Banyak perusahaan sudah menjalankan security awareness training, tetapi karyawan masih bisa terkena phishing atau menggunakan password yang lemah.
Mengapa hal ini bisa terjadi?
Masalah utamanya bukan pada materi, namun pendekatan yang digunakan untuk mengubah security culture perusahaan.
Riset SANS 2025 menunjukkan mayoritas program masih compliance-focused, sebatas menyampaikan informasi tanpa mendorong perubahan perilaku. Karena itu, cyber security awareness best practice perlu berfokus pada kebiasaan, bukan sekadar pengetahuan.
8 Cyber Security Awareness Best Practice untuk Membangun Budaya Keamanan
Membangun budaya keamanan siber tidak cukup dengan memberikan training secara rutin. Perusahaan butuh pendekatan konsisten agar karyawan menerapkan kebiasaan tersebut dalam pekerjaan sehari-hari.
Berdasarkan SANS 2025 Security Awareness Report dan pengalaman DSG ketika menganalisis perusahaan klien, berikut delapan praktik yang bisa membantu perusahaan membangun security awareness hingga menjadi kebiasaan kerja.
1. Pastikan Leader Ikut Terlibat
Program security awareness sulit berkembang jika seluruh tanggung jawabnya berada di tim IT saja. Tanpa adanya dukungan manajemen, tim bisa kesulitan menyediakan anggaran, meluangkan waktu karyawan, atau menerapkan kebijakan secara konsisten.
Karena itu, libatkan leader sejak awal. Bentuk dukungannya bisa terlihat dari hal-hal sederhana, seperti:
- Ikut security awareness training dan simulasi phishing bersama karyawan.
- Memberikan waktu agar karyawan bisa mengikuti training tanpa dianggap mengabaikan pekerjaan.
- Mengingatkan pentingnya keamanan saat berkomunikasi dengan tim.
- Menjadi contoh dalam menerapkan kebijakan, seperti menggunakan password yang kuat dan multi-factor authentication.
Saat meminta dukungan manajemen, jangan hanya menjelaskan ancaman dari sisi teknis. Tunjukkan dampaknya bagi bisnis.
Misalnya, satu akun yang berhasil diambil alih dapat menyebabkan kebocoran data, mengganggu operasional, atau menimbulkan kerugian finansial. Dengan melihat dampak secara langsung, leader akan lebih mudah memahami mengapa program security awareness perlu menjadi prioritas.
2. Sesuaikan Training dengan Peran Masing Masing
Tidak semua karyawan menghadapi risiko yang sama. Finance mungkin lebih sering berhadapan dengan penipuan transfer, sementara Sales bisa menjadi target impersonation dari customer atau partner.
Di sisi lain, IT dan developer memiliki akses yang lebih sensitif sehingga kesalahan yang terlihat kecil dapat berdampak lebih besar.
Karena itu, materi security awareness sebaiknya disesuaikan dengan peran, akses, dan risiko masing-masing tim.
Berikut contoh fokus awareness sesuai dengan peran karyawan:
[tabel]
SANS Institute, organisasi yang berfokus pada pendidikan keamanan siber, merekomendasikan role-based training untuk mengelola human risk, bukan sekadar memenuhi kewajiban training.
Karena itu, tim security perlu menentukan siapa yang paling berisiko, risiko apa yang mereka hadapi, dan perilaku apa yang perlu dibentuk sebelum menentukan materi training.
Dengan pendekatan ini, materi training menjadi relevan dengan pekerjaan sehari-hari. Karyawan tidak hanya belajar mengenali phishing, tetapi juga berlatih menghadapi skenario yang mungkin mereka temui saat bekerja.
3. Jalankan Simulasi Phishing Rutin di Berbagai Kanal
Phishing simulation adalah latihan terkontrol yang menggunakan skenario serangan tiruan untuk melihat bagaimana karyawan merespons pesan atau permintaan mencurigakan.
Tujuannya bukan untuk mengukur kesiapan karyawan sekaligus melihat perilaku mana yang masih perlu diperbaiki.
Berdasarkan data Phishing Benchmarking Report KnowBe4 2025 menunjukkan rata-rata phish-prone percentage berada di sekitar 33% sebelum training dan dapat turun hingga sekitar 4% setelah program security awareness berkelanjutan selama 12 bulan.
Agar hasil simulasi lebih relevan, lakukan pengujian sesuai dengan kanal dan risiko yang dihadapi karyawan, seperti:
- Email: phishing, invoice fraud, dan credential theft.
- SMS/WhatsApp: tautan palsu atau permintaan mendesak.
- Telepon: impersonation atau permintaan informasi sensitif.
- Social media: akun palsu atau pesan yang mengatasnamakan customer maupun partner.
Setelah simulasi, berikan feedback yang jelas secara langsung. Karyawan perlu memahami mengapa sebuah pesan mencurigakan, seperti apa tanda-tandanya, dan tindakan apa yang seharusnya dilakukan.
4. Mudahkan Karyawan Melaporkan Insiden Keamanan
Security awareness tidak hanya mengajarkan karyawan cara menghindari serangan, tetapi juga apa yang harus dilakukan ketika menemukan sesuatu yang mencurigakan.
Pelaporan keamanan berarti memberi tahu tim yang bertanggung jawab ketika karyawan menemukan email phishing, salah kirim data, akun yang berperilaku tidak biasa, akses ke informasi yang seharusnya tidak bisa dibuka, atau kejadian lain yang berpotensi menimbulkan risiko.
Masalahnya, karyawan tidak selalu berani melapor. Mereka bisa takut dianggap ceroboh, terutama jika sebelumnya melakukan kesalahan seperti klik link phishing.
Padahal, dengan adanya laporan akan memberi tim security kesempatan untuk memeriksa dan membatasi dampaknya sebelum berkembang menjadi insiden yang lebih besar.
Karena itu, cobalah untuk buat proses pelaporan sesederhana mungkin:
- Sediakan kanal yang jelas, misalnya tombol Report Phishing, email khusus, atau kanal internal.
- Jelaskan apa saja yang perlu dilaporkan, termasuk kesalahan yang dilakukan sendiri.
- Respons laporan dengan cepat agar karyawan tahu bahwa laporan mereka ditindaklanjuti.
- Terapkan pendekatan no-blame untuk laporan yang disampaikan dengan itikad baik.
Karyawan juga dapat menjadi human firewall, alias berperan sebagai lapisan pertahanan pertama karena paling dekat dengan aktivitas sehari-hari dan bisa menjadi orang pertama yang menyadari sesuatu yang tidak beres.
Ketika proses pelaporan mudah dan karyawan merasa aman untuk melapor, perusahaan dapat mengetahui dan merespons ancaman lebih cepat.
5. Tunjuk Security Champion di Tiap Departemen
Tim IT atau security tidak mungkin mengetahui semua kebiasaan dan masalah yang muncul di setiap divisi. Untuk mengatasinya, perusahaan bisa menunjuk security champion di masing-masing departemen.
Security champion adalah karyawan yang mendapat pemahaman keamanan lebih mendalam dan membantu menghubungkan kebutuhan timnya dengan tim security, seperti:
- Menjelaskan aturan keamanan sesuai pekerjaan timnya, misalnya cara memverifikasi permintaan transfer untuk Finance atau cara menangani data kandidat untuk HR.
- Menjadi tempat bertanya ketika rekan kerja menerima email, link, file, atau permintaan yang mencurigakan.
- Menyampaikan informasi dari tim security tentang ancaman atau perubahan kebijakan yang perlu diketahui departemennya.
- Melaporkan kebiasaan atau proses kerja yang berisiko kepada tim security agar bisa ditinjau lebih lanjut.
- Mendorong rekan kerja untuk segera melapor, termasuk ketika mereka sudah terlanjur melakukan kesalahan seperti mengklik phishing.
6. Perbarui Materi dengan Ancaman Terkini
Ancaman yang dihadapi karyawan sekarang tidak lagi sama seperti beberapa tahun lalu. AI membuat phishing lebih mudah dipersonalisasi, sementara deepfake, voice cloning, dan teknik impersonation membuat penyerang bisa meniru orang yang dikenal karyawan.
Menurut KnowBe4 2026, serangan phishing meningkat 17,1% dan kini semakin sulit dikenali karena AI dapat membantu penyerang membuat pesan yang lebih meyakinkan.
Artinya, program security awareness juga harus mengikuti perubahan cara penyerang bekerja. Karyawan tidak cukup hanya diajarkan mengenali phishing dari tata bahasa yang buruk atau alamat pengirim yang aneh. Mereka perlu mengenali serangan yang kini lebih meyakinkan, seperti:
- AI-generated phishing: pesan yang dipersonalisasi dan terlihat seperti komunikasi asli.
- Deepfake & voice cloning: suara atau video yang meniru atasan maupun pihak yang dipercaya.
- Vishing & smishing: manipulasi melalui telepon, SMS, atau WhatsApp.
- Risiko penggunaan AI: memasukkan data sensitif perusahaan ke tools AI yang tidak semestinya.
Tidak semua ancaman perlu diberikan kepada semua karyawan. Fokuskan awareness pada risiko yang paling dekat dengan pekerjaan mereka. Tim finance, misalnya, dapat dilatih menghadapi Business Email Compromise, sementara pengguna AI tools perlu memahami batasan data yang boleh dimasukkan.
Gunakan microlearning untuk menyampaikan topik tersebut secara singkat dan berkala. Cara ini membuat perusahaan lebih mudah memperkenalkan ancaman baru dan memperkuat topik yang masih menjadi kelemahan, tanpa harus menunggu training tahunan.
8. Integrasikan Security Awareness ke Employee Lifecycle
Employee lifecycle adalah rangkaian tahapan yang dilalui karyawan selama berada di perusahaan, mulai dari onboarding, menjalankan pekerjaan, berpindah peran, hingga offboarding. Setiap tahap dapat membawa risiko keamanan yang berbeda karena akses, tanggung jawab, dan informasi yang ditangani karyawan juga dapat berubah.
Karena itu, security awareness tidak cukup diberikan saat karyawan pertama kali masuk atau melalui training tahunan. Materinya perlu mengikuti perubahan peran dan akses mereka. Misalnya:
- Onboarding: ajarkan penggunaan MFA, password, perangkat kerja, dan cara melaporkan insiden.
- Perubahan peran: berikan training tambahan ketika karyawan mendapat akses atau tanggung jawab baru.
- Akses sensitif: pastikan karyawan memahami risiko dan prosedur sebelum mengakses data atau sistem penting.
- Offboarding: pastikan akses dicabut dan karyawan memahami kewajiban terkait data serta perangkat perusahaan.
Dengan pendekatan ini, program security awareness training membuat perusahaan dapat menjaga kebiasaan keamanan dari hari pertama hingga hari terakhir karyawan bekerja.
Saatnya Menerapkan Cyber Security Awareness Best Practice
Training sudah dilakukan, modul sudah diselesaikan, tetapi apakah perilaku karyawan ikut berubah?
Jika karyawan masih mudah tertipu phishing, ragu melaporkan kejanggalan, atau tidak tahu harus berbuat apa ketika melakukan kesalahan, maka yang perlu dievaluasi bukan frekuensi trainingnya, melainkan pendekatannya.
Cyber security awareness best practice bukan sekadar membuat karyawan lebih banyak paham tentang ancaman siber. Tujuannya adalah membuat mereka lebih siap mengenali risiko, mengambil keputusan yang tepat, dan merespons ancaman sebagai bagian dari pekerjaan sehari-hari.
Untuk mewujudkannya, DSG menghadirkan Cybersecurity Awareness Training yang dapat disesuaikan dengan risiko, peran, dan kebutuhan organisasi. Mulai dari materi awareness, simulasi serangan, hingga evaluasi, setiap bagian dirancang agar sesuai dengan kebutuhan karyawan Anda.
Ingin membangun security awareness yang lebih relevan dan berdampak? Jadwalkan konsultasi gratis bersama tim DSG untuk menemukan pendekatan yang sesuai dengan kebutuhan perusahaan Anda.
