Konsep

Security Culture

Sikap, keyakinan, dan perilaku sehari-hari bersama seputar keamanan yang ada di seluruh organisasi, melampaui kebijakan dan pelatihan formal.

Definisi

Security culture mengacu pada nilai, sikap, dan perilaku sehari-hari bersama yang dipegang karyawan di setiap tingkat organisasi terhadap keamanan, membentuk bagaimana orang benar-benar bertindak saat tidak ada yang mengawasi, bukan hanya apa yang dikatakan dokumen kebijakan seharusnya mereka lakukan. Security culture yang kuat berarti perilaku aman menjadi kebiasaan alami, bukan kewajiban kepatuhan.

Security culture terlihat dalam momen kecil sehari-hari: apakah karyawan melaporkan email mencurigakan atau diam-diam menghapusnya, apakah seseorang mempertanyakan orang asing di area yang diamankan atau menganggapnya bukan urusannya, dan apakah manajer memperlakukan kesalahan yang dilaporkan sebagai kesempatan belajar atau alasan untuk menyalahkan. Budaya ini dibentuk sama besarnya oleh perilaku kepemimpinan dan nada manajemen seperti halnya oleh konten pelatihan formal, karena karyawan cepat menyadari ketika para eksekutif sendiri mengabaikan kebijakan keamanan yang mereka harapkan diikuti orang lain. Budaya yang benar-benar kuat menjadikan pilihan aman sebagai jalur dengan hambatan paling sedikit dalam pekerjaan sehari-hari, alih-alih memerlukan usaha sadar yang terus-menerus.

Security culture penting diwaspadai karena kontrol teknis dan kebijakan saja tidak dapat mencegah setiap insiden, dan organisasi dengan budaya yang kuat cenderung menangkap dan melaporkan masalah lebih cepat, karena karyawan merasa aman menyampaikan kekhawatiran alih-alih menyembunyikan kesalahan karena takut. Organisasi Indonesia yang mengarungi norma tempat kerja hierarkis sekaligus ekspektasi regulasi yang meningkat dari OJK dan BSSN diuntungkan oleh budaya di mana staf junior merasa berdaya untuk mempertanyakan permintaan mencurigakan dari seseorang yang lebih senior, karena hierarki jika tidak dapat menghalangi justru perilaku yang dibutuhkan keamanan. Budaya juga yang menentukan apakah pelatihan benar-benar mengubah perilaku atau diperlakukan sebagai latihan centang kotak untuk diselesaikan dan dilupakan.

Membangun security culture dimulai dari komitmen kepemimpinan yang terlihat, di mana eksekutif mencontohkan perilaku yang diharapkan dari semua orang, dipadukan dengan program penghargaan yang merayakan perilaku keamanan yang baik, bukan hanya menghukum kegagalan. Membuat pelaporan aktivitas mencurigakan mudah dan tanpa hambatan, tanpa rasa takut disalahkan atas kesalahan yang jujur, mendorong perilaku pelaporan yang menjadi andalan budaya yang kuat. Mengukur budaya secara tidak langsung, melalui metrik seperti reporting rate dan keterlibatan dalam pelatihan, berdampingan dengan survei sikap karyawan yang lebih langsung, membantu melacak apakah upaya membangun budaya benar-benar berhasil.

Sekilas info

Jenis
Konsep organisasi

Cara kerjanya

  1. 1

    Momen sehari-hari: budaya terlihat dari apakah karyawan melaporkan email mencurigakan atau diam-diam menghapusnya.

  2. 2

    Nada kepemimpinan: eksekutif yang mencontohkan perilaku aman membentuk seberapa serius karyawan menganggap kebijakan.

  3. 3

    Keamanan psikologis: karyawan yang merasa aman menyampaikan kekhawatiran melaporkan masalah lebih cepat.

  4. 4

    Pengakuan: merayakan perilaku keamanan yang baik memperkuatnya lebih dari sekadar menghukum kegagalan.

  5. 5

    Pengukuran tidak langsung: tingkat pelaporan dan keterlibatan pelatihan menjadi proksi kesehatan budaya.

Poin utama

  • Security culture adalah apa yang benar-benar dilakukan orang saat tidak ada yang mengawasi, bukan apa yang dikatakan dokumen kebijakan
  • Budaya ini dibentuk sama besarnya oleh perilaku kepemimpinan seperti halnya konten pelatihan formal
  • Budaya yang kuat menjadikan pilihan aman sebagai jalur dengan hambatan paling sedikit
  • Hierarki dapat menghalangi staf junior mempertanyakan permintaan mencurigakan dari seseorang yang lebih senior
  • Budaya menentukan apakah pelatihan mengubah perilaku atau diperlakukan sebagai latihan centang kotak

Praktik terbaik

  • Buat kepemimpinan secara terlihat mencontohkan perilaku keamanan yang diharapkan dari semua orang
  • Akui dan rayakan perilaku keamanan yang baik, bukan hanya menghukum kegagalan
  • Buat pelaporan aktivitas mencurigakan mudah dan bebas dari rasa disalahkan
  • Berdayakan staf junior untuk mempertanyakan permintaan tidak wajar terlepas dari senioritas
  • Ukur budaya secara tidak langsung lewat tingkat pelaporan dan keterlibatan pelatihan, berdampingan dengan survei langsung

Contoh nyata

Di sebuah instansi pemerintah, seorang staf junior menyadari orang asing di area yang diamankan dan, meski orang tersebut tampak percaya diri, meminta untuk melihat kartu identitasnya. Budaya instansi yang mendorong pertanyaan semacam ini, diperkuat oleh pujian pimpinan atas laporan tersebut, berhasil menangkap pengunjung tak berwenang yang sesungguhnya.

Bagaimana Claro membantu

Skor budaya Claro mengagregasikan sinyal perilaku dari simulasi phishing, pelaporan, dan keterlibatan pelatihan menjadi satu ukuran yang dapat dilacak, memberi pemimpin keamanan visibilitas terhadap budaya, bukan hanya penyelesaian kepatuhan.

Pertanyaan yang sering diajukan

Apa sebenarnya security culture itu?

Nilai, sikap, dan perilaku sehari-hari bersama yang dipegang karyawan di setiap tingkat terhadap keamanan, membentuk bagaimana orang bertindak saat tidak ada yang mengawasi, bukan hanya apa yang dikatakan kebijakan.

Apa bedanya security culture dengan pelatihan kesadaran keamanan?

Pelatihan menyampaikan pelajaran dan keterampilan spesifik. Budaya adalah lingkungan yang lebih luas dari sikap bersama dan perilaku kepemimpinan yang menentukan apakah pelajaran itu benar-benar mengubah perilaku sehari-hari.

Mengapa perilaku kepemimpinan begitu penting bagi budaya?

Karyawan cepat menyadari ketika eksekutif mengabaikan kebijakan keamanan yang mereka harapkan diikuti orang lain, yang merusak budaya lebih cepat daripada celah pelatihan apa pun.

Bagaimana organisasi dapat mengukur security culture-nya?

Secara tidak langsung, lewat metrik seperti tingkat pelaporan phishing dan keterlibatan pelatihan, dipadukan dengan survei sikap karyawan yang lebih langsung.

Istilah terkait

Manajemen Risiko Manusia

Disiplin keamanan untuk mengidentifikasi, mengukur, dan menurunkan risiko yang ditimbulkan orang melalui perilaku mereka sehari-hari.

Pelatihan Kesadaran Keamanan

Pelatihan kesadaran keamanan adalah edukasi terstruktur yang melatih karyawan mengenali dan menanggapi ancaman siber seperti phishing, rekayasa sosial, dan penanganan data yang tidak aman.

Phish-Prone Rate

Persentase karyawan yang gagal dalam tes phishing simulasi dengan mengklik tautan, membuka lampiran, atau mengirimkan kredensial.

Just-in-Time Awareness

Pelatihan keamanan singkat dan kontekstual yang disampaikan tepat saat tindakan berisiko terjadi, seperti segera setelah mengklik tautan phishing simulasi.

Kurangi risiko manusia Anda

Claro mengukur dan menurunkan risiko yang dijelaskan istilah-istilah ini, dalam bahasa Inggris dan Bahasa Indonesia.

Minta demo