Perusahaan Anda sudah mengadakan cybersecurity awareness training tahun ini. Tapi coba jawab secara jujur, apakah Anda tahu persis berapa besar dampak training tersebut pada  perilaku karyawan?

Dari pengalaman tim DSG mengaudit klien lintas sektor, awareness training memang sering direkomendasikan sebagai langkah preventif sebelum adanya insiden siber. Namun sayang, masih banyak yang belum mengukur efektivitasnya.

Kali ini DSG akan mengajak Anda membahas KPI cybersecurity awareness training untuk membuktikan bahwa program training keamanan siber benar-benar mengurangi risiko human error di perusahaan.

Kenapa Perusahaan Perlu Mengukur KPI Awareness Training

Ada perbedaan besar antara perusahaan yang sudah pernah melakukan training dan perusahaan yang benar-benar tahu apakah training tersebut efektif, yaitu keberadaan KPI cybersecurity awareness. 

1. Mengetahui Apakah Training Benar-Benar Efektif

Kehadiran karyawan dalam training belum tentu menunjukkan adanya perubahan perilaku. KPI membantu perusahaan melihat apakah materi yang diberikan benar-benar meningkatkan kesadaran dan kebiasaan keamanan karyawan.

Misalnya, perusahaan dapat membandingkan tingkat keberhasilan simulasi phishing, jumlah karyawan yang melaporkan email mencurigakan, atau kepatuhan terhadap kebijakan keamanan sebelum dan setelah training.

2. Menentukan Materi yang Perlu Diperbaiki

Data KPI dapat menunjukkan bagian mana dari program training yang masih belum efektif. Jika banyak karyawan masih melakukan kesalahan yang sama setelah training, bisa jadi materi yang diberikan terlalu sulit, kurang relevan dengan pekerjaan mereka, atau butuh pendekatan yang berbeda.

Perusahaan juga tidak perlu memberikan materi yang sama kepada semua karyawan. Training berikutnya dapat difokuskan pada topik atau kelompok yang memang membutuhkan edukasi tambahan.

3. Menemukan Divisi yang Masih Rentan

Risiko keamanan tidak selalu sama di setiap divisi. Tim finance, HR, sales, atau customer service masing-masing menghadapi jenis ancaman dan pola serangan yang berbeda.

Dengan mengukur KPI berdasarkan divisi atau kelompok karyawan, tim security dapat melihat area yang memiliki tingkat risiko lebih tinggi dan memberikan edukasi yang lebih tepat sasaran.

4. Membantu Manajemen Menilai Hasil Investasi

KPI juga memudahkan tim IT atau security menjelaskan hasil training kepada manajemen. Direksi mungkin tidak familier dengan istilah keamanan siber, tetapi mereka dapat memahami angka yang menunjukkan perubahan nyata.

Contohnya, tingkat klik phishing turun dari 30% menjadi 8% dalam enam bulan. Keberadaan data ini mampu memberi gambaran lebih jelas tentang dampak training dibanding laporan bahwa seluruh karyawan telah mengikuti pelatihan.

Training yang efektif bukan hanya selesai dilaksanakan, tetapi menghasilkan perubahan yang bisa diukur. KPI cybersecurity awarenesss training membantu perusahaan melihat perubahan tersebut dan menentukan apa yang perlu dilakukan selanjutnya.

8 KPI Cybersecurity Awareness Training yang Wajib Dipantau

Delapan KPI berikut disusun dari kerangka yang umum dipakai praktisi security awareness, salah satunya diadaptasi dari pendekatan ISA Cybersecurity, serta pola pengukuran yang direkomendasikan UpGuard dalam panduan cybersecurity metrics 2026. 

Kerangka ini kemudian diselaraskan dengan temuan tim DSG di lapangan, bahwa awareness training sering direkomendasikan sebagai quick-win pasca audit, namun efektivitasnya jarang benar-benar dipantau setelah program berjalan.

1. Completion Rate (Tingkat Penyelesaian Training)

Completion rate adalah persentase karyawan yang benar-benar menyelesaikan seluruh modul training.

KPI ini mengukur kepatuhan dan tingkat keterlibatan karyawan terhadap program yang dijalankan perusahaan. Fungsinya sebagai indikator awal, kalau completion rate rendah, kemungkinan besar masalahnya ada di durasi training yang terlalu panjang, waktu pelaksanaan yang tidak fleksibel, atau materi yang dirasa tidak relevan dengan pekerjaan sehari-hari karyawan.

Menurut ISA Cybersecurity, tingkat penyelesaian di atas 90 persen menunjukkan karyawan cukup terlibat dan memahami tanggung jawab mereka, sementara angka 70 persen ke bawah biasanya menandakan program terlalu rumit atau kurang relevan.

2. Phishing Simulation Click Rate

Phishing simulation click rate adalah persentase karyawan yang mengklik tautan atau membuka lampiran dalam simulasi phishing yang dikirim secara berkala oleh tim IT atau security.

KPI ini mengukur seberapa rentan karyawan terhadap serangan phishing di dunia nyata, karena simulasi dirancang meniru pola serangan sesungguhnya. Fungsinya ganda, yaitu:

1. Sebagai alat diagnosis, menunjukkan siapa atau divisi mana yang paling perlu pelatihan tambahan
2. Sebagai bahan justifikasi anggaran ke manajemen, karena angka klik yang masih tinggi jadi argumen konkret untuk melanjutkan atau menambah investasi awareness 

3. Reporting Rate

Reporting rate adalah persentase karyawan yang melaporkan email atau pesan mencurigakan ke tim IT atau security, baik saat simulasi maupun kejadian nyata.

KPI ini mengukur sisi positif dari kewaspadaan karyawan, tentang siapa yang benar-benar bertindak saat mencurigai sesuatu. Fungsinya melengkapi click rate, karena dua perusahaan dengan click rate sama bisa punya tingkat kesiapan yang jauh berbeda tergantung reporting rate-nya. 

Reporting rate yang tinggi menandakan budaya waspada sudah mulai terbentuk di organisasi Anda.

4. Quiz atau Assessment Score

Quiz atau assessment score adalah skor yang didapat karyawan dari tes singkat setelah sesi training, biasanya berupa pilihan ganda seputar materi yang baru diajarkan.

KPI ini mengukur pemahaman konseptual karyawan terhadap materi, bukan sekadar apakah mereka hadir atau menyelesaikan modul. 

Fungsinya untuk mengevaluasi kualitas materi itu sendiri, kalau skor rata-rata rendah di topik tertentu, kemungkinan besar penjelasan pada modul tersebut perlu diperjelas atau disederhanakan.

Skor ini paling berguna kalau dibandingkan dari waktu ke waktu, misalnya rata-rata skor kuartal ini dibanding kuartal sebelumnya, untuk melihat tren pemahaman karyawan secara keseluruhan.

5. Behavior Change atau Risk Score

Behavior change atau sering disebut juga Risk Score adalah KPI yang melacak perubahan perilaku karyawan secara berkelanjutan dari waktu ke waktu, bukan hanya hasil satu kali simulasi.

KPI ini sangat penting karena mengukur apakah training benar-benar mengubah kebiasaan, bukan hanya menambah pengetahuan saja. 

Metrik ini berfungsi sebagai indikator jangka panjang untuk menilai keberhasilan program, karena tren yang konsisten lebih sulit dipalsukan dibanding angka satu kali ukur. Idealnya, Risk Score per karyawan terus menurun seiring program berjalan.

6. Frekuensi Insiden Terkait Human Error

KPI ini menghitung jumlah insiden keamanan yang disebabkan kesalahan karyawan. Conthnya seperti klik phishing, penggunaan password lemah, atau salah kirim data ke pihak yang tidak berwenang.

Berbeda dari KPI lain yang mengukur proses training, metrik ini mengukur dampak nyata di lapangan, yaitu apakah insiden yang sebelumnya sering terjadi mulai berkurang setelah program berjalan. 

Fungsinya sebagai bukti paling meyakinkan untuk dilaporkan ke manajemen, karena langsung menghubungkan training dengan penurunan risiko bisnis, bukan sekadar aktivitas pelatihan itu sendiri. 

7. Time to Report (Kecepatan Pelaporan)

Time to report adalah rata-rata waktu yang dibutuhkan karyawan untuk melaporkan email atau aktivitas mencurigakan sejak pertama kali mereka menerimanya.

KPI ini mengukur kecepatan respons karyawan, bukan sekadar apakah mereka akhirnya melapor atau tidak. Fungsinya penting karena semakin cepat insiden dilaporkan, semakin cepat pula tim security bisa merespons sebelum dampaknya meluas ke sistem lain atau data sensitif perusahaan.

8. Employee Engagement dan Satisfaction

Employee engagement dan satisfaction adalah KPI kualitatif yang mengukur bagaimana karyawan menilai program training itu sendiri, mulai dari relevansi materi hingga kenyamanan metode penyampaiannya.

Berbeda dari KPI lain yang bersifat kuantitatif, metrik ini menangkap persepsi karyawan terhadap program. Fungsinya sebagai indikator pendukung untuk KPI lain, karena program yang dianggap membosankan atau tidak relevan biasanya juga berdampak pada completion rate dan reporting rate yang rendah. Beberapa hal yang bisa digali lewat KPI ini:

• Apakah materi terasa relevan dengan pekerjaan sehari-hari karyawan
• Apakah metode penyampaian mudah diikuti dan tidak terlalu memakan waktu
• Apakah karyawan bersedia mengikuti sesi lanjutan meski tidak diwajibkan

Kesalahan saat Mengukur KPI Cybersecurity Awareness Training

Beberapa kesalahan berikut sering membuat data KPI jadi kurang meski sudah dikumpulkan.

1. Hanya fokus pada completion rate tanpa melihat behavior change, padahal karyawan yang menyelesaikan training belum tentu benar-benar berubah perilakunya di lapangan
2. Tidak menetapkan baseline sebelum training dimulai, sehingga sulit membuktikan program benar-benar memberi dampak dibanding kondisi sebelumnya
3. Mengukur KPI sekali saja di akhir tahun lalu ditinggalkan, padahal KPI ini lebih berguna jika ditinjau rutin tiap bulan atau kuartal, bukan sekali setahun menjelang audit kepatuhan

Kesimpulan

KPI cybersecurity awareness training yang tepat membantu perusahaan membuktikan bahwa program pelatihan benar-benar mengubah perilaku karyawan, bukan sekadar formalitas tahunan. 

Delapan indikator di atas, mulai dari completion rate hingga behavior change, memberi gambaran lengkap soal seberapa siap karyawan menghadapi ancaman siber sehari-hari, sekaligus jadi bukti konkret untuk mempertahankan atau menambah investasi awareness training tahun berikutnya.

Jika perusahaan Anda belum punya program awareness training yang terukur, DSG menyediakan layanan cyber security awareness training yang dirancang bersama Kaspersky ASAP, lengkap dengan pelaporan progres untuk membantu Anda memantau KPI di atas secara berkelanjutan. 

Hubungi tim kami dan jadwalkan konsultasi gratis mengenai kebutuhan training di perusahaan Anda.