Memetakan Pelatihan Kesadaran Keamanan ke Bukti Kepatuhan: Panduan Praktis untuk OJK, UU PDP, dan ISO 27001

Sebagian besar institusi keuangan dan perusahaan di Indonesia sudah menjalankan simulasi phishing dan pelatihan kesadaran keamanan dalam beberapa bentuk. Namun ketika pemeriksa OJK, peninjau kepatuhan UU PDP, atau auditor utama ISO 27001 meminta bukti efektivitas program kesadaran, slide ringkasan yang menampilkan tingkat kelulusan 82 persen jarang memuaskan mereka. Auditor menginginkan keterlacakan: karyawan mana yang diuji, pada tanggal berapa, dengan skenario serangan simulasi apa, apa yang mereka lakukan, dan apa tindak lanjutnya. Tanpa detail sedetail itu, program yang sebenarnya berjalan baik pun bisa gagal saat audit hanya karena tidak mampu membuktikan dirinya sendiri.

Kesenjangan ini umum terjadi karena platform simulasi dan sistem pelatihan sering diperlakukan sebagai alat operasional, bukan sistem pembuktian. Tim keamanan cenderung mengoptimalkan angka click-through rate dan persentase penyelesaian, yaitu metrik yang relevan untuk pelaporan internal ke manajemen. Auditor, sebaliknya, bekerja mundur dari pernyataan kontrol, misalnya bahwa institusi wajib menguji secara berkala kesadaran staf terhadap risiko rekayasa sosial dan memperbaiki kesenjangan yang ditemukan, dan mereka mengharapkan rantai bukti yang menghubungkan individu tertentu, kejadian bertanggal, dan tindakan perbaikan yang terdokumentasi.

Solusinya bukan menambah frekuensi pengujian, melainkan memperlakukan setiap simulasi phishing, setiap penugasan pelatihan, dan setiap email yang dilaporkan sebagai artefak kepatuhan sejak awal dibuat, bukan disusun ulang menjadi laporan dua minggu sebelum audit. Artinya, data pada level tenant, level pengguna, dan bertanggal waktu harus ditangkap sejak dirancang, lalu diekspor dalam format yang tetap bisa dibaca dan diverifikasi oleh auditor yang bahkan belum pernah menggunakan Claro sebelumnya.

Dalam praktiknya, paket bukti program kesadaran yang kredibel bertumpu pada empat pilar. Pilar pertama adalah hasil simulasi: siapa yang menerima skenario phishing, vishing, smishing, atau quishing simulasi tertentu, pada tanggal berapa, dan tindakan apa yang mereka ambil, apakah membuka, mengklik, mengirimkan kredensial, atau melaporkannya. Pilar kedua adalah penyelesaian pelatihan: siapa yang ditugaskan modul atau jalur pembelajaran tertentu, kapan, apakah mereka menyelesaikannya, dan skor kuis mereka dibandingkan ambang batas kelulusan.

Pilar ketiga adalah sinyal perilaku di luar sekadar lulus atau gagal: tingkat pelaporan phishing, yaitu persentase karyawan yang benar-benar melaporkan email phishing, baik simulasi maupun nyata, melalui tombol atau portal pelaporan dan bukan sekadar tidak mengklik, serta keterlibatan kesadaran just-in-time (JIT), yang menunjukkan bahwa pengguna yang mengklik langsung disuguhi materi koreksi dan dapat dibuktikan telah membacanya. Pilar keempat adalah tren skor risiko: skor risiko per pengguna dan per departemen yang teragregasi dan dapat dipertanggungjawabkan, yang bergerak dari waktu ke waktu, membuktikan bahwa program ini benar-benar mengubah perilaku, bukan sekadar mengukurnya satu kali.

Masing-masing pilar, jika berdiri sendiri, hanyalah metrik. Namun jika digabungkan dan dikaitkan dengan individu bernama serta kejadian bertanggal, keempatnya membentuk narasi yang bisa diikuti auditor: orang ini mengklik pada bulan Maret, dilatih ulang dalam 48 jam, melaporkan upaya simulasi berikutnya pada bulan April, dan skor risiko individunya turun dari tinggi menjadi sedang pada bulan Juni. Narasi semacam itu, yang terulang pada sampel tenaga kerja yang representatif, adalah yang mengubah program pelatihan menjadi bukti audit yang sesungguhnya.

POJK 11/2022 tentang ketahanan dan keamanan siber bagi bank umum, serta aturan sejenis untuk lembaga jasa keuangan lain yang diatur OJK, mengharapkan kontrol risiko operasional yang dapat dibuktikan terhadap manusia, bukan hanya teknologi. Pemeriksa mencari bukti bahwa staf, terutama yang memiliki akses ke dana atau data nasabah, diuji terhadap skenario rekayasa sosial yang realistis secara berkala, dan bahwa kegagalan memicu jalur perbaikan yang terdokumentasi, bukan sekadar dicatat lalu diabaikan. Catatan hasil simulasi dan penyelesaian pelatihan Anda, yang dikaitkan dengan peran jabatan dan departemen, merupakan bukti langsung untuk kontrol ini.

UU PDP, Undang-Undang Perlindungan Data Pribadi Indonesia, tidak secara eksplisit menyebut simulasi phishing, namun prinsip akuntabilitasnya mewajibkan pengendali data untuk menunjukkan langkah organisasi yang melindungi data pribadi, termasuk bukti bahwa staf yang menangani data pribadi memahami risiko rekayasa sosial yang dapat berujung pada kebocoran data. Catatan yang menunjukkan bahwa karyawan dengan akses data menyelesaikan pelatihan kesadaran, memahami jalur pelaporan, dan diuji ulang setelah terjadi kelalaian, mendukung standar langkah teknis dan organisasi yang memadai yang semakin sering ditanyakan dalam penegakan UU PDP dan audit oleh petugas perlindungan data.

ISO 27001:2022 kontrol Lampiran A 6.3, yaitu kesadaran, edukasi, dan pelatihan keamanan informasi, adalah yang paling eksplisit dari ketiganya: kontrol ini mensyaratkan bukti adanya program pelatihan, bukti tinjauan berkala atas efektivitasnya, dan bukti bahwa ketidaksesuaian, artinya orang yang gagal, ditangani. Auditor lembaga sertifikasi biasanya akan mengambil sampel catatan karyawan individual selama audit pengawasan, sehingga memiliki riwayat penyelesaian dan simulasi per pengguna yang siap diekspor, bukan terkubur dalam dasbor, adalah pembeda antara audit pengawasan yang lancar dan temuan yang harus ditindaklanjuti.

Mulai dari cakupan dan sampel: tentukan populasi yang harus dicakup paket bukti untuk siklus audit ini, baik itu seluruh staf, unit bisnis tertentu, atau seluruh pengguna dengan akses data, dan siapkan diri untuk menghasilkan catatan bagi sampel yang secara statistik wajar yang dipilih auditor secara langsung di tempat, bukan hanya angka agregat. Selanjutnya, tarik keempat pilar untuk populasi dan periode tersebut: partisipasi dan hasil simulasi, penugasan dan penyelesaian pelatihan, tingkat pelaporan phishing, dan pergerakan skor risiko, masing-masing dapat diekspor ke CSV atau PDF lengkap dengan nama, tanggal, dan departemen, disamarkan hanya jika konteks audit secara spesifik mensyaratkan anonimisasi.

Lengkapi dengan dokumen naratif yang diharapkan auditor mendampingi data mentah: aturan penugasan atau kebijakan yang menentukan siapa yang diuji dan seberapa sering, definisi alur kerja perbaikan, yaitu apa yang terjadi secara otomatis ketika seseorang mengklik dan apa yang dilakukan manajer ketika seseorang berulang kali gagal, serta ringkasan eksekutif satu halaman yang menerjemahkan angka menjadi narasi risiko yang dapat diikuti oleh anggota dewan atau pemeriksa tanpa latar belakang teknis. Pembuatan laporan kepatuhan yang menghasilkan PDF bermerek Claro per kerangka kerja, OJK, ISO 27001, PDPA, atau ringkasan dewan, dengan tabel cakupan kontrol yang sudah dipetakan, adalah tepat lapisan ini, dan seharusnya tidak memerlukan penataan ulang manual pada malam sebelum pengumpulan.

Terakhir, sertakan catatan metodologi singkat: apa arti mengklik, melaporkan, dan menyelesaikan secara operasional di platform Anda, bagaimana skor risiko dihitung, dan berapa lama catatan disimpan. Auditor lebih percaya pada bukti ketika metodologi di baliknya eksplisit dan konsisten dari satu rilis ke rilis berikutnya, alih-alih harus dijelaskan secara lisan di ruang audit. Lampiran metodologi satu halaman, yang diperbarui setiap kali logika penilaian berubah, menghilangkan sebagian besar pertanyaan lanjutan sebelum sempat diajukan.

Kesalahan terbesar adalah memperlakukan pengumpulan bukti sebagai sprint menjelang audit. Pada saat pemberitahuan pemeriksaan OJK atau jadwal audit pengawasan ISO sudah dikonfirmasi, sudah terlambat untuk memperbaiki enam bulan aturan penugasan yang tidak konsisten atau kesenjangan data tingkat pelaporan yang tidak terjelaskan. Sebagai gantinya, buat dan arsipkan paket bukti triwulanan sebagai kebiasaan operasional tetap, sama seperti laporan keuangan yang ditutup setiap bulan terlepas dari kapan audit eksternal tiba.

Otomatiskan apa yang bisa diotomatiskan: jalankan laporan kepatuhan terjadwal, bukan yang dipicu manual dan hanya diingat ketika seseorang kebetulan teringat, yang menghasilkan tampilan cakupan kontrol terkini, tren skor risiko terbaru, dan status penyelesaian setiap triwulan, disimpan dalam arsip bukti yang sama dengan triwulan-triwulan sebelumnya. Ini mengubah proses menghasilkan bukti untuk dua belas bulan terakhir dari kepanikan mendadak menjadi sekadar ekspor dua belas snapshot yang sudah dihasilkan sebelumnya.

Terakhir, tinjau paket bukti itu sendiri untuk mencari kesenjangan sebelum auditor melakukannya. Apakah ada departemen tanpa riwayat simulasi karena baru ditambahkan ke tenant belakangan. Apakah ada aturan penugasan pelatihan yang diam-diam berhenti berjalan setelah reorganisasi. Apakah skor risiko menunjukkan plateau yang pasti akan ditanyakan auditor yang teliti. Menutup kesenjangan ini secara proaktif, triwulan demi triwulan, adalah yang membedakan tim keamanan yang sekadar menjalankan program dari tim yang dapat membuktikan, kapan pun diminta, bahwa program tersebut benar-benar berhasil.