Checklist RFP Platform Security Awareness untuk Organisasi Indonesia

Sebagian besar RFP platform awareness disusun dari daftar fitur, dan daftar fitur adalah tempat semua vendor tampak serupa. Setiap vendor akan menjawab ya untuk apakah platform Anda mengirim simulasi phishing dan apakah Anda menyediakan modul pelatihan. Pertanyaan semacam itu menghabiskan waktu evaluasi tanpa menghasilkan keputusan.

Pertanyaan di bawah dipilih karena membedakan. Masing-masing memiliki jawaban yang benar-benar berbeda antarvendor, dan beberapa akan langsung menyingkirkan kandidat bila organisasi Anda terregulasi di Indonesia. Pakai sebagai kebutuhan yang dinilai, bukan kuesioner yang diarsipkan.

Ini ditulis netral vendor, dan Claro adalah salah satu produk yang akan dievaluasi dengannya. Bila kami punya posisi, kami menyatakannya terang alih-alih menyembunyikannya di dalam sebuah kebutuhan. Anggaplah setiap checklist yang disusun vendor dibentuk oleh apa yang dikuasai vendor itu, termasuk checklist ini, dan bandingkan dengan sumber kedua.

Ini bagian pertama karena satu alasan: bagi banyak bank dan instansi pemerintah Indonesia hal ini bersifat mendiskualifikasi, dan menanyakannya terlambat memboroskan seluruh siklus evaluasi. Tanyakan di mana data pegawai disimpan dan diproses, dengan menyebut negara dan region, bukan lokasi kantor pusat vendor. Tanyakan apakah penerapan on-premise atau di dalam negeri sudah ada hari ini beserta pelanggan referensi yang dapat disebut, bukan masih dalam rencana.

Lalu tanyakan apa yang keluar dari lingkungan itu. Sebagian platform diterapkan secara lokal tetapi tetap mengirim telemetri, pemeriksaan lisensi, atau permintaan inferensi AI ke luar negeri. Tanyakan secara spesifik koneksi keluar apa yang dibutuhkan agar produknya berfungsi, dan apakah ia dapat berjalan dalam konfigurasi yang benar-benar terputus dari internet.

Terakhir tanyakan soal datanya sendiri: data pribadi pegawai apa yang dikumpulkan, berapa lama disimpan, apakah retensinya dapat dikonfigurasi, dan bagaimana penghapusannya bekerja. Menurut UU PDP Anda adalah pengendali data untuk pemrosesan ini, sehingga jawaban vendor menjadi posisi kepatuhan Anda.

Mintalah melihat tiga template phishing sungguhan dan satu modul pelatihan lengkap dalam Bahasa Indonesia, ditampilkan sebagaimana pegawai akan melihatnya, sebelum menandatangani apa pun. Materi hasil terjemahan mesin langsung terasa bagi karyawan Indonesia dan merusak kredibilitas seluruh programnya.

Kemudian selidiki apakah pelokalannya melampaui bahasa. Apakah templatenya menyebut lembaga, jalur pembayaran, dan pola penipuan Indonesia yang benar-benar dihadapi karyawan, seperti QRIS, dompet elektronik, BPJS, DJP, dan kampanye APK WhatsApp? Atau sekadar skenario berbahasa Inggris dengan kata-kata yang ditukar?

Tanyakan siapa yang menulis materi Indonesianya dan apakah materi baru terbit dalam dua bahasa secara serentak atau tertinggal. Platform yang materi Indonesianya datang dua kuartal di belakang bahasa Inggris adalah platform berbahasa Inggris dengan jalur penerjemahan.

Tanyakan kerangka apa saja yang dilaporkan platformnya dengan menyebut nama. Banyak vendor mencakup ISO 27001 dan SOC 2 tetapi tidak menawarkan apa pun untuk OJK, BSSN, UU PDP, PP 71/2019, SPBE, atau ekspektasi Bank Indonesia. Bila pengawas Anda OJK, pelaporan yang hanya ISO berarti Anda menyusun pemetaannya sendiri.

Mintalah contoh ekspor, bukan tangkapan layar dasbor. Ujinya adalah apakah Anda dapat menyerahkan keluarannya kepada auditor internal atau pengawas tanpa memformat ulang. Tanyakan secara spesifik apakah buktinya bersifat per pengguna dan berseri waktu, karena persentase penyelesaian saja adalah bukti yang lemah bahwa perilakunya berubah.

Tanyakan apa yang terjadi saat audit bila hubungan dengan vendor sudah berakhir. Dapatkah Anda mengekspor bukti historis dalam format terbuka dan menyimpannya, atau jejak audit Anda tinggal di dalam langganan yang harus terus dibayar?

Tanyakan bagaimana platform mendefinisikan dan menghitung phish-prone rate, dan apakah definisinya terdokumentasi. Vendor berbeda dalam hal apakah membuka email dihitung, apakah pelanggar berulang diberi bobot, dan apakah email yang dilaporkan mengurangi angka klik. Dua platform dapat melaporkan angka yang sangat berbeda untuk perilaku yang identik.

Tanyakan apakah risiko diskor per pengguna dan bagaimana skornya diturunkan, apakah ia menyusut seiring waktu, dan apakah ia memperhitungkan peran. Staf keuangan berwenang membayar memikul paparan berbeda dari staf gudang, dan satu persentase tunggal seluruh organisasi menyembunyikan itu.

Tanyakan apa yang terjadi otomatis ketika seseorang gagal. Penugasan remediasi bersasaran tanpa administrator turun tangan adalah pembeda antara perkakas pengukuran dan program perubahan perilaku.

Di Indonesia, WhatsApp adalah saluran bisnis utama sekaligus saluran serangan utama, sehingga simulasi yang hanya email membiarkan rute paling aktif tidak terukur. Tanyakan saluran apa yang didukung secara asli: email, WhatsApp, SMS, suara, dan kode QR.

Tanyakan bagaimana saluran non-email diantarkan dan dihargai, sebab sebagian vendor menjual ulang gerbang pihak ketiga dan meneruskan biaya per pesan yang mudah terlewat dalam penawaran tahun pertama. Tanyakan siapa yang memegang hubungan dengan operator telekomunikasi dan kredensial siapa yang dipakai.

Mintalah model persetujuan dan pengungkapan untuk simulasi suara dan pesan. Menelepon pegawai membawa kepekaan hukum dan budaya, dan vendor tanpa posisi yang dipikirkan matang soal pengungkapan berarti belum pernah menerapkannya secara serius di pasar ini.

Soal integrasi, tanyakan SSO melalui SAML, penyediaan pengguna melalui SCIM atau sinkronisasi direktori, apakah penyediaannya dua arah, format keluaran SIEM, dan apakah ada API publik terdokumentasi dengan batas laju yang diterbitkan. Tanyakan apakah pelaporan phishing terintegrasi dengan Outlook dan Gmail sebagai tombol yang benar-benar dimiliki pegawai.

Soal operasional, tanyakan siapa yang menjalankan kampanye sehari-hari, berapa lama kampanye pertama dari nol, dan jam dukungan apa yang berlaku dalam waktu Indonesia. Platform yang hanya didukung pada jam kerja Amerika adalah platform yang didukung tim Anda sendiri.

Soal komersial, tanyakan apa yang dicakup lisensi per pengguna, apa yang dikecualikan, bagaimana perubahan jumlah seat di tengah masa kontrak ditangani, dan berapa biaya tahun kedua serta ketiga. Tanyakan apa yang terjadi pada data dan bukti Anda saat pengakhiran. Mintalah biaya pesan multisaluran dinyatakan terpisah alih-alih dibundel.

Nilai lebih dulu hal-hal yang mendiskualifikasi. Residensi data, materi Bahasa Indonesia yang sungguhan, dan pelaporan kerangka bernama biasanya menyusutkan daftar panjang lebih cepat daripada perbandingan fitur apa pun, dan mendahulukannya menghemat berpekan-pekan.

Untuk sisanya, beri bobot lebih pada kualitas pengukuran dan remediasi otomatis dibanding jumlah fitur. Platform yang mengubah perilaku adalah yang bertindak atas sebuah kegagalan tanpa administrator harus mengingatnya, dan perbedaan itu tidak muncul dalam matriks fitur.

Kemudian syaratkan uji coba langsung pada karyawan Anda sendiri, dalam Bahasa Indonesia, dengan ekspor bukti dihasilkan pada akhirnya. Setiap vendor tampil baik pada data mereka sendiri. Sangat sedikit yang mampu menghasilkan ekspor siap audit dari uji coba dua pekan pada data Anda, dan itulah uji yang layak dijalankan.