Faktor Manusia sebagai Faktor Paling Krusial dalam Keamanan Teknologi

Cyber Security Pertemuan 11 CPL: Keamanan Digital

Agenda Pertemuan

Teori

Konsep human factor dalam keamanan siber
Ketergantungan teknologi terhadap pengguna
Taksonomi kesalahan manusia
Model ancaman berbasis manusia

Praktik & Kasus

Social engineering: teknik dan modus
Phishing, pretexting, baiting di Indonesia
Studi kasus: insiden nyata perusahaan Indonesia
Strategi mitigasi human error

Tujuan Pembelajaran

Menjelaskan mengapa manusia menjadi komponen paling kritis dalam sistem keamanan teknologi

Mengidentifikasi jenis-jenis social engineering dan teknik manipulasi psikologis yang digunakan peretas

Menganalisis pola kesalahan manusia sebagai kerentanan keamanan dan merancang strategi mitigasi berbasis perilaku

Topik 1

Ketergantungan Teknologi terhadap Pengguna

Mengapa Manusia Jadi Titik Lemah Terkritis?

Statistik Global (~2024)
Riset Verizon DBIR melaporkan bahwa sekitar 68% pelanggaran data melibatkan elemen manusia — baik melalui kesalahan, penyalahgunaan hak akses, maupun rekayasa sosial.

Konteks Indonesia
BSSN (Badan Siber dan Sandi Negara) mencatat ribuan insiden siber per tahun; mayoritas bermula dari phishing dan social engineering yang menyasar karyawan, bukan celah teknis sistem.

Alasan struktural:

Sistem teknologi dirancang untuk digunakan manusia — interaksi manusia adalah titik masuk yang tak terhindarkan
Manusia dapat dibujuk, ditipu, dan dimanipulasi; mesin tidak
Pelatihan teknis tidak bisa 100% memproteksi dari bias kognitif dan kelelahan
Insider threat: ancaman dari dalam organisasi sama nyatanya dengan ancaman eksternal

Model Ketergantungan: Sistem Sosio-Teknis

Lapisan Sistem	Komponen Teknis	Komponen Manusia	Risiko Interaksi
Akses & Autentikasi	Password, MFA, biometrik	Pengguna memilih dan mengelola kredensial	Password lemah, berbagi akun, lupa log out
Komunikasi Data	Enkripsi TLS, VPN	Pengguna memilih jaringan Wi-Fi	Koneksi ke Wi-Fi publik tidak aman
Pemrosesan Informasi	Filter spam, antivirus	Karyawan membuka email dan tautan	Klik tautan phishing lolos filter
Manajemen Aset	Patch management, inventori	Admin menerapkan pembaruan sistem	Patch tertunda karena operator sibuk
Respons Insiden	SIEM, alert system	Tim SOC menganalisis dan merespons	Alert fatigue → insiden terlewat

Coba Sendiri: Apa yang Bocor Saat Basis Data Diretas?

Perbarui kata sandi yang tersimpan dan lihat sendiri mana yang aman dibaca penyerang ketika basis data perusahaan bocor.

Faktor Psikologis yang Mempengaruhi Keputusan Keamanan

Bias Optimisme

"Saya tidak akan menjadi korban serangan siber." Pengguna meremehkan kemungkinan mereka menjadi target, sehingga mengabaikan praktik keamanan dasar.

Kelelahan Keamanan

Terlalu banyak peringatan dan prosedur keamanan menyebabkan alert fatigue — pengguna mulai mengabaikan notifikasi karena dianggap gangguan.

Tekanan Sosial & Otoritas

Pengguna cenderung mematuhi permintaan yang terlihat berasal dari figur otoritas (atasan, IT helpdesk palsu) tanpa verifikasi terlebih dahulu.

Implikasi: Program keamanan yang efektif harus mempertimbangkan psikologi perilaku pengguna — bukan hanya spesifikasi teknis.

Topik 2

Social Engineering dan Manipulasi

Social Engineering: Definisi dan Prinsip

Definisi: Social engineering adalah manipulasi psikologis terhadap individu untuk mendorong mereka melakukan tindakan atau mengungkapkan informasi rahasia, dengan memanfaatkan kepercayaan, otoritas, urgensi, atau rasa takut.

Prinsip Psikologis yang Dieksploitasi:

Reciprocity — rasa wajib membalas kebaikan
Authority — kepatuhan terhadap figur otoritas
Scarcity/Urgency — takut kehilangan kesempatan
Social proof — mengikuti perilaku orang banyak
Liking — lebih mudah percaya pada orang yang disukai

Coba Sendiri: Kenali Taktik Social Engineering

Lima kisah nyata, lima nama taktik — pilih yang paling cocok, lalu bandingkan ciri khas dan pertahanannya.

Taksonomi Teknik Social Engineering

Teknik	Cara Kerja	Contoh di Indonesia
Phishing	Email/SMS palsu yang meniru institusi resmi untuk mencuri kredensial	Email palsu mengatasnamakan BCA atau Gojek meminta update data rekening
Spear Phishing	Phishing tertarget dengan informasi personal korban spesifik	Email ke CFO perusahaan berisi data keuangan internal palsu yang meyakinkan
Pretexting	Membangun skenario fiksi (pretext) untuk mendapat kepercayaan korban	Penipu mengaku sebagai pegawai Telkom, minta OTP untuk "verifikasi akun"
Baiting	Menawarkan sesuatu yang menarik sebagai umpan	USB drive berisi "file bonus" ditinggal di parkiran kantor; jika dicolok, malware aktif
Vishing	Voice phishing — manipulasi via telepon	Penelepon mengaku petugas bank, meminta nomor kartu dan OTP untuk "keamanan"
CEO Fraud / BEC	Impersonasi eksekutif senior untuk memerintahkan transfer dana	Email palsu "dari Direktur" ke bagian keuangan: "Transfer segera ke rekening ini"

Anatomi Serangan Phishing

Tahapan serangan phishing:

Reconnaissance — penyerang mengumpulkan info korban (LinkedIn, media sosial, situs perusahaan)
Weaponization — membuat email/pesan palsu yang meyakinkan dengan domain mirip (mis. bca-security.com)
Delivery — mengirim ke target melalui email, SMS, atau media sosial
Exploitation — korban mengklik tautan dan memasukkan kredensial di halaman palsu
Credential Harvest — penyerang mendapat akses; korban seringkali tidak menyadari

Tanda-tanda Phishing:

Domain pengirim mencurigakan atau mirip tapi tidak sama
Urgensi berlebihan: "Segera konfirmasi dalam 24 jam!"
Tautan URL tidak sesuai dengan nama institusi
Greeting generik: "Pelanggan yang terhormat" bukan nama Anda
Permintaan informasi sensitif melalui email

Coba Sendiri: Bedah Email Phishing

Enam red flag tersembunyi di satu email bank palsu — klik frasa yang Anda curigai dan lihat indikatornya menyala.

Topik 3

Kesalahan Manusia sebagai Kerentanan Keamanan

Taksonomi Kesalahan Manusia dalam Keamanan Siber

Jenis Kesalahan	Deskripsi
Skill-based error	Kesalahan otomatis saat melakukan tugas rutin — slip, lapse, misklik
Rule-based error	Menerapkan aturan yang salah atau tidak sesuai situasi
Knowledge-based error	Kurang pengetahuan untuk menghadapi situasi baru atau kompleks
Violation	Pelanggaran prosedur secara sadar — karena malas, terburu, atau tidak setuju dengan aturan

Contoh Nyata di Organisasi:

Admin IT salah konfigurasi firewall (skill-based)
Staf mengirim data pelanggan ke email yang salah (skill-based slip)
Karyawan memakai password yang sama untuk semua akun (violation)
Developer meninggalkan API key di repositori publik GitHub (knowledge-based)

Coba Sendiri: Simulasi Laju Human Error

Geser jam kerja, frekuensi pelatihan, dan kompleksitas prosedur — lihat kurva insiden naik-turun dan titik intervensi paling efektif.

Studi Kasus: Insiden Siber Berbasis Faktor Manusia di Indonesia

Kasus / Entitas	Vektor Human Factor	Dampak	Pelajaran
Phishing masif perbankan (BRImo)	Korban menyerahkan OTP kepada penipu yang mengaku CS bank	Kerugian finansial nasabah individual	Bank tidak akan pernah meminta OTP — sosialisasi perlu ditingkatkan
Kebocoran data e-commerce (~2020)	Dugaan insider threat atau misconfiguration admin	Data jutaan pengguna terekspos	Prinsip least privilege dan audit akses internal krusial
Serangan ransomware PDNS (2024)	Kegagalan prosedur backup; kemungkinan phishing awal	Layanan publik terganggu; data tidak terbackup	Business continuity plan dan backup offline wajib ada
CEO Fraud di perusahaan swasta	Staf keuangan percaya email palsu dari "direktur"	Transfer dana ke rekening penipu	Verifikasi verbal untuk transaksi besar; dual approval

Insider Threat: Ancaman dari Dalam Organisasi

Kategori Insider Threat:

Malicious Insider

Karyawan atau mantan karyawan yang sengaja menyabotase sistem, mencuri data, atau menjual akses kepada pihak ketiga demi keuntungan pribadi atau balas dendam.

Negligent Insider

Karyawan yang tidak berniat jahat namun perilakunya membuka risiko — berbagi password, menggunakan perangkat pribadi tanpa enkripsi, mengabaikan prosedur keamanan.

Indikator Perilaku (Red Flags):

Mengakses data di luar jam kerja tanpa keperluan jelas
Mengunduh data dalam jumlah besar sebelum resign
Melanggar kebijakan keamanan berulang kali
Ketidakpuasan kerja yang diungkapkan secara terbuka
Kontak dengan kompetitor tanpa transparansi

Mitigasi: User & Entity Behavior Analytics (UEBA), prinsip least privilege, offboarding yang ketat (cabut akses segera setelah resign).

Strategi Mitigasi: Human-Centric Security

Security Awareness Training

Pelatihan rutin simulasi phishing
Modul e-learning keamanan siber
Sertifikasi keamanan untuk peran kritis
Kampanye kesadaran berkala

Desain Sistem yang Toleran Kesalahan

Multi-factor authentication (MFA)
Zero Trust Architecture
Least privilege access
Automated backup dan recovery

Budaya & Proses Organisasi

Prosedur dual-approval transaksi besar
Pelaporan insiden tanpa hukuman (blame-free)
Kebijakan BYOD yang jelas
Audit akses berkala

Diagram: Lapisan Pertahanan Berbasis Manusia

Rangkuman: Faktor Manusia dalam Keamanan Siber

5 Key Takeaway Pertemuan 11

Manusia adalah vektor serangan utama — ~68% pelanggaran data melibatkan elemen manusia, bukan celah teknis semata.
Social engineering mengeksploitasi psikologi — kepercayaan, otoritas, urgensi, dan rasa takut adalah senjata penyerang.
Kesalahan manusia bersifat sistemik — bukan hanya kecerobohan individu, melainkan produk dari desain sistem, budaya, dan pelatihan yang tidak memadai.

Insider threat sama bahayanya dengan serangan eksternal — perlu monitoring perilaku internal dan offboarding yang ketat.
Mitigasi efektif bersifat berlapis — kombinasi training, desain sistem toleran kesalahan, dan budaya organisasi yang mendukung pelaporan insiden tanpa rasa takut.

Tugas & Diskusi

Tugas Individu

Analisis Kasus Social Engineering: Cari satu kasus phishing atau social engineering yang terjadi di Indonesia dalam 2 tahun terakhir (dari berita resmi atau laporan BSSN). Analisis: (1) teknik yang digunakan, (2) kerentanan manusia yang dieksploitasi, (3) dampak yang terjadi, (4) langkah mitigasi yang seharusnya diterapkan. Tulis 400–500 kata, kumpulkan minggu depan.

Diskusi Kelas

Pertanyaan untuk didiskusikan:

Mengapa program security awareness sering gagal mengubah perilaku karyawan dalam jangka panjang?
Jika Anda adalah CISO (Chief Information Security Officer) startup fintech Indonesia, apa tiga langkah pertama yang Anda ambil untuk mengurangi risiko human factor?
Apakah budaya hierarki Indonesia memperburuk risiko CEO Fraud? Mengapa?

Tanya Jawab

Ada pertanyaan tentang faktor manusia dalam keamanan siber?

Preview Pertemuan 12: Sudut Pandang Hukum dalam Keamanan Siber
Kita akan membahas regulasi keamanan siber di Indonesia — UU ITE, PP PSTE, dan kewajiban hukum perusahaan dalam mengelola data dan insiden siber. Persiapkan diri dengan membaca ringkasan UU ITE terbaru.