6 +1 LANGKAH MENYUSUN PROGRAM SECURITY AWARENESS

Ilustrasi: infocusemc.com

Security is only as strong as the weakest link, begitu kata para ahli di bidang security. Mungkin Anda sudah sering mendengar istilah tersebut, tapi tahukah Anda bahwa manusia kerap kali menjadi titik terlemah dalam upaya mengamankan informasi?

Maraknya malware yang menyebar melalui attachment (lampiran) e-mail belakangan ini menjadi salah satu bukti bahwa user awareness masih menjadi salah satu titik lemah yang seringkali berhasil dimanipulasi para penjahat maya. Bila user awareness di perusahaan anda masih terlihat lemah, artikel ini bisa Anda jadikan panduan untuk menyusun program peningkatan kesadaran keamanan informasi atau information security awareness.

1. Tentukan tujuan dan lingkup

Tahap pertama adalah menentukan tujuan dan lingkup program. Kita bisa membuat sebuah konten generik yang mencakup semua materi security awareness dan menyampaikannya ke semua orang. Namun jika kita menambah upaya pada area-area dengan risiko lebih tinggi, hasil program ini tentu akan lebih maksimal. Beberapa pertimbangan dalam menentukan tujuan dan lingkup antara lain:

Perilaku yang perlu diubah

Perhatikan dan identifikasi perilaku karyawan yang perlu diperbaiki. Beberapa contoh umum perilaku tersebut antara lain:

• Apakah mereka bersikap cuek jika ada orang mencurigakan tanpa tanda pengenal masuk ke lingkungan kantor?
• Apakah meja-meja mereka penuh dengan dokumen rahasia ketika mereka pulang?
• Apakah perusahaan sering kecolongan infeksi malware karena karyawan membuka e-mail attachment tanpa berpikir dua kali?

Tips: Pilihlah perilaku yang memiliki kecenderungan kejadian dan berpotensi dampak paling besar bagi perusahaan sebagai fokus utama program Anda.

Target peserta program

Identifikasi siapa karyawan yang hendak kita tingkatkan kesadarannya. Manajemen, manajer, fresh graduate, office boy, supir, vendor, atau peserta lain yang ada di perusahaan. Penentuan target peserta program ini penting karena cara penyampaian pesan belum tentu bisa kita samakan antara satu peserta dengan yang lain.

Tips: Sesuaikan bahasa dan metode yang digunakan dengan tingkat pemahaman partisipan.

Lokasi geografis

Lokasi geografis bisa menjadi tantangan tersendiri jika perusahaan Anda memiliki banyak cabang. Umumnya program security awareness pertama kali dilakukan di kantor pusat.

Tips: Awalilah dengan lingkup yang terbatas sesuai dengan kemampuan. Jika berhasil, Anda bisa menggunakan metode yang sama untuk lokasi lainnya.

Faktor eksternal

Faktor-faktor eksternal yang dapat memengaruhi tujuan dan lingkup program antara lain:

• Temuan audit: umumnya auditor akan memeriksa program security awareness sebagai salah satu kontrol umum yang sebaiknya ada di sebuah perusahaan.
• Regulasi: peraturan perbankan dan layanan jasa finansial di banyak negara sudah mewajibkan program security awareness.
• Tren keamanan informasi: kejadian-kejadian terkini bisa menjadi faktor yang dipertimbangkan dalam menyusun program security awareness.

2.Susun rencana

Susunlah rencana berdasarkan tujuan dan lingkup yang telah ditentukan. Aspek-aspek yang ada di dalam rencana sebaiknya meliputi paling tidak:

• Metode, frekuensi dan media penyampaian yang akan digunakan
• Parameter dan metode pengukuran
• Anggaran yang dibutuhkan
• Program security awareness dapat dibagi menjadi 2 bagian;

1. Bagian umum biasanya dilakukan setahun sekali untuk seluruh karyawan. Media yang sering digunakan berupa kelas online maupun offline, dan pesan yang disampaikan biasanya mencakup seluruh materi terkait security awareness.
2. Bagian tematik fokus pada perilaku yang ingin diubah. Media yang digunakan umumnya berupa poster, desktop wallpaper, booklet, dan media lain yang memuat sedikit pesan.

Tips:

-Variasi media penyampaian program security awareness dapat di baca di Majalah Info Komputer edisi Maret 2015.

-Satu rencana program security awareness dapat memuat beberapa target perubahan perilaku dan dengan target partisipan atau peserta yang sama atau berbeda.

3.Dapatkan dukungan manajemen

Dukungan manajemen adalah salah satu kunci sukses program security awareness. Tanpa dukungan dan komitmen manajemen, umumnya akan sulit bagi kita untuk mendorong karyawan berpartisipasi dalam program tersebut. Target dukungan dari manajemen adalah menjadikan program ini sebagai program yang wajib diikuti, dan meminta teladan dari manajemen dalam hal partisipasi.

Tips: Temuan audit dan regulasi dapat menjadi alat yang ampuh untuk mendapatkan dukungan dari manajemen.

4.Buat konten

Buatlah konten sesuai dengan tema dan media yang digunakan. Konten yang menarik dan mudah dipahami akan memberikan dampak yang lebih besar bagi partisipan.

Jika menggunakan media kelas (online maupun offline), susunlah sebuah tes kecil untuk mengukur sejauh mana pemahaman peserta terkait materi yang disampaikan.

Tips: Dalam menyusun konten, ikutilah panduan identitas perusahaan (umumnya terkait pemilihan warna, jenis tulisan dan tata letak) agar konten yang disusun tidak tampak seperti “benda asing”.

5.Jalankan programnya

Setelah konten siap, maka program pun dapat dimulai. Sampaikan konten kepada para peserta, dan dorong mereka untuk berpartisipasi. Beberapa hal berikut dapat dilakukan untuk memastikan pesan tersampaikan:

• Jika menggunakan media poster, pasanglah di lokasi-lokasi strategis seperti di depan/dalam lift, pantry dan ruang rapat.
• Jika menggunakan e-mail, gunakan subject yang menarik dan kirim e-mail tersebut pada waktu di mana e-mail tersebut besar kemungkinannya dibaca, misalnya setelah makan siang.
• Jika melalui presentasi, gunakanlah contoh-contoh nyata dan sampaikan cerita-cerita yang menarik. Lemparkan pertanyaan pada peserta setiap 10-15 menit, dan berikan hadiah kecil bagi yang bisa menjawab pertanyaan.
• Jika anda mengadakan kelas (online/offline), hal-hal berikut bisa dilakukan untuk mendorong partisipasi karyawan:
• Pantau dan laporkan tingkat partisipasi dari waktu ke waktu kepada manajemen dan karyawan. Tingkat partisipasi bisa disusun per unit kerja. Berikan pujian bagi unit kerja yang aktif berpartisipasi dan berikan semangat pada unit kerja yang masih rendah tingkat partisipasinya.

Mintalah pada manajemen untuk memberi dorongan kepada karyawan untuk berpartisipasi, paling tidak melalui e-mail.

Berikan hadiah bagi peserta yang mendapatkan nilai tes tertinggi, atau penghargaan lainnya.

Tips: Bukalah jalur komunikasi bagi karyawan untuk bertanya seputar program security awareness.

6.Ukur dan rayakan

Setelah pesan disampaikan dalam jangka waktu tertentu, lakukanlah pengukuran agar kita tahu sejauh mana keberhasilan program ini. Jika pada saat penyampaian pesan diikuti dengan tes kecil, kita tinggal menganalisa hasil test tersebut. Jika tidak, maka kita bisa melakukan wawancara kepada beberapa karyawan.

Rayakanlah sekecil apapun keberhasilan program security awareness bersama dengan seluruh karyawan dan manajemen. Paling tidak dengan cara mengirimkan e-mail yang berisi:

• Ucapan terimakasih dan selamat dari manajemen kepada para partisipan dan pemenang (bila ada)
• Statistik yang menarik seperti tingkat partisipasi, unit kerja yang paling aktif dan hasil pengukuran yang telah dilakukan.

7.Reward and punishment

Langkah satu sampai enam fokus pada pemahaman materi. Untuk mempercepat perubahan perilaku, kita bisa menerapkan sistem reward & punishment. Reward & punishment terkait kesadaran keamanan informasi bisa dilakukan dengan ringan dan fun. Beberapa contoh yang bisa dilakukan adalah:

Memasang bendera hitam yang terlihat semua orang di meja kerja pelanggar

Menyampaikan pesan tertulis (peringatan atau pujian ) yang ditandatangani oleh salah satu direktur

Mengganti desktop wallpaper pelanggar dengan pesan terkait aturan yang dilanggar selama waktu tertentu.

Bagi aturan-aturan yang lebih serius dan berdampak besar bagi perusahaan, sistem reward & punishment tentunya perlu diterapkan dengan lebih serius sesuai dengan kebijakan SDM yang berlaku.

Selamat mencoba!

Penulis : Aat Ruhimat, CISA (Praktisi IT GRC & Information Security)