Elemen Manusia Penting dalam Strategi Keamanan Siber
Kompleksitas keamanan siber telah tumbuh secara eksponensial seiring dengan meningkatnya jumlah perangkat digital yang dapat saling terhubung. Karena infrastruktur komputer yang saling bergantung mendukung hampir setiap organisasi saat ini, melindungi data digital menjadi sangat penting.
Tiga puluh tujuh persen CEO yang disurvei mengatakan risiko signifikan terletak pada bisnis yang diperluas dan mitra perusahaan utama. Dan tindakan pencegahan saja tidak cukup lagi. Lingkungan baru menuntut pemantauan yang cermat dan inovasi kreatif. Ini membutuhkan partisipasi semua pemangku kepentingan.
Elemen manusia adalah kuncinya. Seberapa baik Anda memeriksa, melatih, dan memperlengkapi karyawan akan membuat atau menghancurkan sistem keamanan siber Anda, reputasi Anda di mata pelanggan dan mitra, dan bahkan mungkin bisnis Anda sendiri.
Sementara 89 persen dari C-suite percaya bahwa karyawan akan menjaga informasi secara bertanggung jawab, 22 persen mengatakan bahwa karyawan mereka tidak mengetahui kebijakan data di luar lokasi. Perangkat yang paling berisiko adalah ponsel perusahaan (50 persen), laptop perusahaan (45 persen), dan perangkat penyimpanan USB (41 persen).
Dalam laporannya tentang 2018 Views From the C-Suite , PADA. Kearney menemukan bahwa 85 persen perusahaan mengalami pelanggaran keamanan pada tahun lalu. Hanya 40 persen yang merancang dan menerapkan strategi keamanan siber sebagai tanggapan.
Selain berfokus pada karyawan, penting untuk membawa seluruh rantai pasokan ke dalamnya. Para pemimpin perusahaan mengutip empat taktik utama untuk memastikan keamanan siber yang layak:
- Langkah-langkah keamanan informasi yang komprehensif,
- Mempekerjakan profesional TI yang sangat terampil,
- Analisis perilaku keamanan siber, dan
- Program pelatihan karyawan.
Paradigma baru untuk keamanan siber adalah melibatkan, meyakinkan, mendidik, mengubah, dan memberi penghargaan. Pengguna akhir sering kali secara tidak adil distereotipkan sebagai tidak kooperatif, menolak kontrol, dan tidak mau mengubah perilaku. Pada saat yang sama, mereka adalah mata rantai terlemah dalam keamanan siber. Bahkan pakar teknis mendalam pun bisa sama rentannya dengan pengguna biasa yang kurang terlatih dan siap.
Contoh nyata:Bertahun-tahun yang lalu, sebagai CISO dari operator nirkabel di Amerika Selatan, saya ditugaskan untuk mengurangi meningkatnya jumlah kebocoran data. Seorang eksekutif senior merekomendasikan penegakan kebijakan keamanan yang berat. Pengguna akhir, katanya, tidak berkomitmen terhadap keamanan, dan tidak responsif terhadap kampanye untuk meningkatkan kontrol internal.
Saya memutuskan untuk mengambil sikap kontrarian. Pengalaman telah meyakinkan saya bahwa untuk membuat solusi yang layak, kami harus melibatkan semua pemangku kepentingan — setiap individu yang dipengaruhi oleh kebijakan, teknologi, dan keputusan — bukan hanya mereka yang duduk di ruang rapat.
Alih-alih menghukum pengguna akhir dan hanya berfokus pada penegakan kontrol, kami mengadakan serangkaian pertemuan dengan karyawan untuk berbagi praktik terbaik, menentukan titik kesulitan mereka, dan memberikan panduan langkah demi langkah tentang cara menggunakan alat keamanan dengan benar.
Ternyata banyak kebijakan keamanan yang kedaluwarsa karena serangkaian merger. Selain itu, pengguna berurusan dengan praktik kedaluwarsa kata sandi 30 hari yang rumit dengan menulis kode akses mereka pada catatan Post-It. Oleh karena itu, orang-orang yang bermaksud jahat telah mendapatkan akses yang tidak sah.
Berdasarkan umpan balik dari karyawan, kami memperbarui kebijakan dan menulis ulang prosedur dan standar sehingga relevan dan jelas. Kartu skor digunakan untuk melacak kemajuan, dan sistem penghargaan dilembagakan. Kebocoran data menurun, dan lingkaran umpan balik dibuat antara pengguna dan departemen keamanan untuk menjaga program tetap relevan. Pengguna akhir dibawa ke dalam proses, dengan lingkaran pendidikan untuk menemukan potensi masalah.
Pengalaman tersebut menegaskan kembali bahwa proses desain yang berpusat pada pemangku kepentingan dan manusia, mengandalkan pelibatan, mendidik, mengubah, dan memberi penghargaan alih-alih menghukum, menghasilkan solusi keamanan siber yang paling komprehensif dan berkelanjutan.
J. Eduardo Campos mengepalai firma konsultan Embedded-Knowledge Inc.
