Cara kerja bisnis kecil dan menengah telah berubah selamanya — begitu pula cara mereka diserang. Tim tersebar, alat SaaS menangani semuanya mulai dari penggajian hingga manajemen proyek, serta kontraktor dan vendor masuk dan keluar dari sistem secara teratur. Dengan setiap alat baru atau karyawan baru yang memiliki akses, jumlah titik masuk potensial meningkat.
Permukaan serangan yang makin luas itu penting karena serangan berbasis kredensial, termasuk phishing, pengambilalihan akun, dan pencurian kata sandi, telah menjadi salah satu cara paling umum bagi bisnis untuk dibobol. Serangan tersebut berhasil justru karena akses telah meluas, yang membuatnya sulit dilacak. Yang perlu dilakukan penyerang sekarang hanyalah menemukan satu set kredensial yang valid untuk melewati pertahanan bisnis Anda.
Dalam konteks ini, kenyataan bahwa lebih dari setengah bisnis kecil kini menggunakan pengelola kata sandi bisnis seharusnya membesarkan hati. Namun, Laporan Keamanan Siber UKM 2026 dari Proton — sebuah studi global terhadap 3.000 pengambil keputusan UKM — menemukan bahwa satu dari empat masih mengalami pembobolan tahun lalu.
Semua ini menunjukkan adanya kesenjangan antara cara alat diadopsi dan cara alat tersebut sebenarnya digunakan.
Cara UKM menggunakan pengelola kata sandi saat ini
Sebagian besar pengelola kata sandi dirancang untuk melakukan satu hal dengan baik: membantu mengingat kata sandi. Dalam praktiknya, ini berarti membuat kata sandi yang rumit serta unik dan mengelolanya dalam brankas terenkripsi. Hal ini jauh lebih baik daripada kebiasaan menggunakan kembali kredensial yang sama di berbagai akun dan platform.
Namun, karena kata sandi merupakan titik masuk paling mudah bagi penyerang, UKM membutuhkan pengelola kata sandi untuk melakukan jauh lebih banyak hal daripada sekadar mengatasi masalah ingatan dan kenyamanan. UKM membutuhkannya untuk mengamankan akses.
Akses adalah pertanyaan yang jauh lebih luas. Apakah orang yang tepat memiliki kredensial yang tepat — dan apakah diketahui apa saja yang dapat dibuka oleh kredensial tersebut atau jika kredensial tersebut jatuh ke tangan yang salah? Dan seiring berkembangnya tim, langganan yang menumpuk, serta kontraktor yang datang dan pergi, pertimbangan organisasi perlu beralih dari sekadar memperkuat kata sandi menjadi memperhitungkan ancaman keamanan di dunia nyata.
Itulah perubahan yang tidak dilakukan oleh sebagian besar bisnis hingga terjadi masalah.
Di mana kesalahan implementasi pengelola kata sandi terjadi
Wawasan utama dari laporan kami adalah bahwa bisnis yang mengadopsi pengelola kata sandi tidak menggunakannya secara konsisten.
Berbagi kredensial yang tidak aman masih terus terjadi pada tingkat yang sangat tinggi:
- 33% membagikannya dalam dokumen bersama atau spreadsheet
- 30% membagikan kredensial melalui email
- 27% membagikannya melalui aplikasi pesan
- 25% mencatatnya
- 24% membagikannya secara lisan
Itu adalah gambaran tentang orang-orang sibuk yang mengambil rute tercepat yang tersedia saat itu. Alih-alih beralih ke aplikasi pengelola kata sandi dan membagikan kredensial baru di brankas yang semestinya, mereka mungkin menempelkannya ke Slack atau email.
Solusi sementara terasa tidak berbahaya jika dilakukan sesekali. Namun seiring waktu, kredensial akhirnya tersebar di kotak masuk, riwayat obrolan, dan dokumen bersama dengan cara yang sulit diurai. Ketika seorang karyawan pergi, akses tidak dapat dicabut di kemudian hari. Dan memperbarui kata sandi secara mendadak setelah pembobolan data menjadi mustahil kecuali jika disimpan di lokasi aman yang tersentralisasi.
Pelatihan untuk menegakkan kebijakan keamanan dapat membantu, tetapi penelitian kami menunjukkan bahwa hal itu pun belum cukup…
Mengapa pelatihan kesadaran keamanan saja tidak cukup
Laporan kami menemukan bahwa 39% UKM pernah mengalami insiden keamanan yang disebabkan oleh kesalahan manusia. Statistik tersebut mudah disalahartikan; tanggapan alaminya adalah berasumsi bahwa karyawan yang lebih berhati-hati berarti lebih sedikit insiden.
Namun, sudut pandang ini melewatkan sesuatu yang penting: Sistem keamanan yang bergantung pada perilaku sempurna di bawah tekanan sehari-hari akan selalu dipatahkan oleh kenyataan. Kesalahan terjadi bukan karena orang tidak peduli — kesalahan terjadi karena opsi yang aman sering kali menuntut lebih banyak upaya dan waktu daripada yang mampu disediakan oleh UKM pada umumnya. Bahkan tim dengan niat baik sekalipun akan mencari solusi sementara ketika sumber daya mereka terbatas.
Solusi jangka panjang bukanlah lebih banyak pelatihan. Melainkan merancang sistem di mana opsi yang aman juga merupakan opsi yang mudah.
Ketika membagikan akses dengan aman tidak memerlukan usaha lebih selain mengirimkan kata sandi ke dalam pesan obrolan, orang-orang akan menggunakannya.
Ketika masalah akses menjadi tidak terkendali
Masalah kredensial menjadi makin rumit seiring berkembangnya tim.
Delapan puluh enam persen UKM kini mengandalkan layanan berbasis cloud untuk operasional sehari-hari. Hal itu biasanya berarti kredensial tersebar di berbagai alat manajemen proyek, platform keuangan, perangkat lunak pemasaran, penyimpanan file, dan sistem pelanggan, masing-masing dengan izin dan riwayat aksesnya sendiri.
Akses tidak hanya tersebar di berbagai sistem; akses juga menyebar ke seluruh organisasi, mengalir di antara tim, mitra eksternal, kontraktor, dan mantan karyawan yang mungkin masih memiliki jalan masuk.
Ini berarti bahwa dalam kenyataannya, kredensial menumpuk, akses lama terus bertahan, dan jumlah orang yang memiliki — atau pernah memiliki — kunci ke sistem paling sensitif melampaui pelacakan yang mudah.
Memiliki alat tidak sama dengan terlindungi
UKM yang mengalami pembobolan tahun lalu tidak asal-asalan: 92% secara aktif berinvestasi dalam alat keamanan. Mereka telah menerapkan pengelola kata sandi, email terenkripsi, program pelatihan, dan kebijakan tertulis. Dengan kata lain, pengaturan mereka tampak solid di atas kertas.
Apa yang kurang dari banyak pihak adalah penegakan yang konsisten. Autentikasi multifaktor (MFA) diaktifkan tetapi tidak diwajibkan, pengelola kata sandi diterapkan tetapi tidak tersemat ke dalam kebiasaan sehari-hari, serta proses penerimaan dan pelepasan karyawan ditangani secara informal alih-alih secara sistematis. Kami menduga, mengingat popularitas pengelola kata sandi peramban, banyak yang bahkan tidak menggunakan platform tim terpusat sama sekali — melainkan mengandalkan kumpulan opsi yang kurang aman secara individual.
Masing-masing hal ini adalah celah kecil yang tidak terlihat sampai akhirnya menimbulkan masalah.
Ukuran nyata dari pengaturan keamanan bukanlah alat apa saja yang ada dalam daftar, melainkan apakah alat tersebut mampu bertahan di bawah tekanan sehari-hari tentang cara orang-orang sebenarnya bekerja.
Berikut adalah beberapa praktik untuk membantu mendekatkan kenyataan ini bagi bisnis Anda:
- Gunakan pengelola kata sandi yang dibuat untuk tim. Pengelola kata sandi peramban tidak hanya kurang aman, tetapi juga tidak memiliki alat admin yang dibutuhkan pengelola untuk mempertahankan kendali penuh atas akun. Kecuali jika memiliki pengelola kata sandi perusahaan yang mudah digunakan, hal itu tidak akan memadai.
- Audit siapa yang saat ini memiliki akses ke apa. Periksa daftar pengguna pada alat yang paling sensitif dan lihat apakah ada nama di sana yang mengejutkan.
- Ganti masuk bersama dengan akun individual. Meskipun mudah untuk membagikan proses masuk dalam pengelola kata sandi, ini bukan praktik terbaik: Masuk bersama mengurangi visibilitas di tingkat akun, sehingga lebih sulit untuk mengidentifikasi dan bereaksi terhadap pembobolan.
- Wajibkan autentikasi multifaktor. MFA adalah salah satu perlindungan paling efektif yang tersedia — tetapi hanya jika diterapkan secara bawaan, bukan dibiarkan sebagai pengaturan opsional.
- Buat proses pelepasan karyawan menjadi sistematis. Setiap kepergian, baik itu karyawan, kontraktor, atau vendor, harus segera memicu tinjauan akses alih-alih baru dipikirkan belakangan.
Ingin tahu apa lagi yang dapat dipelajari dari survei kami terhadap 3.000 pemimpin bisnis di enam pasar utama? Baca selengkapnya di Laporan Keamanan Siber UKM 2026. Anda akan mempelajari apa yang menyebabkan pembobolan dan berapa biaya sebenarnya yang harus dikeluarkan, di mana kesalahan manusia paling sering muncul, bagaimana adopsi cloud dan AI menciptakan titik buta baru. Laporan ini juga mencakup langkah-langkah praktis untuk memperkuat perlindungan yang dapat bertahan dalam kondisi dunia nyata.
