Perusahaan perlu menjalankan cybersecurity awareness campaign untuk melindungi organisasi dan karyawannya dari ancaman digital. Terlebih dengan kemajuan AI yang membuat teknik ancaman dan serangan siber semakin berkembangan dan sulit untuk dikenali.
Karyawan perlu mendapatkan edukasi terkait keamanan siber. Namun edukasi ini tentu tidak cukup jika hanya dilakukan sekali dalam setahun. Anda butuh pendekatan kampanye kesadaran keamanan siber dengan strategi yang jelas dan sesuai kebutuhan.
Dalam artikel ini, DSG membagikan pandangan dan rekomendasi berdasarkan pengalaman kami dalam menyelenggarakan security training di berbagai sektor industri, sehingga perusahaan dapat merancang kampanye keamanan yang lebih relevan dengan kebutuhan dan risikonya.
Bagaimana Cara Membuat Cybersecurity Awareness Campaign yang Efektif?
Cybersecurity awareness campaign adalah inisiatif yang dirancang untuk meningkatkan kesadaran keamanan siber karyawan dalam periode tertentu.
Hal ini berbeda dari security training yang umumnya disusun dalam bentuk modul atau kurikulum pembelajaran. Kampanye keamanan digital memiliki tema, tujuan, dan periode spesifik sehingga pesan keamanan dapat disesuaikan dengan risiko yang sedang menjadi perhatian perusahaan.
Lantas, seperti apa menyusun cybersecurity awareness campaign yang efektif untuk diterapkan perusahaan?
Berikut beberapa langkah dan rekomendasi yang dapat menjadi panduan, berdasarkan pengalaman DSG dalam mendampingi berbagai kebutuhan security awareness di perusahaan.
Baca Juga : 8 Cyber Security Awareness Best Practice untuk Perusahaan
1. Menentukan Tujuan dan Metrik Keberhasilan
Sebelum menyusun campaign, Anda perlu menentukan dulu tujuan seperti apa yang ingin dicapai. Dengan memiliki tujuan yang jelas, maka tim akan mudah menentukan metrik keberhasilan sekaligus menilai dampak campaign terhadap perilaku karyawan.
Apa saja contoh tujuan dari kampanye kesadaran keamanan siber? Berikut contohnya:
- Menurunkan persentase karyawan yang mengklik email phishing simulasi.
- Meningkatkan jumlah laporan insiden yang masuk dari karyawan.
- Memperkuat kepatuhan terhadap kebijakan password dan penggunaan MFA.
- Menambah jumlah karyawan yang mengikuti sesi awareness secara aktif, bukan hanya membuka materi tanpa menyelesaikannya.
Tanpa adanya tujuan dan metrik, maka Anda akan kesulitan untuk menilai apakah campaign berhasil mengubah kebiasaan karyawan atau hanya berjalan sebagai formalitas belaka.
2. Menentukan Tema Kampanye per Periode
Setelah menentukan tujuan, bagi campaign menjadi beberapa tema yang dapat disampaikan secara bertahap sesuai periode. Misalnya, Anda bisa membagi kampanye selama empat minggu sebagai berikut:
- Minggu pertama: phishing dan cara mengenali email mencurigakan.
- Minggu kedua: keamanan password dan penerapan MFA.
- Minggu ketiga: social engineering melalui telepon maupun pesan singkat.
- Minggu keempat: perlindungan data dan penanganan informasi sensitif.
Anda juga perlu menyesuaikan tema campaign dengan risiko yang relevan bagi perusahaan. Misalnya
- Sektor finansial: invoice fraud dan business email compromise.
- Sektor manufaktur: social engineering yang melibatkan vendor atau pemasok.
- Sektor kesehatan: perlindungan data dan keamanan perangkat yang terhubung ke jaringan.
Pembagian tema membantu perusahaan memprioritaskan risiko yang perlu mendapat perhatian karyawan, sehingga setiap pesan keamanan dapat disampaikan secara lebih fokus dan relevan dengan aktivitas kerja mereka.
3. Tentukan Kanal Komunikasi
Cybersecurity awareness campaign yang efektif perlu memanfaatkan lebih dari satu kanal komunikasi agar pesan keamanan dapat menjangkau karyawan dengan kebiasaan dan pola kerja yang berbeda.
Jangan hanya mengandalkan email, terutama jika ada karyawan yang jarang menggunakannya. Cobalah untuk mengombinasikan beberapa kanal berikut:
- Email internal untuk materi utama dan hasil simulasi.
- Poster atau digital signage di area kantor yang sering dilewati karyawan.
- Grup WhatsApp atau Slack tim untuk pengingat singkat.
- Sesi town hall untuk menyampaikan ringkasan hasil campaign secara langsung.
Penggunaan beberapa kanal juga penting karena setiap karyawan memiliki kebiasaan menerima informasi yang berbeda. Karyawan di kantor, lapangan, maupun yang bekerja secara remote mungkin tidak memiliki akses dan kebiasaan komunikasi yang sama.
4. Merancang Aktivitas Interaktif
Materi keamanan siber tidak harus selalu disampaikan melalui materi pembelajaran pasif. Berikut beberapa ide cybersecurity campaign yang seru dan bisa diterapkan:
- Quiz seputar tema mingguan dengan hadiah bagi peserta dengan skor tertinggi.
- Simulasi phishing dengan skenario yang disesuaikan dengan tema periode tersebut, misalnya email palsu tentang invoice saat membahas business email compromise.
- Kompetisi antar-departemen menggunakan sistem poin atau leaderboard berdasarkan tingkat partisipasi dan hasil simulasi.
Aktivitas interaktif dalam campaign membuat karyawan tidak hanya menerima informasi, tetapi juga mempraktikkan perilaku keamanan secara langsung. Campaign pun terasa lebih relevan dan mendorong keterlibatan karyawan, bukan sekadar menjadi materi tambahan di tengah kesibukan mereka.
Baca Juga : Kenapa Karyawan Perusahaan Perlu Cyber Security Training?
5. Melibatkan Leadership sebagai Campaign Sponsor
Dukungan dari leadership membantu menjadikan keamanan siber sebagai bagian dari budaya kerja perusahaan.
Ketika manajemen ikut berpartisipasi, seperti mengikuti simulasi phishing hingga mengingatkan pentingnya keamanan dalam rapat tim, maka pesan yang disampaikan dalam campaign akan terasa lebih nyata dan mendapat dukungan dari seluruh organisasi.
6. Mengukur dan Evaluasi Hasil Campaign
Setelah campaign selesai, evaluasi hasilnya berdasarkan metrik yang telah ditentukan sejak awal. Beberapa indikator yang dapat diperhatikan meliputi:
- Hasil simulasi phishing: bandingkan tingkat keberhasilan atau kegagalan karyawan dalam mengenali simulasi sebelum dan sesudah campaign.
- Tingkat partisipasi: lihat seberapa banyak karyawan yang mengikuti aktivitas dan materi yang disediakan.
- Laporan insiden: perhatikan perubahan jumlah laporan yang masuk selama dan setelah campaign berlangsung.
Evaluasi ini membantu perusahaan melihat bagian campaign yang sudah berjalan baik sekaligus mengidentifikasi aspek yang masih perlu diperbaiki.
Hasil evaluasi bisa menjadi dasar untuk menyempurnakan employee security awareness campaign pada periode berikutnya. Mulai dari pemilihan tema, aktivitas, hingga pendekatan komunikasi.
Kesalahan saat Menjalankan Cybersecurity Awareness Campaign
Selain soal perencanaan, DSG menemukan bahwa beberapa kesalahan berkut bisa membuat kampanye kesadaran siber yang telah Anda rancang menjadi kurang berdampak:
1. Materi Tidak Disesuaikan dengan Peran Karyawan
Banyak perusahaan masih menggunakan materi yang sama untuk seluruh karyawan, padahal risiko keamanan di setiap departemen berbeda-beda. Misalnya Tim finance, berhadapan dengan invoice fraud, sementara tim IT butuh aware pada akses ke sistem dan data sensitif.
Maka dari itu, sesuaikan materi campaign dengan peran dan tanggung jawab masing-masing tim. Tim finance bisa mendapat materi atau praktik simulasi yang berkaitan dengan penipuan invoice, sedangkan tim IT dapat diberikan materi terkait keamanan akses, kredensial, dan perlindungan sistem.
2. Pendekatan yang Menghukum Saat Karyawan Melakukan Kesalahan
Cybersecurity awareness campaign seharusnya membantu karyawan memahami risiko dan membangun kebiasaan keamanan yang lebih baik, bukan menjadi sarana untuk mencari kesalahan.
Ketika kesalahan karyawan justru dijadikan alasan untuk menyalahkan atau mempermalukan mereka, maka tujuan pembelajaran dapat bergeser.
Karyawan bisa jadi malah enggan untuk berpartisipasi, mengakui kesalahan, atau melaporkan aktivitas mencurigakan karena khawatir mendapat konsekuensi.
Karena itu, hasil campaign seharusnya hanya digunakan sebagai bahan evaluasi untuk menentukan tindak lanjut yang sesuai. Misalnya untuk memberikan edukasi tambahan pada topik tertentu atau menyesuaikan materi pada periode berikutnya.
Pendekatan ini membuat karyawan lebih leluasa belajar dari kesalahan, bertanya ketika menghadapi situasi yang tidak mereka pahami, dan melaporkan potensi insiden dengan segera.
3. Timing Campaign Tidak Mempertimbangkan Jadwal Kerja Karyawan
Campaign yang bertepatan dengan periode sibuk, seperti closing akhir bulan atau deadline proyek, cenderung terabaikan karena karyawan sedang fokus pada pekerjaan utama.
Akibatnya, tingkat partisipasi rendah dan materi yang seharusnya membangun kebiasaan aman malah tidak sempat diserap dengan baik.
Oleh karena itu, pertimbangkan kalender kerja tim sebelum menentukan jadwal campaign agar hasilnya lebih maksimal.
Saatnya Merancang Cybersecurity Awareness Campaign yang Tepat
Cybersecurity awareness campaign yang efektif perlu direncanakan dengan tujuan jelas, tema yang relevan, dan evaluasi berkelanjutan agar berdampak pada kebiasaan keamanan karyawan.
Jika perusahaan Anda ingin merancang employee security awareness campaign yang sesuai dengan kebutuhan dan risiko bisnis, DSG menghadirkan Cybersecurity Awareness Training yang bisa disesuaikan dengan tema, peran, dan tingkat risiko karyawan Anda.
Mulai dari materi awareness, simulasi serangan, hingga evaluasi hasil, semua dirancang untuk mendukung kampanye kesadaran keamanan siber yang berkelanjutan.
Ingin diskusikan kebutuhan campaign keamanan siber untuk perusahaan Anda? Jadwalkan konsultasi gratis bersama tim DSG sekarang.
