Human error adalah salah satu faktor yang dapat memicu insiden keamanan siber di perusahaan. Untuk mengatasi hal ini, perusahaan perlu menyusun materi cyber security training sesuai risiko yang dihadapi karyawan sehari-hari.
Lantas, apa saja materi yang perlu diberikan?
Artikel ini membahas materi keamanan siber untuk seluruh karyawan hingga materi khusus bagi tim IT dan manajemen. dengan mengacu pada struktur pembelajaran yang umum digunakan dalam security awareness training seperti Kaspersky ASAP.
4 Materi Cyber Security Training Dasar untuk Semua Karyawan
Berdasarkan pengalaman tim pentester DSG saat menguji keamanan perusahaan di berbagai sektor, (termasuk perbankan, logistik, dan payment gateway) faktor manusia masih menjadi salah satu area yang perlu mendapat perhatian.
Risiko human error bisa muncuk dari hal-hal sederhana, seperti kredensial default yang tidak diganti hingga kegagalan mengenali upaya social engineering.
Untuk mengatasinya, butuh ada materi dasar yang perlu dipahami seluruh karyawan. Mulai dari cara mengenali phishing, menjaga kredensial, melindungi data, dan melaporkan aktivitas mencurigakan.
Setelah memahami dasar tersebut, materi materi training keamanan siber bisa dikembangkan sesuai kebutuhan dan risiko masing-masing divisi.
Pendekatan bertahap seperti ini juga diterapkan dalam program cyber security training yang DSG jalankan bersama Kaspersky Automated Security Awareness Platform (ASAP).
1. Pengenalan Ancaman Siber
Materi ini membantu karyawan mengenali ancaman siber yang paling sering mereka temui dalam aktivitas kerja sehari-hari, seperti:
- Phishing: mengenali email, pesan, atau tautan mencurigakan yang digunakan untuk mencuri informasi atau kredensial.
- Malware: memahami bagaimana malware dapat masuk melalui lampiran, tautan, aplikasi, atau file yang tidak aman serta risiko yang ditimbulkannya.
- Ransomware: memahami bagaimana serangan ransomware dapat mengenkripsi data dan mengganggu operasional bisnis.
- Contoh kasus: mempelajari simulasi atau kasus nyata agar karyawan dapat mengenali pola serangan dan tahu tindakan yang perlu dilakukan ketika menghadapinya.
Dengan begitu, karyawan tidak hanya mengetahui nama-nama ancaman, tetapi juga memahami seperti apa bentuknya dan bagaimana meresponsnya dalam situasi kerja sehari-hari.
Baca Juga : 8 Cyber Security Awareness Best Practice untuk Perusahaan
2. Keamanan Password dan Autentikasi
Password yang lemah atau digunakan berulang di beberapa akun dapat meningkatkan risiko akses tidak sah. Kurikulum cyber security training terkait keamanan password ini mencakup:
- Membuat password yang kuat: memahami karakteristik password yang sulit ditebak dan tidak menggunakan informasi pribadi yang mudah diketahui.
- Menghindari penggunaan ulang password: menggunakan password berbeda untuk setiap akun, terutama akun yang berkaitan dengan pekerjaan.
- Menggunakan MFA: memahami cara kerja multi-factor authentication dan mengaktifkannya pada email serta akun kerja yang penting.
- Menjaga kredensial: tidak membagikan password atau menyimpannya di tempat yang tidak aman.
MFA juga menjadi salah satu langkah keamanan yang relatif sederhana untuk diterapkan, tetapi dapat menambah lapisan perlindungan terhadap akses tidak sah.
3. Keamanan Perangkat Mobile dan BYOD
Banyak karyawan menggunakan perangkat pribadi untuk mengakses email atau sistem kerja, atau dikenal sebagai Bring Your Own Device (BYOD). Topik pelatihan keamanan siber karyawan terkait risiko saat perangkat pribadi digunakan untuk pekerjaan, meliputi:
- Aplikasi dan software: menghindari instalasi aplikasi tidak resmi atau software dari sumber yang tidak terpercaya.
- Wi-Fi publik: memahami risiko mengakses sistem atau data perusahaan melalui jaringan publik yang tidak aman.
- Keamanan perangkat: mengaktifkan kunci layar, memperbarui sistem operasi, dan menggunakan fitur keamanan yang tersedia pada perangkat.
- Pemisahan data: menjaga agar data pekerjaan tidak tercampur atau tersimpan sembarangan di perangkat pribadi.
- Kehilangan perangkat: mengetahui langkah yang harus dilakukan jika perangkat hilang atau dicuri, terutama jika perangkat tersebut masih terhubung ke akun perusahaan.
4. Etika Penggunaan Data dan Internet Kantor
Materi ini membahas aturan dasar dalam menggunakan data dan perangkat perusahaan. Contoh materi security awareness training terkait etika penggunaan internet di kantor adalah sebagai berikut:
- Berbagi informasi sensitif: memahami jenis informasi yang tidak boleh dibagikan sembarangan, baik kepada pihak internal maupun eksternal.
- Penggunaan perangkat perusahaan: mengikuti aturan penggunaan laptop, komputer, dan perangkat lain yang disediakan untuk pekerjaan.
- Aktivitas personal: memahami batasan penggunaan perangkat atau akun kerja untuk aktivitas pribadi.
- Penyimpanan dan pemindahan data: mengetahui cara menyimpan, mengirim, dan memindahkan data perusahaan dengan aman.
Materi dasar seperti ini sebaiknya tidak hanya disampaikan melalui presentasi satu arah. Modul e-learning singkat, video ilustrasi kasus, dan kuis interaktif dapat membuat pembelajaran lebih mudah dipahami sekaligus membantu karyawan mengingat kembali kebiasaan keamanan yang perlu diterapkan dalam pekerjaan sehari-hari.
Menguji Awareness Karyawan Lewat Simulasi Serangan
Setelah memahami dasar keamanan siber, karyawan perlu berlatih menghadapi ancaman dalam situasi yang lebih realistis. Karena itu, perlu ada materi cyber security training yang menguji kemampuan karyawan dalam mengenali dan merespons ancaman, bukan hanya mengandalkan materi teori.
Baca Juga : 6 Cara Membuat Cybersecurity Awareness Campaign yang Efektif
Pendekatan berbasis simulasi seperti ini juga diterapkan dalam program yang DSG jalankan bersama Kaspersky ASAP.
1. Teknik Social Engineering
Materi ini membantu karyawan mengenali berbagai taktik manipulasi psikologis yang digunakan pelaku kejahatan siber, seperti:
- Pretexting: membuat skenario atau alasan palsu untuk mendapatkan informasi dari korban.
- Baiting: memancing korban dengan sesuatu yang menarik agar melakukan tindakan tertentu, seperti membuka file atau tautan.
- Penyamaran identitas: berpura-pura menjadi pihak yang dipercaya, termasuk melalui platform profesional seperti LinkedIn.
- Pig butchering scam: membangun hubungan dengan korban melalui akun palsu sebelum mengarah pada pencurian informasi atau akses.
2. Simulasi Phishing Berkala
Simulasi phishing membantu perusahaan mengukur apakah karyawan benar-benar mampu mengenali ancaman dalam situasi nyata. Beberapa hal yang dapat diukur antara lain:
- Persentase karyawan yang mengeklik tautan mencurigakan.
- Persentase karyawan yang berhasil melaporkan email phishing.
- Perubahan tingkat respons karyawan dari satu simulasi ke simulasi berikutnya.
- Divisi yang masih menunjukkan tingkat risiko lebih tinggi dan membutuhkan penguatan materi.
Simulasi sebaiknya dilakukan secara berkala, bukan hanya sekali setelah training. Pola phishing terus berkembang, termasuk dengan menyamar sebagai komunikasi internal, vendor, atau mitra bisnis.
Dengan simulasi rutin, perusahaan dapat melihat perkembangan awareness karyawan sekaligus menyesuaikan materi training berdasarkan hasil yang diperoleh.
Materi Cyber Security Training Khusus untuk Divisi IT dan Manajemen
Tidak semua materi cyber security training perlu diberikan dengan kedalaman yang sama kepada seluruh karyawan. Manajemen dan tim IT memiliki tanggung jawab yang berbeda, sehingga materi untuk keduanya perlu disesuaikan dengan risiko dan keputusan yang mereka hadapi.
1. Keamanan Data dan Insider Threat untuk Manajemen
Manajemen perlu memahami bagaimana kebijakan dan keputusan terkait akses data dapat memengaruhi keamanan organisasi. Materinya dapat mencakup:
- Perlindungan data sensitif: memahami cara menentukan dan melindungi data yang membutuhkan akses terbatas.
- Insider threat: mengenali risiko keamanan yang dapat muncul dari karyawan, kontraktor, atau pihak internal lainnya.
- Least privilege: memastikan akses terhadap data dan sistem hanya diberikan sesuai kebutuhan pekerjaan.
- Pengambilan keputusan: memahami peran manajemen dalam menentukan kebijakan dan respons ketika terjadi insiden keamanan.
2. Incident Response dan Keamanan Sistem untuk Tim IT
Tim IT membutuhkan materi yang lebih teknis dan berfokus pada kemampuan mencegah, mendeteksi, serta merespons insiden. Materinya dapat mencakup:
- Incident response: memahami langkah awal ketika terjadi insiden dan kapan insiden perlu dieskalasikan.
- Patch management: memastikan sistem dan aplikasi mendapatkan pembaruan keamanan secara rutin.
- Konfigurasi sistem: mengenali kesalahan konfigurasi seperti port yang terbuka, pengaturan akses yang terlalu longgar, atau layanan yang tidak diperlukan.
- Kredensial bawaan: memastikan akun dan password default sistem segera diganti setelah instalasi.
- Kontrol akses: meninjau hak akses secara berkala agar tidak lebih luas dari yang dibutuhkan.
Materi cyber security training khusus ini membantu manajemen memahami aspek keamanan dalam pengambilan keputusan, sementara tim IT memiliki bekal yang lebih praktis untuk menjaga sistem dan merespons insiden.
Cara Memilih Vendor Cyber Security Training yang Tepat
Menentukan materi saja belum cukup. Perusahaan juga perlu memastikan vendor yang dipilih mampu menyampaikan materi secara relevan dan mengukur apakah training benar-benar berdampak pada perilaku karyawan.
1. Sesuaikan Materi dengan Industri dan Peran Karyawan
Training sebaiknya tidak menggunakan template generik untuk semua perusahaan. Materi perlu mempertimbangkan risiko dan kebutuhan masing-masing peran agar lebih relevan dengan aktivitas kerja sehari-hari.
2. Pastikan Ada Simulasi dan Pengukuran
Program yang baik tidak berhenti pada modul e-learning, tetapi dilengkapi simulasi seperti phishing untuk menguji respons karyawan. Pastikan vendor juga menyediakan laporan dan metrik yang jelas, seperti tingkat partisipasi, hasil simulasi, dan perkembangan awareness.
3. Perhatikan Pembaruan Materi
Teknik serangan terus berkembang, sehingga materi training juga perlu diperbarui secara berkala agar tetap relevan dengan pola ancaman terbaru.
4. Pertimbangkan Pengalaman Vendor
Pengalaman vendor menangani perusahaan dari industri yang serupa juga layak dipertimbangkan. Risiko keamanan di sektor perbankan, misalnya, dapat berbeda dengan logistik atau ritel. Vendor yang memahami karakteristik industri akan lebih mudah menyesuaikan materi dengan kebutuhan perusahaan.
5. Minta Demo Sebelum Memilih
Jangan ragu meminta contoh materi atau demo singkat sebelum bekerja sama. Dari sini, perusahaan dapat menilai apakah format pembelajarannya sesuai dengan karakter karyawan, baik melalui video, gamifikasi, maupun modul singkat yang dapat diakses kapan saja.
Jika Anda sedang mencari program cyber security training untuk meningkatkan security awareness karyawan, DSG dapat membantu menyusun program sesuai kebutuhan perusahaan.
Program yang dijalankan bersama Kaspersky ASAP mencakup pembelajaran berbasis security awareness dan simulasi untuk membantu perusahaan melihat bagaimana karyawan merespons ancaman dalam situasi yang menyerupai kondisi nyata.
Diskusikan kebutuhan cyber security training perusahaan Anda bersama tim DSG.
