Cara Menurunkan Phish-Prone Rate: Panduan Praktis untuk Organisasi di Indonesia

Phish-prone rate adalah persentase karyawan yang melakukan tindakan tidak aman dalam sebuah simulasi phishing, biasanya mengklik tautan atau memasukkan kredensial, dalam periode tertentu. Jika Anda mengirim simulasi ke 1.000 orang dan 90 di antaranya mengklik tautan, maka phish-prone rate Anda 9 persen. Angka ini paling sering dikutip dalam program kesadaran keamanan, sekaligus paling sering disalahartikan.

Angka tersebut baru bermakna ketika penyebut dan tingkat kesulitannya konsisten. Rate 4 persen terhadap umpan yang jelas-jelas buruk dan ditulis asal-asalan hampir tidak memberi tahu apa pun. Rate 4 persen yang sama terhadap umpan kontekstual yang dibuat rapi, meniru pemberitahuan OJK atau pembaruan penggajian, adalah hasil yang benar-benar kuat. Sebelum merayakan atau panik, tanyakan apa yang dikirim, kepada siapa, dan seberapa sulit dikenali.

Perlakukan rate sebagai tren, bukan vonis. Program yang turun dari 22 persen ke 8 persen selama empat kuartal simulasi yang konsisten dan semakin menantang berarti berhasil. Rate stabil di 3 persen yang diperoleh dengan mengirim template mudah yang sama setiap bulan hanyalah metrik kosmetik yang akan runtuh begitu penyerang sungguhan menaikkan tingkat kesulitan.

Perubahan perilaku dimulai dari latihan yang realistis. Mulailah dengan simulasi baseline yang tidak diberitahukan kepada siapa pun di organisasi, agar Anda mendapat angka awal yang jujur. Dari situ, naikkan tingkat kesulitan secara sengaja: variasikan dalih (helpdesk IT, HR, keuangan, pengiriman kurir, pemberitahuan instansi), kanal (email, dan bila relevan WhatsApp atau telepon), serta unsur urgensinya. Umpan lokal sangat penting di Indonesia. Pemberitahuan palsu bergaya bank atau kantor pajak akan jauh lebih efektif menjebak dibanding template bahasa Inggris generik, dan justru itulah alasan Anda perlu mengujinya.

Segmentasikan audiens Anda. Staf keuangan dan asisten eksekutif menangani permintaan pembayaran, sehingga layak diuji dengan skenario business email compromise. Staf garis depan dan kantor cabang menghadapi tekanan yang berbeda. Melacak phish-prone rate per departemen, peran, dan masa kerja akan menunjukkan di mana risiko sebenarnya terkonsentrasi, sehingga pelatihan bisa diarahkan ke tempat yang paling membutuhkan, bukan disebar rata ke semua orang.

Jaga agar simulasi tetap etis dan proporsional. Hindari umpan yang mengeksploitasi tema yang benar-benar menekan secara emosional, seperti pemutusan hubungan kerja, pemotongan bonus, atau keadaan darurat pribadi. Umpan semacam itu merusak kepercayaan dan jarang mengajarkan hal yang berguna. Tujuannya membangun refleks mengenali dan melaporkan, bukan mempermalukan orang.

Momen paling tepat untuk mengajar dalam program keamanan adalah beberapa detik setelah seseorang mengklik umpan simulasi. Pelatihan tepat waktu memberikan pelajaran singkat dan spesifik pada momen itu juga, menunjukkan kepada orang tersebut tanda-tanda bahaya yang terlewatkan di email yang baru saja diklik. Pendekatan ini lebih ampuh daripada kursus tahunan satu jam karena kontekstual, langsung, dan terkait dengan kesalahan nyata yang baru saja terjadi.

Buat pelatihan lanjutan tetap singkat dan fokus. Modul dua menit yang menjelaskan tiga sinyal pada umpan spesifik tersebut, domain pengirim yang tidak cocok, tenggat waktu yang dibuat-buat, dan tautan yang tidak menuju ke tempat yang diklaim, membangun pengenalan pola yang bertahan lama. Video kepatuhan yang panjang dan generik memang memenuhi formalitas, tetapi hampir tidak menggerakkan phish-prone rate.

Jadikan remediasi bersifat mendukung, bukan menghukum. Posisikan momen tersebut sebagai pembinaan. Orang yang takut dipermalukan akan menyembunyikan kesalahannya, dan itu justru kebalikan dari yang Anda butuhkan. Pelatihan harus tersedia dalam dua bahasa agar penutur Bahasa Indonesia mendapat konten kelas utama, bukan terjemahan seadanya. Pemahaman adalah bagian dari kontrol keamanan itu sendiri.

Click rate yang rendah itu bagus. Report rate yang tinggi lebih bagus lagi. Ketika seorang karyawan mengenali email mencurigakan dan melaporkannya, ia mengubah potensi insiden menjadi peringatan dini bagi tim keamanan Anda. Report rate, yaitu persentase penerima yang menandai sebuah simulasi, adalah metrik yang paling baik memprediksi ketahanan terhadap serangan baru yang belum pernah terlihat sebelumnya.

Buat pelaporan menjadi mudah. Tombol lapor satu klik di dalam aplikasi email menghilangkan hambatan sehingga melapor menjadi refleks, bukan beban. Akui setiap laporan dengan cepat, bahkan ucapan terima kasih otomatis pun cukup, agar orang tahu tindakannya berarti. Berikan apresiasi kepada pelapor yang konsisten. Penguatan positif membangun perilaku jauh lebih cepat daripada peringatan.

Tutup siklusnya secara terbuka jika memungkinkan. Ketika email yang dilaporkan ternyata ancaman nyata yang berhasil diblokir tim Anda karena ada yang bersuara, ceritakan kisah itu secara anonim. Tidak ada yang membangun budaya pelaporan lebih cepat daripada bukti bahwa melapor mencegah kerugian.

Bagi organisasi yang diatur secara ketat di Indonesia, program kesadaran yang terukur bukan sekadar praktik baik, tetapi juga mendukung kewajiban kepatuhan. Ketentuan OJK tentang penyelenggaraan teknologi informasi dan ketahanan siber bagi lembaga jasa keuangan mengharapkan adanya kesadaran keamanan yang berkelanjutan sebagai bagian dari program manajemen risiko, dan tren phish-prone rate yang terdokumentasi adalah bukti konkret bahwa program tersebut ada dan berjalan.

Undang-Undang Pelindungan Data Pribadi, yaitu UU No. 27 Tahun 2022 (UU PDP), menuntut organisasi bertanggung jawab melindungi data pribadi, sementara phishing adalah salah satu penyebab utama kebocoran yang mengungkapkan data tersebut. Menunjukkan bahwa Anda secara aktif melatih dan menguji staf akan memperkuat posisi Anda dalam hal langkah pengamanan organisatoris dan teknis. Panduan BSSN tentang keamanan siber nasional juga menekankan kesiapan faktor manusia di samping kontrol teknis.

Sampaikan klaim secara konservatif dan berbasis bukti. Regulasi menetapkan ekspektasi terhadap tata kelola keamanan dan manajemen risiko, bukan mewajibkan target phish-prone rate tertentu. Nilai program Anda terletak pada tren yang terdokumentasi dan membaik beserta jejak auditnya, bukan pada satu angka utama. Selalu pastikan persyaratan terkini terhadap teks resmi terbaru, karena regulasi dan aturan pelaksananya terus berkembang.

Hari 1 sampai 30: jalankan simulasi baseline tanpa pemberitahuan ke seluruh organisasi, segmentasikan hasilnya per departemen dan peran, lalu sebarkan tombol lapor satu klik. Catat phish-prone rate dan report rate awal Anda agar setiap angka berikutnya memiliki titik acuan.

Hari 31 sampai 60: luncurkan simulasi bulanan dengan tingkat kesulitan yang meningkat, sambungkan pelatihan mikro tepat waktu bagi siapa pun yang mengklik, dan mulai mengakui laporan pada hari yang sama. Sampaikan tren kepada pimpinan, bukan sekadar jumlah insiden mentah, agar mereka memahami arah, bukan bereaksi terhadap peristiwa tunggal.

Hari 61 sampai 90: tinjau data per segmen, fokuskan pelatihan tambahan pada kelompok berisiko paling tinggi, dan tetapkan target kuartalan yang realistis, misalnya penurunan click rate yang stabil disertai kenaikan report rate yang stabil. Peningkatan yang konsisten dan wajar dari kuartal ke kuartal selalu lebih baik daripada penurunan sesaat.