Kesalahan manusia dalam keamanan siber tercipta akibat ketegangan antara cara kerja manusia dan cara kerja sistem. Kata sandi kerja digunakan kembali ketika orang diharapkan mengingat terlalu banyak hal. Kredensial dikirimkan melalui obrolan saat tidak ada cara yang disetujui untuk membagikannya dengan cepat. Akses berisiko tetap terbuka ketika offboarding bergantung pada ingatan seseorang tentang setiap akun yang digunakan seseorang.

Pilihan yang tidak aman jarang dilakukan secara sengaja. Hal ini biasanya terjadi karena jalur yang lebih aman lebih lambat, membingungkan, atau tidak tersedia saat dibutuhkan. Tekanan sehari-hari, seperti mengejar tenggat waktu, masuk dari perangkat baru, atau mendapatkan akses cepat ke alat kerja, dapat mendorong orang untuk mengambil pintasan yang lebih berisiko.

Keamanan tidak seharusnya hanya mengandalkan karyawan untuk mengingat aturan atau membuat pilihan yang tepat setiap saat. Pelatihan memiliki peran penting, tetapi perlu diperkuat dengan alat, pengaturan bawaan, dan rutinitas yang membuat perilaku aman menjadi lebih mudah dalam pekerjaan sehari-hari.

Kesalahan manusia dalam keamanan siber bukan hanya masalah karyawan

Kesalahan manusia adalah salah satu risiko paling persisten dalam keamanan siber bisnis karena menyatu dengan pekerjaan sehari-hari dan tidak dapat dengan mudah ditambal layaknya bug perangkat lunak. Kesalahan ini dapat muncul dalam bentuk kata sandi yang digunakan kembali di berbagai platform, tautan yang dibuka dalam email yang meyakinkan, izin yang diberikan terlalu luas, atau kredensial yang dibagikan secara tidak resmi.

Laporan Cost of a Data Breach Report(jendela baru) dari IBM memperkuat dampak kegagalan keamanan terhadap bisnis. Laporan tahun 2025 tersebut menempatkan rata-rata biaya global dari pembobolan data sebesar USD 4,4 juta dan menyoroti keamanan identitas sebagai area utama untuk diambil tindakan. Bagi bisnis, kesimpulannya adalah: Kontrol teknis dapat mengurangi risiko, tetapi tidak dapat menghilangkan keputusan manusia yang dieksploitasi oleh penyerang saat orang berinteraksi dengan sistem, akun, dan titik akses.

Kesalahan manusia menjadi lebih serius ketika bisnis tidak memiliki cara yang andal untuk mengatasinya. Kata sandi yang digunakan kembali, klik yang tidak disengaja, atau akun dengan izin berlebih dapat terjadi di perusahaan mana pun. Kerusakan bertambah parah saat tidak ada monitoring, persyaratan autentikasi dua faktor (2FA), tinjauan akses, atau proses pelaporan yang jelas. Dalam kasus seperti itu, kesalahan pertama mungkin dilakukan oleh seseorang, tetapi paparan yang sebenarnya berasal dari celah di sekitarnya.

Kesalahan umum manusia dalam keamanan siber

Kesalahan keamanan siber karyawan biasanya terlihat biasa dari sudut pandang internal karena itu hanyalah keputusan kecil yang dibuat di sela-sela hari kerja yang sibuk.

Contoh umumnya meliputi:

Penggunaan kembali kata sandi: Karyawan menggunakan kembali kata sandi yang familier karena membuat dan mengingat kata sandi baru bisa menyulitkan.

Mengklik tautan phishing: Pesan terlihat cukup sah, tiba di waktu yang tepat, atau tampak berasal dari kontak tepercaya.

Membagikan kredensial secara informal: Rekan kerja membutuhkan akses, sehingga seseorang mengirimkan kata sandi melalui obrolan, email, atau dokumen bersama melalui kanal tidak aman yang tidak disetujui.

Memberikan terlalu banyak akses: Pengguna menerima izin yang luas karena lebih cepat daripada menyiapkan akses yang terbatas pada peran atau tanggung jawab khusus mereka (prinsip hak istimewa paling rendah)..

Mengabaikan perintah pembaruan: Perangkat atau peramban meminta pembaruan, tetapi karyawan menundanya untuk menghindari gangguan kerja.

Menggunakan alat shadow IT: Tim mengadopsi alat tanpa persetujuan TI karena alternatif yang disetujui lebih lambat, tidak memiliki fitur tertentu, atau tidak diketahui.

Ketika opsi yang aman menimbulkan hambatan atau menyela tugas, orang cenderung mengambil pintasan agar pekerjaan tetap berjalan. Keamanan siber perlu mempertimbangkan bagaimana orang sebenarnya berperilaku, bukan hanya bagaimana seharusnya.

Kebijakan yang bergantung pada perhatian tanpa batas, ingatan yang sempurna, dan kewaspadaan terus-menerus terhadap ancaman keamanan kemungkinan besar tidak akan berhasil.. Orang dapat membuat keputusan yang buruk saat melakukan beberapa tugas sekaligus, sering kali tanpa semua informasi yang diperlukan untuk mengenali risiko keamanan siber. Jika bisnis menginginkan perilaku yang lebih aman, buatlah kebijakan keamanan siber berdasarkan cara kerja nyata para karyawan.

Pelatihan saja tidak dapat mengatasi kesalahan manusia

Pelatihan sangat membantu. Karyawan perlu mengetahui cara kerja phishing, bagaimana penggunaan kembali kata sandi dapat mengekspos bisnis terhadap serangan credential stuffing, cara melaporkan aktivitas mencurigakan, dan apa yang diharapkan perusahaan dari mereka. Bisnis tanpa kesadaran keamanan sama sekali membuat orang-orang tidak memiliki konteks.

Namun, pelatihan saja tidak cukup karena tidak dapat mengatasi kompromi antara keamanan dan kenyamanan. Jika jalur yang aman lebih sulit daripada yang tidak aman, karyawan mungkin lebih memilih pintasan. Bukan karena mengabaikan pelatihan, melainkan karena lingkungan kerja menghargai kecepatan, sifat responsif, dan penyelesaian tugas.

Seseorang mungkin tahu bahwa mereka tidak boleh menggunakan kembali kata sandi, tetapi tetap melakukannya jika tidak memiliki pengelola kata sandi. Orang-orang mungkin tahu untuk tidak membagikan kredensial dalam obrolan, tetapi tetap melakukannya jika tidak ada cara mudah untuk membagikan akses dengan cepat. Mereka mungkin paham bahwa autentikasi dua faktor lebih aman, tetapi memilih untuk melewatinya jika pendaftaran bersifat opsional dan tidak ada tindak lanjut.

Sesi pelatihan dapat menjelaskan risiko yang ada, tetapi tidak dapat menghapus kenyamanan tersebut. Itulah sebabnya keamanan harus diintegrasikan ke dalam alur kerja. Desain keamanan yang baik mengurangi momen ketika karyawan harus membuat keputusan berisiko tinggi sendiri. Desain ini memberikan bawaan yang lebih aman, petunjuk yang lebih jelas, dan mengurangi alasan untuk berimprovisasi.

Jadikan perilaku aman sebagai bawaan

Cara paling efektif untuk mengurangi kesalahan manusia adalah dengan menghapus peluang terjadinya kesalahan yang tidak perlu. Pengelola kata sandi bisnis adalah alat yang sangat baik untuk karyawan dan bisnis, karena dapat membuat pekerjaan sehari-hari menjadi lebih mudah sekaligus lebih aman. Tanpanya, karyawan harus membuat, mengingat, dan mengetik sendiri kata sandi mereka.

Hal itu menciptakan celah untuk kata sandi yang lemah, penggunaan kembali, lupa info masuk, dan penyimpanan yang tidak aman. Dengan Proton Pass for Business, kata sandi yang kuat dapat dibuat, disimpan dengan aman, dan diisi secara otomatis saat dibutuhkan.

Isi otomatis juga mengurangi risiko karena mencegah serangan phishing. Ketika kredensial terikat dengan situs web yang benar, alat tersebut mendukung perilaku yang lebih aman tanpa meminta karyawan memeriksa setiap tautan berdasarkan ingatan.

Berbagi kata sandi secara aman bekerja dengan cara yang sama. Jika opsi yang disetujui cepat dan mudah, alasan untuk menempelkan kredensial ke dalam obrolan menjadi berkurang. Jika akses dapat dibagikan melalui brankas terenkripsi, bisnis dapat mengurangi aktivitas berbagi secara informal sekaligus membantu tim bekerja dengan cepat.

Penerapan 2FA secara wajib menghapus titik keputusan lainnya. Ketika 2FA bersifat opsional, karyawan mungkin menunda pengaturan atau menonaktifkannya jika dirasa tidak praktis. Namun, ketika diterapkan secara wajib, bisnis tetap terlindungi

Ini adalah prinsip desain di balik pengurangan risiko pembobolan data akibat kesalahan manusia: Jangan pernah mengandalkan orang untuk memilih dengan sempurna dalam kondisi yang tidak sempurna. Sebaliknya, bangunlah sistem yang membuat pilihan yang lebih aman menjadi jalur dengan hambatan terkecil.

Proton Pass for Business membantu bisnis mengubah perilaku aman menjadi bawaan dengan mempermudah penggunaan kata sandi yang kuat, berbagi yang aman, isi otomatis, dan kontrol kredensial dalam pekerjaan sehari-hari.

Mengapa kesalahan kredensial menyebar begitu cepat

Kesalahan kredensial jarang sekali tetap terbatas ketika terjadi. Jika seseorang menggunakan kembali kata sandi, risikonya tidak terbatas pada akun yang mereka buat hari itu saja. Jika, misalnya, kata sandi yang sama melindungi platform keuangan, layanan cloud, atau konsol admin, satu kebiasaan buruk dapat mengekspos sistem yang saling terhubung.

Hal yang sama berlaku untuk akses yang dibagikan. Dalam tim kecil, mengirimkan informasi masuk kepada rekan kerja mungkin terasa tidak berbahaya, terutama saat pekerjaan sedang berjalan cepat. Namun, begitu kredensial tersebut keluar dari sistem yang disetujui, bisnis akan kehilangan konteks: siapa yang memilikinya, di mana kredensial tersebut disalin, apakah disimpan di tempat lain, dan apakah akses tersebut masih harus ada beberapa minggu kemudian.

Manajemen kredensial adalah cara praktis dan efektif untuk mengurangi risiko kesalahan manusia dalam keamanan siber. Langkah ini memberikan kontrol lebih bagi bisnis terhadap apa yang terjadi setelah kesalahan dilakukan:

  • Kata sandi yang kuat dan unik mengurangi penggunaan kembali.
  • Brankas terenkripsi menjauhkan akses dari kanal tidak aman yang tidak disetujui, seperti obrolan dan spreadsheet.
  • 2FA mengurangi risiko penyalahgunaan kata sandi yang dicuri untuk mengakses akun.
  • Tinjauan akses membantu mengidentifikasi dan mencabut kredensial yang tidak lagi diperlukan.

Panduan perlindungan pembobolan data untuk bisnis kami menjelaskan bagaimana kontrol berlapis mengurangi paparan sebelum pembobolan terjadi. Untuk kredensial, lapisan-lapisan tersebut penting karena kata sandi sering kali menjadi perantara antara pekerjaan biasa dan sistem sensitif. Hal ini sangat relevan untuk perusahaan rintisan dan tim yang lebih kecil, di mana kecepatan sering kali menentukan cara akses dibagikan.

Perusahaan rintisan teknologi yang mencari kiat keamanan juga dapat belajar dari kesalahan umum keamanan siber yang dilakukan bisnis di awal pendiriannya serta langkah-langkah yang dapat diambil untuk menghindarinya.

Akses tidak seharusnya bergantung pada ingatan

Kesalahan manusia menjadi lebih mungkin terjadi ketika keamanan siber bergantung pada karyawan yang mengingat terlalu banyak rincian. Pekerjaan modern dapat melibatkan puluhan akun, kata sandi, aturan akses, dan petunjuk keamanan yang tersebar di berbagai alat. Pendekatan yang lebih baik adalah mengurangi beban tersebut sedapat mungkin dengan membangun proses yang aman ke dalam alat dan alur kerja yang sudah digunakan karyawan. d. Model yang lebih baik adalah mengurangi pekerjaan mengingat sedapat mungkin.

Dengan pengelola kata sandi bisnis yang aman, tim dapat membuat kata sandi yang kuat, menyimpan kredensial dalam brankas terenkripsi, menggunakan isi otomatis, membagikan akses dengan aman, mengelola kunci sandi, dan menggunakan autentikasi dua faktor bawaan. Fitur admin seperti kebijakan kata sandi, pelaporan, log, kontrol akses berbasis peran, provisi SCIM, dan integrasi SSO membantu bisnis mengelola kredensial dengan mengurangi ketergantungan pada kebiasaan informal.

Alat yang tepat mengubah cara kerja. Ketika orang memiliki cara yang disetujui untuk membuat, menyimpan, dan membagikan kredensial, bisnis tidak perlu lagi mengandalkan semua orang untuk menciptakan solusi alternatif mereka sendiri.

Tinjau sistem di sekitar kesalahan

Ketika karyawan melakukan kesalahan keamanan siber (seperti mengompromikan kata sandi), bisnis perlu mempertimbangkan sistem yang memungkinkan terjadinya kesalahan tersebut lalu memperbaiki kondisi tersebut.

Berikut beberapa pertanyaan yang perlu diajukan:

  • Apakah karyawan menggunakan kata sandi yang lemah karena bisnis tidak memiliki pengelola kata sandi?
  • Apakah kredensial dibagikan dalam obrolan karena tidak ada proses berbagi yang disetujui?
  • Apakah seseorang tetap memiliki akses setelah berganti peran karena proses offboarding yang tidak jelas?
  • Apakah pembaruan tertunda karena orang-orang tidak diberi waktu untuk memulai ulang perangkat dengan aman?

Karyawan mungkin memerlukan dukungan atau panduan, dan kelalaian serius mungkin memerlukan konsekuensi, tetapi bisnis juga perlu memperbaiki alur kerja, kebijakan, atau celah fitur yang memungkinkan risiko tersebut muncul.

Laporan keamanan siber SMB kami dapat membantu bisnis memahami cara perusahaan kecil dan menengah memikirkan risiko dan kontrol keamanan siber. Bagi banyak orang, tantangannya adalah mengubah kesadaran menjadi proses yang sesuai dengan pekerjaan nyata.

Cara praktis untuk mengurangi kesalahan manusia dalam keamanan siber

Mengurangi kesalahan manusia dalam keamanan siber membutuhkan lingkungan yang lebih baik untuk keputusan sehari-hari. Mulailah dengan area di mana kesalahan paling sering terjadi dan paling merusak:

  • Gunakan pengelola kata sandi bisnis⁠ agar karyawan tidak harus membuat, mengingat, atau menyimpan kata sandi secara manual.
  • Terapkan kebijakan kata sandi yang ketat dan dorong penggunaan kata sandi yang dibuat otomatis untuk akun bisnis.
  • Aktifkan 2FA untuk sistem sensitif dan wajibkan di area dengan risiko tertinggi.
  • Gantikan berbagi kredensial secara informal dengan berbagi brankas terenkripsi.
  • Tinjau akses ketika orang bergabung, keluar, berganti peran, atau menyelesaikan proyek.
  • Pastikan perangkat lunak, peramban, dan perangkat tetap diperbarui dengan ekspektasi yang jelas seputar perintah pembaruan.
  • Buat proses pelaporan sederhana untuk email mencurigakan, klik yang salah, dan nyaris celaka.
  • Diskusikan kesalahan tanpa menyalahkan agar karyawan melaporkan isu sebelum berkembang menjadi lebih serius.

Hasil terkuat diperoleh ketika bisnis berhenti memperlakukan kesalahan manusia hanya sebagai isu pelatihan semata. Karyawan membutuhkan panduan, tetapi mereka juga memerlukan proses yang mudah diikuti, fitur keamanan yang mengurangi pintasan berisiko, dan budaya di mana melaporkan kesalahan diperlakukan sebagai bagian dari perlindungan perusahaan, bukan kegagalan yang harus disembunyikan.

Jadikan perilaku aman lebih mudah daripada pintasan

Kesalahan manusia akan selalu menjadi bagian dari keamanan siber karena manusia akan selalu menjadi bagian dari bisnis. Mereka akan selalu perlu membuka pesan, menyetujui akses, membuat akun, membagikan file, menginstal pembaruan, dan membuat keputusan. Keamanan siber bisnis tidak dapat begitu saja mengandalkan orang-orang untuk melakukan tindakan yang benar secara konsisten, kecuali jika tindakan tersebut juga merupakan tindakan yang paling mudah.

Bagi UKM, perubahan paling bermanfaat adalah melihat di mana pintasan mulai menjadi bagian dari alur kerja. Pola-pola tersebut menunjukkan bagian mana dari jalur kerja karyawan yang dapat dirancang ulang oleh bisnis: buat kredensial kuat lebih mudah dibuat, simpan akses di dalam brankas terkontrol, wajibkan perlindungan yang lebih kuat di area dengan risiko lebih tinggi, dan jadikan pelaporan terasa seperti langkah keamanan biasa.

Dengan pengelola kata sandi bisnis, tim dapat membuat kebiasaan kredensial yang aman lebih mudah diikuti dalam pekerjaan sehari-hari.