan hukum sudah jelas, bisnis sering kali tersandung karena alasan yang sama. Di sinilah masalah biasanya dimulai:

  • Laporan yang tertunda atau terlewat. Terkadang, tim tidak yakin siapa yang bertanggung jawab untuk melapor, atau mereka tidak mendeteksi pembobolan hingga semuanya sudah terlambat. Hasilnya? Sanksi ICO dan kredibilitas yang rusak.
  • Kurangnya informasi lengkap. Melapor terlalu cepat – tanpa mengumpulkan fakta-fakta kunci – dapat menyisakan celah dalam laporan atau memicu pertanyaan tindak lanjut dari ICO.
  • Komunikasi internal yang buruk. Isu-isu sensitif dapat “tertahan” di satu departemen, alih-alih dieskalasikan ke kontak yang sesuai atau DPO.
  • Catatan yang tidak memadai. Beberapa bisnis memiliki sedikit atau bahkan tidak ada bukti tentang bagaimana pembobolan ditangani, bahkan setelah mengatasi isu utama. Hal ini membuat mereka rentan terhadap pengawasan regulasi.
  • Ketidakpastian staf atau kurangnya pelatihan. Jika karyawan tidak tahu apa saja yang memenuhi syarat sebagai pembobolan, atau jika mereka tidak yakin tentang prosedur pelaporan, insiden dapat terlewatkan begitu saja.

Setiap insiden tampak sedikit berbeda, tetapi ketiadaan kerangka respons yang jelas selalu memperburuk keadaan. Inilah sebabnya mengapa panduan pelaporan yang terstruktur sama pentingnya dengan kontrol teknis. Selain itu, perlu diingat bahwa persiapan selalu mengalahkan kepanikan.

Apa saja praktik terbaik dalam mempersiapkan pelaporan pembobolan di Inggris Raya?

Praktik-praktik berikut (dan beberapa alat pilihan) meletakkan fondasi yang kokoh, membuat kepatuhan regulasi tidak lagi menjadi latihan darurat yang menegangkan, melainkan proses yang terkendali.

1. Tetapkan deteksi dan dokumentasi insiden

Semua dimulai dari kesadaran. Siapkan peringatan untuk aktivitas mencurigakan, dan dorong karyawan untuk segera melaporkan email aneh, data yang hilang, atau akses tidak sah. Begitu sebuah insiden dicurigai:

  • Dokumentasikan siapa, apa, di mana, kapan, dan bagaimana
  • Simpan log dan tangkapan layar untuk catatan
  • Pertahankan bukti, bahkan jika nantinya diketahui bahwa itu adalah alarm palsu

Mendokumentasikan rincian awal memastikan adanya fondasi yang kokoh untuk pelaporan dan analisis pascainsiden.

2. Terus tinjau penggunaan akses dan kredensial

Karena kata sandi dan token akses dapat membuka pintu ke data sensitif, mengontrol kredensial adalah salah satu cara tercepat untuk mendeteksi pembobolan dan membatasi kerugian. Audit berkala mengungkapkan kata sandi yang dibagikan atau digunakan kembali, 2FA yang hilang, akun tidak aktif, atau peningkatan hak istimewa yang tidak sah.

Peninjauan akses ini harus bersifat:

  • Diterapkan secara berkala, bukan ad hoc
  • Komprehensif, mencakup akun admin, cloud, sistem lokal, dan vendor
  • Didukung oleh alat yang melacak penggunaan, perubahan, dan aktivitas kredensial dengan log yang mendetail

Proton Pass for Business adalah pengelola kata sandi bisnis yang aman yang menawarkan beberapa fitur untuk membantu bisnis mencegah pembobolan ini, termasuk monitoring kesehatan kata sandi, kebijakan tim yang dapat disesuaikan, dan peringatan pembobolan.

Pendekatan ini, dengan alat yang tepat, mengurangi risiko pembobolan terkait kredensial dan membantu mengidentifikasi dengan cepat apa yang salah jika terjadi insiden.

3. Siapkan alur kerja pelaporan internal

Komunikasi yang jelas mengalahkan kekacauan, dan jalur sederhana untuk eskalasi insiden adalah respons yang dibutuhkan perusahaan untuk pelaporan pembobolan yang efisien. Berikut adalah contoh alur kerja yang lancar:

  • Semua staf melaporkan insiden yang dicurigai ke kotak surat keamanan pusat atau petugas yang bertanggung jawab
  • Dengan informasi yang diserahkan, insiden diselidiki dan dipilah dengan cepat oleh tim khusus
  • Kemudian, individu yang ditunjuk, seperti DPO, memutuskan tentang pembuatan keputusan pelaporan akhir

Alur kerja insiden yang sederhana, yang dibagikan dalam orientasi dan pengingat, memberikan hasil yang luar biasa. Buat pelaporan menjadi mudah dan terapkan budaya bebas stigma karena jika anggota tim takut akan dampak buruknya, mereka akan menyembunyikan kesalahan alih-alih melaporkannya.

4. Investasikan pada kesadaran staf dan pelatihan rutin

The Cyber Security Breaches Survey 2025(jendela baru) mengonfirmasi bahwa phishing tetap menjadi penyebab utama pembobolan (dialami oleh 85% bisnis yang disurvei). Untuk menghadapi kenyataan ini, melatih karyawan untuk mengenali tanda-tanda mencurigakan — dari email yang mencurigakan hingga upaya rekayasa sosial — adalah salah satu tindakan paling murah dan paling efektif.

Pendekatan singkat yang didukung oleh contoh dunia nyata dapat meningkatkan pelatihan. Selain itu, perbarui konten pelatihan sesering mungkin, dan hindari mengandalkan kursus umum yang tidak berlaku untuk industri atau pengaturan organisasi Anda.

5. Nilai dan catat dampak pembobolan secara objektif

Rute terbaik untuk menilai apakah suatu pembobolan perlu dilaporkan adalah melalui penilaian risiko. Sangat penting untuk mendokumentasikan:

  • Jenis data yang hilang, dan apakah data tersebut sensitif (data kesehatan, keuangan, data anak di bawah umur, dll.)
  • Seberapa mudah mengidentifikasi individu yang terdampak
  • Kerugian apa saja yang dapat ditimbulkan (pencurian identitas, rasa malu, kerugian finansial, dll.)

Bertindak lebih awal dan mencatat penilaian yang dilakukan menunjukkan kepada ICO bahwa situasi tersebut ditangani dengan serius.

6. Latih simulasi respons pembobolan

Mengadakan simulasi pembobolan adalah latihan diskusi meja klasik yang mampu memberikan perbedaan nyata. Latihan ini menyoroti celah tersembunyi, mengungkap kendala alur kerja, dan menguji proses eskalasi sebelum peristiwa nyata terjadi.

Hasilnya? Bukan sekadar penguatan kepatuhan, melainkan tim yang tahu apa yang harus dilakukan (dan alasannya) di bawah tekanan.

7. Manfaatkan manajemen akses yang aman dan alat yang berfokus pada pencegahan

Kata sandi yang disusupi tetap menjadi risiko utama. Itulah sebabnya manajemen kata sandi yang aman bukan merupakan bagian inti dari pencegahan dan respons insiden. Solusi seperti Proton Pass for Business sangat membatasi paparan selama pembobolan terjadi dengan mengotomatiskan rotasi kredensial, memonitor kesehatan kata sandi, dan mempersulit phishing untuk berhasil.

Strategi lebih lanjut dan penjelasan alat dapat dieksplorasi di sumber daya keamanan siber Proton, terutama jika sedang meninjau perangkat alat Anda sendiri.

Bagaimana Proton Pass for Business Dapat Mengurangi Risiko Pembobolan

Bisnis dengan berbagai ukuran rentan terhadap pembobolan data. Faktanya, menurut penelitian yang dilakukan oleh Proton, UKM mungkin merupakan yang paling rentan dari semuanya. Namun dengan alat yang tepat, bisnis apa pun dapat mengurangi risiko pembobolan mereka: Proton Pass for Business mengatasi tantangan teknis dan kepatuhan.

  • Enkripsi end-to-end melindungi kredensial pengguna saat disimpan dan dalam transit. Bahkan jika infrastruktur disusupi, data tetap tidak dapat diakses oleh penyerang.
  • Pemeriksaan Kesehatan Kata Sandi meningkatkan keamanan jaringan bisnis. Kata sandi yang lemah atau digunakan kembali diidentifikasi dan dinotifikasi untuk meningkatkan keamanan.
  • Monitoring Dark Web melacak kredensial yang bocor dan mengirimkan peringatan. Pemindaian aktif di seluruh dark web memungkinkan identifikasi pembobolan dan pengurangan potensi kerusakan.
  • Kebijakan tim yang dapat disesuaikan dan ditegakkan menciptakan manajemen kata sandi yang lebih kuat. Kebijakan kata sandi, 2FA, dan berbagi data yang ketat serta adaptif menegakkan keamanan akses sesuai dengan kebutuhan organisasi.
  • Alat admin pusat, pelaporan otomatis, dan kontrol berbagi kredensial membuat perubahan dapat diterapkan dalam hitungan menit, bukan hari.
  • Kode open-source dan audit independen berkala membangun kepercayaan. Kontrol keamanan bukan sekadar klaim – kontrol tersebut dapat diverifikasi oleh siapa saja.

Dengan berfokus pada pemberdayaan pengguna, keamanan terbuka, dan kemudahan penerapan, Proton sejalan dengan pendekatan yang mengutamakan privasi. Hal ini membantu membangun budaya tempat kerja di mana ketahanan terhadap pembobolan tertanam ke dalam alur kerja sehari-hari.

Bagi organisasi yang siap beralih ke manajemen akses yang aman sebagai bagian dari program kesiapan pembobolan, pengelola kata sandi bisnis Proton adalah pilihan yang tepat; terutama jika kepatuhan, kegunaan, dan transparansi menempati posisi tinggi dalam daftar periksa.

Sebagai contoh, Novalytica membagikan banyak kredensial masuk dengan klien dan sedang mencari cara yang aman untuk melakukan tugas tersebut. Proton Pass for Business mengatasi kebutuhan mereka dengan solusi lengkap untuk membagikan informasi dan kredensial masuk dengan pelanggan, memastikan keamanan serta ketertelusuran.

Jika tertarik pada tips praktis untuk memperkenalkan kredensial yang aman dan pelaporan pembobolan dalam skala besar, jelajahi juga beberapa contoh mendetail di halaman sumber daya bisnis untuk keamanan siber Proton.

Jaga agar Bisnis Tetap Bersiap

Mengetahui cara mengajukan laporan pembobolan data di Inggris Raya adalah kunci bagi kepatuhan, kepercayaan, dan kelangsungan hidup bisnis. Perbedaan antara bencana yang merugikan dan insiden yang dikelola dengan baik sering kali terletak pada persiapan, komunikasi, serta penggunaan perpaduan yang tepat antara manusia, proses, dan teknologi yang aman.

Membangun alur kerja internal yang jelas, melatih simulasi insiden, serta memprioritaskan alat yang aman seperti Proton Pass for Business, merupakan tindakan efektif yang membantu memenuhi tenggat waktu pelaporan atau menghindari denda. Selain itu, praktik baik ini memperkuat tata kelola di setiap tingkat, membangun akuntabilitas, dan meyakinkan pelanggan serta ICO bahwa perusahaan serius dalam melakukan hal yang benar, bahkan di momen-momen sulit.

Jika ingin selangkah lebih maju, pelajari lebih lanjut tentang misi Proton untuk kebebasan digital dan lihat bagaimana alat yang mengutamakan privasi dapat membantu bisnis Anda. Silakan jelajahi solusi kami untuk perusahaan dan bergabunglah dengan gerakan yang menempatkan manusia — bukan sekadar keuntungan — sebagai pusat keamanan siber.

Pertanyaan yang Sering Diajukan tentang Pembobolan Data di Inggris Raya

Apa yang dimaksud dengan pembobolan data di Inggris Raya?

Pembobolan data di Inggris Raya adalah insiden apa pun di mana data pribadi hilang, diungkapkan, diubah, atau diakses tanpa izin, baik hal ini terjadi karena kecelakaan, serangan siber, atau kelalaian. Hal ini penting jika terdapat risiko terhadap hak atau kebebasan orang: ini adalah ambang batas untuk memutuskan apakah wajib melaporkan pembobolan tersebut ke Information Commissioner’s Office (ICO).

Bagaimana cara melaporkan pembobolan data ke ICO?

Formulir pelaporan daring ICO harus digunakan dengan memberikan rincian utama tentang pembobolan: apa yang terjadi, kapan, berapa banyak orang dan catatan yang terlibat, serta langkah apa saja yang telah diambil atau berencana diambil untuk membatasi dampak buruknya. Petugas Perlindungan Data organisasi atau pejabat bertanggung jawab lainnya biasanya harus menyerahkan laporan dalam waktu 72 jam sejak ditemukan (24 jam bagi organisasi yang bertindak sebagai penyedia layanan tepercaya di bawah UK eIDAS).

Kapan ICO harus diberi tahu tentang pembobolan?

ICO harus diberi tahu sesegera mungkin, dan selambat-lambatnya 72 jam setelah menyadari pembobolan, jika insiden tersebut kemungkinan besar membahayakan hak dan kebebasan orang. Kegagalan untuk memenuhi tenggat waktu ini dapat mengakibatkan sanksi regulasi tambahan dan hilangnya kepercayaan publik.

Informasi apa saja yang diperlukan untuk melaporkan pembobolan?

ICO meminta deskripsi lengkap tentang pembobolan, waktu dan tanggal penemuan, sifat serta volume data pribadi yang terdampak, jumlah individu atau catatan yang terdampak, kerugian apa saja yang mungkin timbul, dan tindakan yang diambil untuk mengendalikan pembobolan. Titik kontak untuk tindak lanjut juga diperlukan. Jika semua informasi tidak tersedia dalam waktu 72 jam, laporan harus tetap diserahkan, kemudian memperbarui ICO nanti ketika memiliki lebih banyak rincian.

Apakah semua pembobolan data wajib dilaporkan ke ICO?

Tidak, tidak setiap pembobolan wajib dilaporkan. Hanya laporkan insiden yang melibatkan data pribadi dan terdapat risiko nyata terhadap hak atau kebebasan orang lain. Namun, pembobolan yang tidak wajib dilaporkan pun harus dicatat dalam log secara internal jika ICO meninjau catatan di masa mendatang.