Apa Itu Insider Threat? Mengenal Risiko dari Dalam Organisasi – Sebuah organisasi dapat memiliki pagar, CCTV, access control, petugas keamanan, sistem keamanan informasi, dan berbagai prosedur pengamanan. Namun, masih ada satu faktor yang sering lebih sulit dikendalikan: orang yang sudah memiliki akses resmi ke dalam organisasi.
Kondisi inilah yang menjadi salah satu dasar pembahasan Insider Threat.
Berbeda dengan ancaman eksternal yang datang dari luar lingkungan organisasi, Insider Threat berkaitan dengan penyalahgunaan akses atau pengetahuan yang sudah dimiliki seseorang. Risikonya dapat muncul dari tindakan yang disengaja maupun kesalahan atau kelalaian tanpa niat jahat.
Karena itu, ancaman internal tidak seharusnya dipahami hanya sebagai tindakan kriminal oleh karyawan. Risiko juga dapat muncul ketika seseorang secara tidak sengaja membuka akses, membocorkan informasi, melanggar prosedur, atau melakukan tindakan yang meningkatkan kemungkinan terjadinya insiden keamanan.
Apa Itu Insider Threat?
Insider Threat adalah ancaman yang muncul ketika seseorang yang memiliki akses resmi menggunakan akses tersebut, baik secara sengaja maupun tidak sengaja, sehingga dapat merugikan keamanan organisasi, aset, informasi, fasilitas, atau operasional.
NIST mendefinisikan Insider Threat sebagai ancaman ketika seorang insider menggunakan akses resminya secara sengaja atau tidak sengaja untuk membahayakan keamanan operasi dan aset organisasi, individu, maupun pihak lainnya.
Dengan demikian, kata “insider” tidak selalu berarti karyawan tetap.
Pihak yang memiliki akses resmi dapat mencakup:
- Karyawan.
- Kontraktor.
- Tenaga outsourcing.
- Mitra bisnis.
- Vendor.
- Pihak lain yang mendapatkan akses terhadap fasilitas, informasi, sistem, atau aset organisasi.
CISA juga menjelaskan bahwa Insider Threat muncul karena organisasi memang perlu memberikan kepercayaan dan akses kepada orang tertentu agar pekerjaan dapat berjalan. Persoalannya bukan keberadaan akses tersebut, melainkan bagaimana akses itu dikelola dan digunakan.
Artinya, organisasi tidak dapat menghilangkan seluruh akses internal. Yang lebih realistis adalah mengelola akses, mengurangi peluang penyalahgunaan, mendeteksi perilaku berisiko, dan menyiapkan respons ketika terjadi insiden.
Mengapa Insider Threat Menjadi Risiko Keamanan Internal?
Salah satu karakteristik Insider Threat adalah pelakunya dapat sudah berada di dalam lingkungan organisasi dan memiliki akses yang sah.
Hal ini membuat ancaman internal berbeda dari skenario ketika pihak luar harus terlebih dahulu mendapatkan akses.
Sebagai contoh, sebuah perusahaan memberikan akses ruang tertentu kepada personel karena kebutuhan pekerjaan. Akses tersebut pada dasarnya sah. Risiko muncul apabila akses digunakan di luar kepentingan pekerjaan, diberikan kepada pihak lain, atau dimanfaatkan untuk mengambil aset maupun informasi yang seharusnya dilindungi.
Dalam konteks keamanan fisik, persoalan serupa dapat terjadi pada:
- Akses ke area terbatas.
- Kunci atau kartu akses.
- Area penyimpanan barang.
- Ruang server.
- Ruang administrasi.
- Area operasional.
- Dokumen perusahaan.
- Kendaraan dan aset perusahaan.
- Area hotel, villa, gudang, atau fasilitas komersial.
Karena itu, risiko keamanan internal perlu dipandang sebagai bagian dari manajemen risiko organisasi secara keseluruhan.
Jenis Insider Threat
Insider Threat dapat dibedakan berdasarkan niat dan cara terjadinya insiden.
1. Malicious Insider
Malicious insider adalah pihak internal yang dengan sengaja menyalahgunakan akses untuk merugikan organisasi.
Motivasinya dapat berbeda-beda, misalnya:
- Keuntungan finansial.
- Balas dendam.
- Konflik pribadi.
- Keinginan memperoleh informasi tertentu.
- Membantu pihak eksternal.
- Sabotase.
Bentuk kerugiannya juga dapat beragam, mulai dari pencurian aset hingga penyalahgunaan informasi.
Namun, organisasi sebaiknya tidak mengambil kesimpulan bahwa seseorang menjadi ancaman hanya berdasarkan satu perilaku atau karakteristik pribadi. Penilaian harus didasarkan pada fakta, kebijakan, bukti, dan proses investigasi yang sesuai.
2. Negligent Insider
Tidak semua ancaman internal dilakukan dengan niat jahat.
Negligent insider dapat menimbulkan risiko karena mengabaikan prosedur atau melakukan tindakan ceroboh.
Contohnya:
- Membiarkan orang lain masuk melalui akses yang seharusnya dikontrol.
- Tidak mengamankan kartu akses.
- Membagikan informasi kepada pihak yang tidak berkepentingan.
- Tidak mengikuti prosedur pengamanan.
- Meninggalkan dokumen penting di tempat terbuka.
- Mengabaikan kewajiban pelaporan insiden.
Kesalahan seperti ini mungkin terlihat sederhana, tetapi dalam kondisi tertentu dapat membuka peluang terjadinya insiden yang lebih besar.
3. Accidental Insider
Accidental insider menimbulkan insiden tanpa disengaja dan tanpa tujuan merugikan organisasi.
Contohnya adalah salah mengirim dokumen, salah memberikan informasi kepada orang lain, atau melakukan tindakan operasional yang ternyata menyebabkan data atau aset menjadi terekspos.
Perbedaannya dengan malicious insider sangat penting.
Tujuan pengamanan bukan menghukum setiap kesalahan sebagai tindakan kriminal, tetapi memahami penyebabnya dan memperbaiki kontrol agar kesalahan serupa tidak berulang.
Contoh Insider Threat di Lingkungan Kerja
Insider Threat dapat muncul dalam berbagai jenis organisasi.
1. Kantor
Seorang personel memiliki akses ke ruang administrasi dan dokumen tertentu. Tanpa prosedur yang jelas, akses tersebut juga dapat digunakan di luar jam kerja tanpa pengawasan yang memadai.
Risikonya bukan hanya kehilangan dokumen, tetapi juga pelanggaran kerahasiaan atau perubahan informasi.
2. Hotel atau Villa
Di lingkungan hospitality, banyak pihak berinteraksi dengan area properti, termasuk karyawan, vendor, kontraktor, dan tamu.
Jika pembagian area akses tidak jelas, seseorang dapat memasuki area yang sebenarnya tidak diperlukan untuk pekerjaannya.
3. Gudang
Personel tertentu dapat memiliki akses terhadap barang, inventaris, kendaraan, atau dokumen pengiriman.
Jika pencatatan akses dan pengawasan inventaris lemah, penyimpangan dapat menjadi lebih sulit dideteksi.
4. Proyek Konstruksi
Proyek biasanya melibatkan banyak pekerja, vendor, kontraktor, dan pihak eksternal.
Perubahan personel yang cukup sering juga membuat pengelolaan akses menjadi penting. Ketika seseorang sudah tidak lagi bertugas, hak aksesnya perlu ditinjau dan dihentikan sesuai kebutuhan.
5. Event
Pada kegiatan tertentu, personel memperoleh akses sementara ke area yang biasanya terbatas.
Karena sifatnya sementara, pengelolaan identitas, akses, pembagian zona, dan pengawasan tetap perlu diperhatikan.
Contoh-contoh tersebut bersifat ilustratif. Bentuk risiko sebenarnya harus disesuaikan dengan aset, struktur organisasi, jenis pekerjaan, dan karakteristik fasilitas masing-masing.
Faktor yang Dapat Meningkatkan Risiko Insider Threat
Tidak ada satu faktor tunggal yang selalu menyebabkan Insider Threat. Risiko biasanya berkaitan dengan kombinasi antara manusia, proses, teknologi, dan lingkungan organisasi.
Beberapa faktor yang perlu diperhatikan antara lain:
1. Akses Terlalu Luas
Semakin luas akses yang diberikan tanpa kebutuhan pekerjaan yang jelas, semakin besar pula dampak apabila akses tersebut disalahgunakan.
Prinsip yang dapat diterapkan adalah memberikan akses sesuai kebutuhan pekerjaan.
2. Prosedur Tidak Jelas
Personel dapat melakukan kesalahan ketika prosedur keamanan tidak terdokumentasi atau tidak dipahami.
Contohnya adalah prosedur tamu, penggunaan kartu akses, pelaporan kehilangan kartu, pengelolaan kunci, dan akses ke area terbatas.
3. Kurangnya Pelatihan
Personel mungkin mengetahui pekerjaannya tetapi belum memahami konsekuensi keamanan dari tindakan tertentu.
Pelatihan security awareness dapat membantu menjelaskan apa yang harus dilakukan ketika menemukan kondisi mencurigakan, kehilangan akses, atau mengalami insiden.
4. Pengawasan yang Tidak Konsisten
Sistem keamanan tidak cukup hanya memiliki prosedur. Pelaksanaannya juga perlu dievaluasi secara berkala.
Ketidakkonsistenan dalam pemeriksaan akses, pencatatan kejadian, atau pelaporan dapat menciptakan celah dalam pengendalian risiko.
5. Koordinasi Antarbagian Lemah
Insider Threat tidak hanya menjadi urusan security.
HR, manajemen, IT, pemilik aset, legal, dan bagian operasional dapat memiliki informasi berbeda yang relevan terhadap suatu risiko.
Karena itu, pendekatan lintas fungsi lebih efektif dibandingkan menyerahkan seluruh tanggung jawab kepada satu departemen.
Cara Mencegah Insider Threat
Pencegahan Insider Threat sebaiknya dilakukan secara berlapis.
1. Identifikasi Aset yang Perlu Dilindungi
Organisasi perlu mengetahui apa yang paling penting untuk dilindungi.
Aset dapat berupa:
- Informasi bisnis.
- Data pelanggan.
- Dokumen.
- Uang dan barang.
- Peralatan.
- Fasilitas.
- Sistem teknologi informasi.
- Reputasi.
- Keselamatan personel.
Tanpa mengetahui aset yang penting, organisasi akan kesulitan menentukan kontrol keamanan yang proporsional.
2. Kelola Hak Akses
Akses sebaiknya diberikan berdasarkan kebutuhan pekerjaan.
Ketika seseorang berpindah posisi atau tidak lagi bekerja pada organisasi, hak akses perlu ditinjau kembali.
Dalam sistem digital, pendekatan seperti least privilege dapat membantu membatasi akses hanya pada sumber daya yang memang diperlukan.
Konsep serupa dapat diterapkan pada keamanan fisik melalui pembagian zona dan otorisasi akses.
3. Terapkan Prosedur Onboarding dan Offboarding
Proses masuk dan keluarnya personel merupakan bagian penting dalam pengelolaan risiko.
Saat personel mulai bekerja, organisasi perlu menentukan akses yang diperlukan.
Ketika hubungan kerja berakhir atau tugas berubah, organisasi perlu memastikan akses, kartu identitas, kunci, perangkat, dan aset yang diberikan dikembalikan atau dinonaktifkan sesuai prosedur.
4. Tingkatkan Security Awareness
Personel perlu memahami bahwa keamanan bukan hanya tanggung jawab petugas security.
Pelatihan dapat mencakup:
- Penggunaan kartu akses.
- Identifikasi pihak yang tidak berkepentingan.
- Perlindungan dokumen.
- Pelaporan kejadian.
- Pengamanan kunci.
- Prosedur tamu.
- Penggunaan perangkat kerja.
- Penanganan informasi sensitif.
Materi pelatihan sebaiknya disesuaikan dengan risiko aktual organisasi.
5. Bangun Mekanisme Pelaporan
Organisasi membutuhkan jalur pelaporan yang jelas ketika personel menemukan kondisi tidak biasa.
Pelaporan tidak selalu berarti menuduh seseorang.
Fokusnya adalah memberikan informasi kepada pihak yang berwenang agar situasi dapat diperiksa berdasarkan fakta.
6. Gunakan Pengawasan Secara Proporsional
CCTV, access control, log akses, pemeriksaan inventaris, dan kontrol lainnya dapat membantu mendeteksi kejadian.
Namun, teknologi bukan pengganti proses dan manusia.
Sistem pengawasan harus digunakan sesuai kebutuhan, kebijakan organisasi, dan ketentuan yang berlaku mengenai privasi serta perlindungan data.
7. Lakukan Evaluasi Berkala
Risiko berubah ketika organisasi berubah.
Pembukaan fasilitas baru, perubahan struktur organisasi, pergantian vendor, penambahan sistem digital, atau perubahan pola kerja dapat menciptakan risiko baru.
Karena itu, evaluasi keamanan sebaiknya dilakukan secara berkala, bukan hanya setelah insiden terjadi.
Peran Security dalam Mengurangi Ancaman Internal
Dalam keamanan fisik, petugas security memiliki posisi penting karena berinteraksi langsung dengan lingkungan operasional.
Tanggung jawabnya dapat berkaitan dengan:
- Pengendalian akses.
- Pemeriksaan sesuai prosedur.
- Pemantauan area.
- Pengawasan keluar-masuk orang dan kendaraan.
- Pencatatan kejadian.
- Pelaporan kondisi tidak biasa.
- Penanganan awal sesuai SOP.
- Koordinasi dengan pihak yang berwenang.
Namun, petugas security bukan satu-satunya pihak yang bertanggung jawab terhadap Insider Threat.
Program pengamanan yang baik membutuhkan koordinasi antara security, manajemen, HR, IT, dan bagian lain yang memiliki tanggung jawab terhadap aset organisasi.
Carnegie Mellon Software Engineering Institute juga menekankan pendekatan lintas fungsi dalam mitigasi Insider Threat, termasuk keterlibatan manajemen, HR, legal, physical security, IT, information security, data owners, dan fungsi terkait lainnya.
Checklist Sederhana Mengurangi Risiko Insider Threat
Organisasi dapat menggunakan checklist berikut sebagai evaluasi awal:
| Area | Pertanyaan |
|---|---|
| Akses | Apakah setiap personel hanya memiliki akses yang diperlukan? |
| Kartu akses | Apakah kartu yang hilang dapat segera dinonaktifkan? |
| Personel keluar | Apakah akses dihentikan ketika personel tidak lagi bertugas? |
| Tamu | Apakah terdapat prosedur penerimaan dan pendampingan tamu? |
| Area terbatas | Apakah area sensitif memiliki kontrol akses yang sesuai? |
| SOP | Apakah prosedur keamanan mudah dipahami personel? |
| Pelatihan | Apakah personel mendapatkan security awareness yang sesuai? |
| Pelaporan | Apakah tersedia jalur untuk melaporkan kejadian mencurigakan? |
| Inventaris | Apakah aset penting diperiksa dan dicatat secara berkala? |
| Evaluasi | Apakah kontrol keamanan dievaluasi setelah terjadi perubahan atau insiden? |
Checklist ini bukan pengganti audit keamanan formal. Fungsinya adalah membantu organisasi menemukan area yang perlu diperiksa lebih lanjut.
Kesalahan yang Sering Terjadi dalam Menghadapi Insider Threat
Ada beberapa pendekatan yang justru dapat membuat pengelolaan ancaman internal kurang efektif.
1. Menganggap Semua Karyawan sebagai Risiko
Pendekatan yang terlalu curiga dapat merusak kepercayaan dan menciptakan lingkungan kerja yang tidak sehat.
Pengamanan sebaiknya berfokus pada kontrol, prosedur, dan perilaku yang relevan terhadap risiko.
2. Hanya Mengandalkan CCTV
CCTV dapat membantu memberikan informasi mengenai suatu kejadian, tetapi tidak dapat menggantikan access control, SOP, pelatihan, pengawasan, dan mekanisme pelaporan.
3. Hanya Fokus pada Ancaman yang Disengaja
Kelalaian dan kesalahan juga dapat menimbulkan dampak serius.
Karena itu, program keamanan perlu memperhitungkan tindakan malicious sekaligus risiko akibat human error.
4. Tidak Meninjau Akses Setelah Perubahan Personel
Perubahan jabatan, perpindahan divisi, kontrak berakhir, atau personel meninggalkan organisasi harus menjadi momentum untuk meninjau kembali hak akses.
5. Mengabaikan Faktor Manusia
Teknologi penting, tetapi Insider Threat pada dasarnya berkaitan erat dengan manusia, akses, proses, dan lingkungan organisasi.
Pendekatan yang hanya berfokus pada teknologi dapat melewatkan faktor organisasi dan perilaku yang menjadi bagian dari risiko.
Bagaimana Outsourcing Security Dapat Mendukung Pengelolaan Risiko?
Dalam organisasi tertentu, pengelolaan tenaga keamanan dapat melibatkan pihak internal maupun penyedia jasa outsourcing.
Penggunaan outsourcing security tidak otomatis menghilangkan Insider Threat. Justru pengelola perlu memastikan pembagian tanggung jawab, SOP, otorisasi, pengawasan, pelaporan, dan koordinasi antara perusahaan pengguna dan penyedia tenaga keamanan dipahami sejak awal.
Hal yang dapat dibahas dalam kerja sama antara lain:
- Ruang lingkup tugas personel.
- Area yang boleh diakses.
- SOP pengamanan.
- Prosedur pelaporan.
- Mekanisme supervisi.
- Prosedur pergantian personel.
- Pengelolaan identitas dan akses.
- Penanganan insiden.
Untuk perusahaan atau pengelola properti di Bali yang sedang mempelajari pilihan pengelolaan tenaga keamanan, informasi mengenai layanan security personnel dan outsourcing security dapat menjadi referensi awal sebelum menentukan kebutuhan pengamanan.
Insider Threat adalah ancaman yang berasal dari pihak yang memiliki akses resmi terhadap organisasi dan dapat menggunakan akses tersebut secara sengaja maupun tidak sengaja hingga menimbulkan risiko.
Ancaman internal tidak terbatas pada pencurian data. Dalam konteks keamanan organisasi, risikonya juga dapat menyangkut fasilitas, aset, dokumen, operasional, informasi, dan keamanan fisik.
Karena itu, pencegahan tidak cukup hanya dengan memasang CCTV atau menambah jumlah petugas security. Organisasi membutuhkan pendekatan berlapis yang mencakup pengelolaan akses, SOP, pelatihan, pengawasan, pelaporan, evaluasi, serta koordinasi antara berbagai fungsi.
Tujuan akhirnya bukan mencurigai setiap orang di dalam organisasi, melainkan memastikan akses diberikan secara tepat, risiko dapat dikenali, dan potensi insiden dapat dicegah atau ditangani sedini mungkin.
FAQ
1. Apa itu Insider Threat?
Insider Threat adalah ancaman yang muncul ketika seseorang yang memiliki akses resmi terhadap organisasi menggunakan akses tersebut untuk menimbulkan kerugian, baik secara sengaja maupun tidak sengaja.
2. Apakah Insider Threat hanya dilakukan oleh karyawan?
Tidak. Insider dapat mencakup berbagai pihak yang memiliki akses resmi, seperti karyawan, kontraktor, vendor, tenaga outsourcing, atau mitra bisnis, tergantung konteks organisasi.
3. Apa contoh ancaman internal?
Contohnya antara lain penyalahgunaan akses ke area terbatas, pengambilan aset tanpa izin, pembocoran informasi, membiarkan pihak tidak berkepentingan masuk, atau kesalahan yang menyebabkan informasi dan aset terekspos.
4. Apakah Insider Threat selalu dilakukan dengan sengaja?
Tidak. Insider Threat juga dapat terjadi karena kelalaian atau kesalahan yang tidak disengaja. Karena itu, pencegahannya perlu mencakup edukasi, SOP, kontrol akses, dan pengawasan, bukan hanya deteksi tindakan kriminal.
5. Bagaimana cara mengurangi risiko Insider Threat?
Beberapa langkah yang dapat dilakukan adalah membatasi akses sesuai kebutuhan pekerjaan, menerapkan prosedur onboarding dan offboarding, memberikan security awareness, menyediakan mekanisme pelaporan, melakukan pengawasan, dan mengevaluasi kontrol keamanan secara berkala.
6. Apakah CCTV dapat mencegah Insider Threat?
CCTV dapat menjadi salah satu lapisan pengawasan dan membantu investigasi, tetapi tidak cukup sebagai satu-satunya kontrol. Pengelolaan akses, SOP, pelatihan, pengawasan personel, dan mekanisme pelaporan juga diperlukan.
7. Apakah outsourcing security dapat menghilangkan Insider Threat?
Tidak. Outsourcing dapat menjadi bagian dari sistem pengamanan, tetapi risiko Insider Threat tetap perlu dikelola melalui pembagian tugas yang jelas, SOP, pengawasan, pengendalian akses, dan koordinasi antara perusahaan pengguna dengan penyedia tenaga keamanan.
SUMBER REFERENSI
- National Institute of Standards and Technology (NIST) — Insider Threat, CSRC Glossary — NIST CSRC – Insider Threat
- Cybersecurity and Infrastructure Security Agency (CISA) — Insider Threat Mitigation Guide — CISA – Insider Threat Mitigation Guide
- Cybersecurity and Infrastructure Security Agency (CISA) — HR’s Role in Preventing Insider Threats Fact Sheet — CISA – HR’s Role in Preventing Insider Threats
- Carnegie Mellon University Software Engineering Institute — Common Sense Guide to Mitigating Insider Threats, Seventh Edition — SEI – Common Sense Guide, Seventh Edition
- NIST — Security and Privacy Controls for Information Systems and Organizations, SP 800-53 Rev. 5 — NIST SP 800-53 Rev. 5