Mengapa Faktor Manusia Penting untuk Keberhasilan Keamanan Siber

Kompleksitas keamanan siber tumbuh secara eksponensial seiring bertambahnya perangkat digital yang saling terhubung. Karena infrastruktur komputer yang saling bergantung mendukung hampir setiap organisasi saat ini, melindungi data digital telah menjadi krusial.

Tiga puluh tujuh persen CEO yang disurvei mengatakan risiko signifikan berada di dalam bisnis yang luas dan mitra enterprise kunci. Dan tindakan pencegahan saja tidak lagi cukup. Lingkungan baru menuntut pemantauan yang waspada dan inovasi kreatif. Ini memerlukan partisipasi semua pemangku kepentingan.

Elemen manusia adalah kunci. Seberapa baik Anda memeriksa, melatih, dan melengkapi karyawan akan membuat atau merusak sistem keamanan siber Anda, reputasi Anda dengan pelanggan dan mitra, dan mungkin bisnis itu sendiri.

Meskipun 89 persen pimpinan C-suite percaya karyawan akan melindungi informasi dengan bertanggung jawab, 22 persen mengatakan karyawan mereka tidak menyadari kebijakan data luar kantor. Perangkat yang paling berisiko adalah ponsel perusahaan (50 persen), laptop perusahaan (45 persen), dan perangkat penyimpanan USB (41 persen).

Dalam laporan tentang 2018 Views From the C-Suite, A.T. Kearney menemukan bahwa 85 persen perusahaan mengalami pelanggaran keamanan dalam setahun terakhir. Hanya 40 persen yang merancang dan menerapkan strategi keamanan siber sebagai tanggapan.

Selain berfokus pada karyawan, penting untuk membawa seluruh rantai pasok ke dalam papan. Pemimpin perusahaan menyebut empat taktik teratas untuk memastikan keamanan siber yang viable:

• Langkah keamanan informasi yang komprehensif,
• Perekrutan profesional TI yang terampil,
• Analitik perilaku keamanan siber, dan
• Program pelatihan karyawan.

Paradigma baru untuk keamanan siber adalah melibatkan, meyakinkan, mendidik, mengonversi, dan memberikan reward. Pengguna akhir seringkali secara tidak adil dikenal sebagai tidak kooperatif, anti kontrol, dan tidak ingin mengubah perilaku. Pada saat yang sama, mereka adalah titik terlemah dalam keamanan siber. Bahkan pakar teknis dalam pun bisa sama rentan dengan pengguna biasa yang kurang terlatih dan siap.

Contoh nyata: Beberapa tahun lalu, sebagai CISO dari operator nirkabel di Amerika Selatan, saya ditugaskan untuk mengurangi jumlah kebocoran data yang naik. Eksekutif senior merekomendasikan penegakan kebijakan keamanan yang ketat. Menurutnya, pengguna akhir sudah netral tentang keamanan dan tidak responsif terhadap kampanye untuk meningkatkan kontrol internal.

Saya memutuskan untuk mengambil sikap kontran. Pengalaman telah meyakinkan saya bahwa untuk menciptakan solusi yang viable, kita harus melibatkan semua pemangku kepentingan — setiap individu yang terpengaruh oleh kebijakan, teknologi, dan keputusan — bukan hanya mereka yang duduk di ruang rapat dewan direktur.

Alih-alih menghukum pengguna akhir dan hanya berfokus pada penegakan kontrol, kita memanggil serangkaian pertemuan dengan karyawan untuk berbagi praktik terbaik, menentukan titik nyeri mereka, dan memberikan panduan langkah demi langkah tentang cara menggunakan alat keamanan dengan benar.

Ternyata banyak kebijakan keamanan sudah usang karena serangkaian gabungan perusahaan. Selain itu, pengguna menghadapi praktik kedaluwarsa kata sandi 30 hari yang memberatkan dengan menulis kode akses mereka pada kertas Post-It. Orang-orang dengan niat buruk telah mendapatkan akses tidak sah.

Berdasarkan umpan balik dari karyawan, kami memperbarui kebijakan dan menulis ulang prosedur dan standar sehingga relevan dan jelas. Kartu skor digunakan untuk melacak kemajuan, dan sistem reward diterapkan. Kebocoran data turun, dan loop umpan balib terbentuk antara pengguna dan departemen keamanan untuk menjaga program tetap relevan. Pengguna akhir diundang ke dalam proses, dengan loop edukasi untuk mendeteksi masalah potensial.

Pengalaman ini mengonfirmasi kembali bahwa proses desain yang berpusat pada pemangku kepentingan dan manusia, yang bergantung pada melibatkan, mendidik, mengonversi, dan memberikan reward alih-alih menghukum, menghasilkan solusi keamanan siber yang paling komprehensif dan berkelanjutan.

J. Eduardo Campos memimpin perusahaan konsultan Embedded-Knowledge Inc.