Cara Mengukur Budaya Keamanan: Lebih dari Sekadar Tingkat Penyelesaian

Sebagian besar program kesadaran keamanan melaporkan satu angka saja kepada manajemen: persentase karyawan yang telah menyelesaikan modul pelatihan yang ditugaskan. Angka ini mudah dikumpulkan, mudah divisualisasikan dalam grafik, namun hampir sama sekali tidak berkaitan dengan apakah seseorang benar-benar akan bersikap berbeda ketika email yang meyakinkan masuk ke kotak masuk mereka. Tingkat penyelesaian 98 persen hanya berarti karyawan mengklik melewati slide atau menonton video; angka itu tidak menunjukkan apakah mereka mampu mengenali surat edaran OJK palsu atau notifikasi gaji dari HR yang dipalsukan. Regulator dan dewan direksi kini semakin menyadari kesenjangan ini, dan menyamakan penyelesaian pelatihan dengan kemampuan sebenarnya mulai menimbulkan kecurigaan, bukan rasa aman.

Masalah ini semakin besar ketika penyelesaian pelatihan menjadi satu-satunya indikator keberhasilan program, karena hal itu menciptakan insentif untuk mengejar kepatuhan administratif, bukan perubahan perilaku. Tim pelatihan mengirim pengingat berulang kali sampai angkanya naik, karyawan belajar mengklik secepat mungkin agar cepat selesai, dan keterampilan yang sesungguhnya, mengenali manipulasi, memverifikasi pengirim, melaporkan pesan mencurigakan, tidak pernah benar-benar diukur. Ini setara dengan mengajar demi ujian semata: metrik membaik sementara risiko yang mendasarinya tetap datar atau justru memburuk.

Program budaya keamanan yang matang memperlakukan tingkat penyelesaian sebagai standar minimum, bukan angka utama yang dibanggakan. Angka ini tetap diperlukan, karena regulator termasuk OJK mengharapkan catatan pelatihan yang terdokumentasi, tetapi ia adalah titik awal pengukuran, bukan tujuan akhirnya. Bagian selanjutnya dari artikel ini membahas metrik yang benar-benar berkorelasi dengan penurunan risiko organisasi, dan bagaimana mengubahnya menjadi sesuatu yang dapat dipercaya oleh dewan direksi maupun pemeriksa OJK.

Tingkat pelaporan, yaitu persentase simulasi phishing dan upaya phishing sungguhan yang dilaporkan karyawan melalui kanal yang benar, adalah indikator tunggal terkuat dari budaya keamanan yang sehat. Metrik ini menangkap sesuatu yang tidak bisa ditangkap oleh tingkat penyelesaian: apakah karyawan secara aktif berpartisipasi dalam pertahanan organisasi, bukan sekadar menghindari sanksi secara pasif. Tingkat pelaporan yang meningkat, terutama jika kenaikannya lebih cepat dibanding penurunan tingkat klik, menandakan bahwa karyawan benar-benar menginternalisasi perilaku yang diinginkan: berhenti sejenak, verifikasi, lalu laporkan.

Penurunan jumlah pengklik berulang lebih penting dibanding tingkat klik agregat, karena sekelompok kecil pengklik kebiasaan biasanya menyumbang porsi risiko organisasi yang tidak proporsional. Lacak persentase karyawan yang mengklik dua kali atau lebih dalam jendela bergulir dua belas bulan, dan amati apakah kelompok ini menyusut seiring waktu setelah intervensi yang tepat sasaran diterapkan. Tingkat klik agregat bisa saja terlihat baik padahal populasi pengklik berulang tetap ada dan tetap berbahaya; segmentasi data inilah yang mengungkap kebenarannya.

Dwell time, yaitu jeda waktu antara email phishing diterima dan klik atau laporan pertama, menunjukkan seberapa cepat karyawan memproses sinyal mencurigakan. Dwell time menuju pelaporan yang semakin singkat, artinya karyawan bergerak cepat menandai sesuatu, dipadukan dengan dwell time menuju klik yang semakin panjang, artinya karyawan ragu sebelum berinteraksi, menunjukkan kehati-hatian perilaku yang benar-benar berkembang, bukan sekadar kesadaran konsep semata. Tidak ada satu pun dari angka ini yang bermakna sebagai potret sesaat; nilainya terletak pada tren lintas kuartal, dikorelasikan dengan tingkat kesulitan kampanye dan departemen.

Data perilaku menunjukkan apa yang dilakukan karyawan; survei budaya keamanan yang tervalidasi menunjukkan alasannya, dan menutup kesenjangan antara asumsi manajemen dan keyakinan sebenarnya dari karyawan. Instrumen singkat dan anonim yang mencakup rasa tanggung jawab, kepercayaan diri untuk melapor tanpa konsekuensi negatif, dan pemahaman kebijakan, dijalankan dua kali setahun, akan mengungkap masalah yang tidak akan terlihat hanya dari data klik semata, misalnya sebuah departemen yang enggan melapor karena khawatir hal itu akan dinilai buruk terhadap mereka.

Buat survei tetap singkat, sepuluh hingga lima belas pertanyaan, tetap anonim pada tingkat individu namun dapat disegmentasi berdasarkan departemen dan masa kerja, dan ulangi dengan jadwal tetap agar trennya dapat dibandingkan. Dalam konteks Indonesia, jalankan survei dalam Bahasa Indonesia sebagai bahasa utama dengan opsi Bahasa Inggris tersedia, karena survei yang hanya disediakan dalam Bahasa Inggris akan secara sistematis mengaburkan kekhawatiran staf cabang garis depan yang kurang nyaman menyampaikan nuansa dalam bahasa kedua.

Silangkan sentimen survei dengan metrik perilaku setiap kuartal. Departemen yang melaporkan tingkat kepercayaan diri tinggi untuk melapor phishing namun menunjukkan tingkat pelaporan aktual yang rendah memiliki masalah hambatan, bukan masalah kesadaran, kemungkinan besar kanal pelaporan yang tidak jelas atau kekhawatiran bahwa laporan akan dicatat secara personal terhadap mereka. Itu adalah perbaikan yang sangat berbeda dibanding departemen yang memang belum menyadari bahwa simulasi ini ada.

Benchmark yang paling berguna adalah organisasi Anda sendiri dari waktu ke waktu, disegmentasi berdasarkan departemen, senioritas jabatan, masa kerja, serta lokasi cabang atau kantor pusat. Populasi teller bank di cabang daerah menghadapi permukaan serangan dan toleransi risiko dasar yang berbeda dibanding staf keuangan kantor pusat yang rutin menangani persetujuan transfer dana, dan memperlakukan mereka sebagai satu populasi yang seragam akan menyembunyikan di mana risiko sesungguhnya terkonsentrasi.

Benchmarking eksternal lebih sulit dilakukan di Indonesia dibanding pasar yang lebih matang karena metrik phishing sektor jarang dipublikasikan, tetapi konteks arah tetap penting: ekspektasi OJK berdasarkan POJK 11/2022 tentang ketahanan siber sektor jasa keuangan mengasumsikan organisasi dapat menunjukkan aktivitas kesadaran berbasis risiko yang berkelanjutan, bukan satu acara tahunan saja. Membingkai data tren internal Anda terhadap ekspektasi tersebut, alih-alih terhadap angka eksternal yang mungkin tidak tersedia, biasanya merupakan pendekatan yang lebih dapat dipertahankan saat pemeriksaan.

Jika data sektor memang tersedia, dari asosiasi industri, imbauan BSSN, atau data agregat lintas pelanggan sebuah platform, gunakan sebagai pemeriksaan kewajaran, bukan sebagai target. Tujuannya bukan menjadi rata-rata; tujuannya adalah menunjukkan tren yang kredibel dan terus membaik, yang dapat dipahami oleh anggota dewan atau pemeriksa dalam waktu tiga puluh detik, tanpa perlu latar belakang ilmu data untuk menafsirkannya.

Konsolidasikan tingkat pelaporan, populasi pengklik berulang, tren dwell time, dan sentimen survei menjadi satu scorecard kuartalan dengan narasi singkat, bukan sekadar tangkapan layar dasbor. Dewan direksi dan pemeriksa OJK merespons cerita yang jelas: apa yang berubah, mengapa, dan apa yang sedang dilakukan terhadap bagian yang belum membaik, jauh lebih baik dibanding merespons deretan grafik semata.

Modul analitik dan penilaian risiko Claro dibangun berdasarkan prinsip ini: hasil kampanye, tren tingkat pelaporan, dan segmentasi pengklik berulang secara otomatis terkonsolidasi ke dalam tampilan yang sama yang digunakan untuk pelaporan kepatuhan, sehingga metrik yang memuaskan diskusi dewan direksi adalah metrik yang sama yang memenuhi permintaan bukti POJK 11/2022 OJK. Konsistensi ini penting karena cerita budaya keamanan yang berubah bentuk tergantung audiensnya justru melemahkan kredibilitasnya sendiri.

Tinjau scorecard ini dengan jadwal tetap, minimal setiap kuartal, dan perlakukan tren yang datar atau memburuk pada metrik mana pun sebagai pemicu intervensi tertarget, bukan sekadar catatan kaki. Program budaya keamanan yang hanya melaporkan kabar baik berarti belum mengukur dengan cukup keras; nilai dari scorecard ini justru terletak pada kemampuannya sesekali menunjukkan sesuatu yang tidak nyaman namun cukup dini untuk ditindaklanjuti.