Sebagian besar organisasi memahami bahwa manusia memainkan peran penting dalam risiko siber. Jauh lebih sedikit yang telah membangun program pelatihan kesadaran keamanan atau mengadopsi pengelola kata sandi bisnis, yang dapat benar-benar mengubah perilaku.

Risiko keamanan yang terkait dengan manusia jarang sekali berupa satu insiden dramatis. Secara realistis, risiko tersebut muncul dalam momen biasa: seorang karyawan mengklik email phishing yang meyakinkan, menggunakan kembali kata sandi di berbagai alat bisnis, membagikan informasi masuk di obrolan, atau mengabaikan permintaan autentikasi dua faktor (2FA) karena terasa seperti gangguan alih-alih langkah perlindungan.

Seiring waktu, keputusan sehari-hari tersebut menentukan kerentanan organisasi. Di Inggris Raya, gambaran ancaman yang lebih luas membuat hal itu tidak mungkin dianggap sebagai isu kecil. Laporan pemerintah Inggris Raya Cyber Security Breaches Survey 2025(jendela baru) menemukan bahwa setengah dari bisnis mengalami insiden keamanan siber atau pembobolan dalam 12 bulan sebelumnya, dan phishing tetap menjadi jenis kejahatan siber yang paling umum di antara bisnis yang terdampak.

Bagi para pemimpin SDM, CISO, COO, manajer TI, dan tim keamanan, hal itu membuat pelatihan kesadaran keamanan jauh lebih penting daripada sekadar latihan kepatuhan. Ini adalah cara bisnis mengurangi risiko yang dapat dicegah. Tantangannya adalah banyak program yang masih dibangun hanya untuk menyelesaikan latihan, bukan benar-benar mengubah perilaku. Anggota tim menonton video tahunan, mencentang kotak, dan kembali ke kebiasaan yang sama yang memicu risiko tersebut sejak awal.

Pendekatan yang lebih efektif memperlakukan kesadaran sebagai bagian dari budaya kerja. Hal ini diperkuat seiring waktu, dibentuk oleh peran, didukung oleh kebijakan yang dapat digunakan, dan dibantu oleh alat yang membuat pilihan aman lebih mudah diikuti.

Akan dijelaskan seperti apa program kesadaran keamanan yang efektif sebenarnya, mengapa begitu banyak organisasi salah menerapkannya, dan bagaimana membangun program yang meningkatkan perilaku sehari-hari alih-alih sekadar mendokumentasikan bahwa pelatihan telah dilakukan.

Mengapa pelatihan kesadaran keamanan gagal di sebagian besar organisasi

Pelatihan kesadaran keamanan sering kali gagal karena diperlakukan sebagai suatu acara, bukan sebagai sebuah sistem. Di banyak organisasi, program tersebut hanya terdiri dari modul kepatuhan tahunan, kuis singkat, dan sedikit hal lainnya. Staf diharapkan untuk menyerap saran generik sekali setahun lalu menerapkannya secara konsisten di ratusan alur kerja, alat, dan keputusan di dunia nyata. Ini saja tidak cukup untuk mengubah perilaku secara berkelanjutan.

Masalahnya bukan karena pelatihan kesadaran kurang bernilai. Melainkan karena banyak program yang sudah usang atau terlalu terpisah dari cara orang-orang benar-benar bekerja. Program tersebut mengandalkan pengingat abstrak, sementara risiko nyata muncul di kotak masuk, drive yang dibagikan, atur ulang kata sandi, permintaan mendesak dari manajer, dan keputusan akses sehari-hari. Jika pelatihan tidak meniru apa yang benar-benar dilihat atau dilakukan orang-orang setiap hari, mereka tidak mungkin mengingat atau menerapkannya.

Program pelatihan harus mencakup pelatihan induksi dan penyegaran untuk semua staf tentang perlindungan data dan tata kelola informasi, sementara peningkatan kesadaran harus menggunakan metode komunikasi rutin untuk menjaga agar tata kelola informasi, perlindungan data, dan keamanan informasi tetap terlihat seiring waktu. Hal itu menunjukkan model yang berkelanjutan alih-alih intervensi tahunan tunggal.

Alasan lain mengapa program gagal adalah karena program tersebut terlalu sempit berfokus pada apa yang tidak boleh dilakukan karyawan, sambil mengabaikan akar penyebab kebiasaan buruk. Meminta staf untuk tidak menggunakan kembali kata sandi memang membantu dalam teori, tetapi tidak banyak berguna jika bisnis tidak memberi mereka cara yang aman dan praktis untuk membuat, menyimpan, dan membagikan kredensial. Memberitahu mereka cara mengenali phishing memang berguna, tetapi kurang efektif jika pelaporan pesan mencurigakan tidak jelas atau rumit.

Seperti apa rupa program kesadaran keamanan yang nyata

Program kesadaran keamanan yang nyata bukanlah sesuatu yang diselesaikan sekali oleh karyawan lalu dilupakan. Ini adalah serangkaian kebiasaan, harapan, dan perlindungan berkelanjutan yang membantu orang-orang membuat keputusan keamanan yang lebih baik dari waktu ke waktu.

Ini dimulai dengan kesinambungan. Gunakan sumber daya pelatihan yang dirancang untuk melengkapi kebijakan dan prosedur yang ada. Pelatihan tersebut harus mencakup area praktis seperti kata sandi yang kuat, praktik terbaik BYOD, phishing, dan pelaporan insiden. Perpaduan tersebut berguna karena kesadaran yang efektif tidak berhenti pada satu topik saja. Hal itu harus mencerminkan seluruh rangkaian tindakan rutin yang membentuk keamanan di tempat kerja yang nyata.

Namun kesinambungan saja tidak cukup. Program ini juga perlu mencerminkan perbedaan nyata dalam cara tim menghadapi risiko.

Program yang efektif juga harus spesifik berdasarkan peran. Anggota tim keuangan yang menangani permintaan pembayaran tidak menghadapi risiko sehari-hari yang sama seperti manajer pemasaran yang membagikan akun sosial, atau pimpinan SDM yang mengelola catatan karyawan. Saran generik memang ada gunanya, tetapi akan berfungsi lebih baik jika diikuti oleh pelatihan yang relevan dengan sistem, data, dan pola serangan yang paling relevan untuk setiap grup.

Komponen berikutnya adalah praktik. Karyawan tidak mengembangkan penilaian yang lebih baik hanya dengan membaca aturan. Mereka meningkat melalui paparan berulang terhadap skenario realistis: simulasi phishing, latihan pelaporan, tinjauan akses, dan pengingat singkat yang terkait dengan alat atau alur kerja yang sebenarnya. Simulasi serangan sangat berguna karena menguji apakah program memengaruhi perilaku di momen-momen penting, bukan hanya dalam lingkungan kuis.

Kebijakan keamanan dan kata sandi yang jelas juga sama pentingnya. Staf perlu mengetahui bagaimana kredensial harus dibuat, tersimpan, dibagikan, dan dihapus ketika tidak lagi dibutuhkan, bagaimana pesan yang mencurigakan harus dilaporkan, kapan 2FA diperlukan, dan apa yang harus dilakukan jika mereka merasa telah melakukan kesalahan.

Akhirnya, program yang nyata memperlakukan keamanan sebagai norma tempat kerja yang dibagikan, bukan sekadar perhatian TI khusus. Itu berarti manajer memperkuatnya, pemimpin memberi teladan, dan tim membicarakannya sebagai bagian dari cara organisasi beroperasi sehari-hari. Membangun budaya semacam itu membutuhkan lebih dari sekadar dokumen kebijakan, tetapi merupakan salah satu cara terkuat untuk mengurangi kesalahan manusia yang berulang dari waktu ke waktu.

Panduan Proton tentang budaya keamanan siber bisnis kecil di tempat kerja sangat membantu di sini karena membingkai kesadaran bukan sebagai kampanye berbasis rasa takut, melainkan sebagai bagian dari cara bisnis bekerja setiap hari.

Mengapa phishing dan penyalahgunaan kredensial harus menjadi pusat dari program

Jika program kesadaran keamanan mencoba mencakup semuanya secara setara, program tersebut dapat kehilangan fokus. Sebagian besar organisasi akan lebih terbantu dengan memulai dari risiko yang paling mungkin menimbulkan kerusakan nyata.

Phishing berada di dekat bagian atas daftar tersebut. Laporan pemerintah Inggris Raya Cyber Security Breaches Survey 2025 menemukan bahwa phishing tetap menjadi jenis vektor serangan yang paling umum di antara bisnis yang mengalami kejahatan siber, yang berdampak pada 93% dari bisnis tersebut. Hal ini mencerminkan realitas yang lebih luas di berbagai bisnis Inggris Raya, dengan phishing yang tetap menjadi salah satu metode serangan yang paling umum.

Phishing jarang berakhir pada pesan itu sendiri. Di banyak organisasi, kerusakan nyata dimulai setelah kredensial yang dicuri digunakan untuk mengakses akun, mengeksploitasi penggunaan kembali kata sandi, masuk ke sistem lain, atau memanfaatkan masuk yang dibagikan yang tidak pernah dikendalikan secara ketat.

Bisnis perlu menggunakan pendekatan berlapis. Penyerang harus dibuat lebih sulit untuk menjangkau pengguna dan pengguna harus dibuat lebih mudah untuk mengidentifikasi serta melaporkan pesan phishing yang dicurigai. Hal itu melindungi organisasi dari dampak email phishing yang tidak terdeteksi dan membantu mereka merespons insiden dengan cepat.

Program kesadaran keamanan yang kuat harus mencerminkan logika yang sama. Karyawan harus mampu mengenali perilaku mencurigakan, tetapi mereka juga memerlukan kontrol di sekitarnya yang mengurangi dampak dari satu kesalahan.

Di sinilah higienitas kredensial menjadi sangat penting. Melatih staf untuk menghindari kata sandi yang lemah atau digunakan kembali memang berguna, tetapi akan jauh lebih efektif jika didukung oleh alat yang mengurangi ketergantungan pada ingatan dan membuat penggunaan kredensial yang aman lebih mudah dalam praktiknya. Pola pikir pencegahan yang lebih luas ini juga dibahas dalam panduan tentang pencegahan pembobolan data untuk bisnis, yang menekankan peran kontrol praktis dalam mengurangi kerentanan yang dapat dihindari.

Peran alat bantu dalam mengurangi risiko manusia

Kesadaran keamanan hanyalah sebagian dari gambaran keseluruhan. Orang-orang jauh lebih mungkin mengikuti praktik yang aman ketika praktik tersebut cocok secara alami dengan cara mereka bekerja. Jika opsi paling aman juga merupakan opsi yang paling mudah digunakan, adopsi akan jauh lebih konsisten. Jika terasa lambat, canggung, atau sulit digunakan, karyawan yang berniat baik sekalipun akan mulai mencari pintasan.

Manajemen kata sandi adalah salah satu contoh paling jelas. Organisasi sering kali memberi tahu staf untuk membuat kata sandi yang kuat dan unik, menggunakan 2FA, dan menghindari membagikan informasi tersebut. Namun, kecuali jika karyawan diberikan cara praktis untuk melakukannya, instruksi tersebut tetap hanya menjadi aspirasi. Mereka akan kembali ke kata sandi yang mudah diingat dan mudah, penyimpanan peramban, spreadsheet, aplikasi catatan, atau alat perpesanan karena opsi-opsi tersebut terasa lebih cepat saat itu.

Sebuah pengelola kata sandi bisnis membantu menutup celah tersebut. Proton Pass for Business dirancang untuk mempermudah pembuatan, penyimpanan, dan membagikan kata sandi yang aman di berbagai tim, sekaligus memberikan kontrol yang lebih kuat kepada organisasi atas praktik kredensial. Kemampuan ini membantu karyawan membuat dan melakukan isi otomatis pada kata sandi yang kuat dan unik, menggunakan 2FA di berbagai akun, dan melindungi kredensial yang tersimpan dengan enkripsi end-to-end.

Hal itu tidak menggantikan pelatihan kesadaran keamanan. Melainkan memperkuatnya dengan membuat perilaku aman lebih mudah diikuti. Alih-alih meminta staf untuk mengingat puluhan aturan kata sandi yang rumit, berikan sistem yang mendukung perilaku yang diinginkan. Hal itu membuat praktik keamanan yang baik lebih mudah dipertahankan dan penegakan kebijakan lebih mudah dicapai.

Hal yang sama berlaku untuk pelaporan insiden, kontrol akses, dan onboarding. Di area-area ini, alat bantu sering kali diperlukan untuk memberikan proses yang jelas bagi karyawan untuk diikuti dan memberikan pengawasan serta kontrol yang konsisten kepada organisasi. Alat bantu tidak dapat menggantikan penilaian, tetapi dapat membuat tindakan yang aman menjadi lebih mudah, lebih cepat, dan lebih konsisten dalam pekerjaan sehari-hari.

Kerangka kerja 6 langkah praktis untuk meluncurkan atau meningkatkan program kesadaran keamanan

Program kesadaran keamanan berfungsi paling baik jika dirancang sebagai ritme operasi alih-alih sebagai kampanye tunggal. Kerangka kerja di bawah ini dapat membantu untuk memulai.

Langkah 1: Tentukan perilaku spesifik yang ingin diubah

Mulailah dengan risiko. Identifikasi perilaku yang paling mungkin membahayakan organisasi. Hal itu mungkin termasuk mengklik tautan mencurigakan, menggunakan kembali kata sandi, membagikan kredensial secara informal, gagal melaporkan insiden, alur kerja offboarding yang lemah, atau salah menangani data pribadi seperti informasi pelanggan atau karyawan.

Langkah 2: Prioritaskan skenario dengan risiko tertinggi

Tidak semua topik pelatihan membutuhkan bobot yang sama. Berfokuslah terlebih dahulu pada skenario yang paling relevan dengan profil ancaman dan model operasi organisasi.

Bagi many bisnis, itu berarti phishing, penanganan kredensial, kontrol akses, dan pelaporan insiden. Tujuan pada tahap ini adalah memfokuskan pelatihan staf pada perilaku dan skenario yang paling mungkin mengurangi risiko sehari-hari.

Langkah 3: Segmentasikan pelatihan berdasarkan peran

Kesadaran keamanan jauh lebih mungkin mengubah perilaku ketika karyawan dapat mengenali realitas kerja mereka sendiri dalam pelatihan. Peran yang berbeda menciptakan jenis kerentanan yang berbeda, baik itu berarti menangani catatan sensitif, menyetujui permintaan berisiko tinggi, mengelola akses istimewa, atau membagikan informasi dengan kontak eksternal.

Program yang lebih efektif mencerminkan perbedaan tersebut alih-alih memberikan saran abstrak yang sama kepada semua orang. Semakin dekat pelatihan dengan keputusan yang benar-benar dihadapi orang-orang, semakin mudah untuk menerapkannya dalam praktik.

Langkah 4: Bangun ritme penguatan

Sesi pelatihan tahunan yang hanya dilakukan sekali tidak cukup untuk mengubah perilaku. Gunakan induksi, pelatihan penyegaran, pengingat singkat, latihan simulasi, dan komunikasi rutin untuk menjaga agar pesan-pesan utama tetap aktif. Penguatan bisa ringan, tetapi harus terus-menerus dilakukan.

Langkah 5: Dukung pelatihan dengan kebijakan dan alat bantu

Pelatihan menjadi jauh lebih kredibel ketika karyawan dapat melihat bagaimana menerapkannya dalam praktik. Jadi, pastikan kebijakan jelas, mudah ditemukan, dan ditulis dalam bahasa yang benar-benar dapat digunakan karyawan. Kemudian dukung mereka dengan fitur yang membuat perilaku aman lebih mudah diikuti dalam praktik.

Jika kebijakan menyatakan bahwa staf harus menggunakan kata sandi yang kuat dan unik serta menghindari membagikan informasi secara informal, berikan pengelola kata sandi yang aman yang mempermudah hal ini. Jika kebijakan menyatakan bahwa email mencurigakan harus segera dilaporkan, buat jalur pelaporan menjadi jelas dan tanpa hambatan.

Langkah 6: Tinjau, ukur, dan tingkatkan

Program kesadaran keamanan harus berkembang seiring dengan bisnis. Alat baru, perubahan peran, insiden, dan jenis serangan semuanya menciptakan titik tekanan baru.

Tinjau hasil secara berkala, perbarui pelatihan berdasarkan insiden dan hampir celaka, serta sesuaikan program saat menemukan titik lemah yang berulang.

Cara mengukur dampak

Salah satu kesalahan termudah yang dilakukan dalam pelatihan kesadaran keamanan adalah mengukur apa yang nyaman alih-alih apa yang berarti. Tingkat penyelesaian mungkin menunjukkan siapa yang menonton pelatihan atau mengklik modul, tetapi sangat sedikit menunjukkan apakah program tersebut memengaruhi perilaku di momen-momen yang benar-benar membawa risiko.

Pendekatan yang lebih berguna adalah mencari perubahan dalam cara orang-orang menanggapi situasi nyata dari waktu ke waktu. Hasil simulasi phishing dapat membantu memahami apakah karyawan menjadi lebih berhati-hati, lebih jeli, dan lebih mungkin mempertanyakan serta melaporkan pesan yang mencurigakan.

Insiden terkait kredensial dapat menunjukkan apakah kebiasaan berisiko seperti penggunaan kembali kata sandi, membagikan yang tidak aman, atau penanganan akun yang buruk menjadi berkurang. Kepatuhan kebijakan juga dapat mengungkapkan apakah karyawan benar-benar menerapkan harapan yang ditetapkan oleh program, alih-alih sekadar terpapar olehnya.

Sama pentingnya untuk mengawasi sinyal operasional. Seberapa cepat email mencurigakan atau permintaan tidak biasa dilaporkan? Apakah MFA diaktifkan secara konsisten di tempat yang seharusnya? Apakah hak akses dicabut dengan segera selama offboarding? Apakah tim dengan paparan yang lebih besar menunjukkan penilaian yang lebih kuat dalam skenario realistis seiring berkembangnya program?

Ini sering kali menjadi indikator yang menunjukkan apakah kesadaran mulai menjadi bagian dari cara organisasi bekerja, alih-alih tetap terbatas pada lingkungan pelatihan.

Pada akhirnya, ujian yang sebenarnya bukanlah apakah karyawan menyelesaikan program tersebut. Melainkan apakah organisasi melihat lebih sedikit kesalahan yang dapat dihindari, kebiasaan pelaporan yang lebih baik, dan perilaku keamanan sehari-hari yang lebih kuat sebagai hasilnya.

Proton Pass dapat membantu menegakkan kebijakan keamanan organisasi dan memantau hasilnya. Coba gratis atau hubungi tim kami.