Apa Itu Social Engineering dan Mengapa Security Perlu Memahaminya?

Apa Itu Social Engineering dan Mengapa Security Perlu Memahaminya? – Seseorang datang ke lobi sebuah hotel dan mengaku sebagai teknisi yang harus segera masuk ke area tertentu. Ia berbicara dengan percaya diri, menyebut nama salah satu karyawan, dan mengatakan pekerjaannya mendesak. Di situasi lain, seseorang mengaku sebagai vendor lama dan meminta petugas membantu mengakses ruangan karena kartu aksesnya tertinggal.

Tidak semua situasi seperti ini merupakan serangan. Namun, pola tersebut menunjukkan mengapa Social Engineering perlu dipahami dalam pengelolaan keamanan.

Social Engineering pada dasarnya berkaitan dengan upaya memengaruhi seseorang agar melakukan sesuatu yang menguntungkan pihak yang melakukan manipulasi. Dalam konteks keamanan, risikonya dapat berupa pemberian informasi, akses ke area tertentu, penerimaan barang, perubahan prosedur, hingga tindakan lain yang seharusnya memerlukan verifikasi.

Karena itu, pengamanan tidak cukup hanya mengandalkan CCTV, access control, alarm, pagar, atau teknologi lainnya. Faktor manusia juga perlu diperhitungkan sebagai bagian dari sistem keamanan dan manajemen risiko.

Apa Itu Social Engineering?

Social Engineering adalah metode manipulasi yang memanfaatkan perilaku, kepercayaan, kebiasaan, atau kondisi psikologis seseorang untuk mendorong tindakan tertentu.

Dalam konteks keamanan informasi, Social Engineering sering dikaitkan dengan phishing dan berbagai bentuk penipuan atau impersonasi. NIST, misalnya, melakukan penelitian mengenai phishing dengan memperhatikan faktor manusia dan konteks pengguna karena kemampuan seseorang dalam mengenali ancaman dapat dipengaruhi oleh situasi ketika pesan diterima.

Namun, konsepnya tidak terbatas pada dunia digital.

Dalam lingkungan fisik, manipulasi dapat muncul melalui:

• penyamaran sebagai vendor atau teknisi;
• mengaku sebagai karyawan atau tamu yang berwenang;
• menggunakan situasi darurat untuk meminta akses;
• memanfaatkan hubungan personal dengan petugas;
• meminta informasi yang seharusnya tidak diberikan;
• menciptakan tekanan agar prosedur dilewati.

Dengan kata lain, Social Engineering memanfaatkan manusia sebagai bagian dari titik masuk risiko.

Hal ini bukan berarti manusia adalah “kelemahan” yang harus disalahkan. Justru, pendekatan yang lebih tepat adalah membangun prosedur agar personel dapat mengambil keputusan yang aman ketika menghadapi situasi tidak biasa.

Mengapa Social Engineering Berkaitan dengan Keamanan Manusia?

Sistem keamanan biasanya terdiri dari banyak lapisan.

Contohnya:

1. personel security;
2. CCTV;
3. access control;
4. alarm;
5. pagar dan pintu;
6. prosedur pemeriksaan;
7. visitor management;
8. komunikasi dan pelaporan.

Teknologi dapat membantu membatasi akses, tetapi keputusan manusia tetap sering menjadi bagian dari proses.

Misalnya, sistem access control mungkin sudah diterapkan. Namun, petugas tetap perlu menentukan apakah seseorang memiliki alasan yang sah untuk berada di area tertentu, apakah identitasnya sesuai, dan apakah permintaannya mengikuti prosedur.

Inilah alasan keamanan manusia perlu menjadi bagian dari security management.

ISO 31000:2018 menjelaskan bahwa manajemen risiko mencakup proses mengidentifikasi, menganalisis, mengevaluasi, menangani, memantau, dan mengomunikasikan risiko. ISO juga menekankan pentingnya mempertimbangkan faktor manusia dan budaya dalam pengelolaan risiko.

Jadi, Social Engineering sebaiknya tidak dipandang hanya sebagai masalah cybersecurity. Dalam konteks tertentu, ia juga merupakan persoalan physical security dan human risk.

Bagaimana Social Engineering Bisa Terjadi di Lingkungan Kerja?

Social Engineering biasanya memanfaatkan kepercayaan atau tekanan untuk membuat seseorang mengambil keputusan tanpa melakukan verifikasi yang memadai.

Beberapa pola yang perlu dikenali antara lain:

1. Impersonasi

Seseorang mengaku sebagai pihak tertentu, misalnya:

• vendor;
• teknisi;
• kurir;
• karyawan;
• tamu;
• kontraktor;
• pihak manajemen.

Pengakuan tersebut belum tentu benar hanya karena orang tersebut terlihat meyakinkan.

FTC menjelaskan bahwa impersonation scam bekerja dengan cara seseorang berpura-pura menjadi pihak lain untuk memperoleh uang, akses, atau informasi pribadi. Verifikasi melalui saluran resmi menjadi salah satu langkah pencegahan yang disarankan.

2. Urgensi Buatan

Pelaku dapat menciptakan kesan bahwa tindakan harus dilakukan segera.

Contohnya secara ilustratif:

“Saya harus masuk sekarang karena ada masalah teknis yang harus segera diperbaiki.”

Tekanan waktu dapat membuat seseorang melewati prosedur yang biasanya dilakukan.

Karena itu, urgensi bukan alasan untuk menghilangkan verifikasi.

3. Memanfaatkan Familiaritas

Seseorang dapat menyebut nama karyawan, departemen, vendor, atau kegiatan tertentu agar terlihat memiliki hubungan dengan organisasi.

Informasi tersebut mungkin benar, tetapi kebenaran sebagian informasi tidak otomatis membuktikan bahwa orang tersebut memiliki hak akses.

4. Permintaan yang Tidak Biasa

Contohnya adalah permintaan untuk:

• masuk ke area terbatas;
• memperoleh informasi internal;
• menghubungi orang tertentu;
• menerima barang atas nama pihak lain;
• mengabaikan prosedur tertentu.

Permintaan seperti ini tidak selalu merupakan serangan. Namun, jika tidak sesuai prosedur, sebaiknya diperlakukan sebagai kondisi yang membutuhkan verifikasi.

Contoh Social Engineering dalam Pengamanan Fisik

Berikut contoh ilustratif, bukan gambaran kejadian tertentu.

Skenario: Orang Mengaku Sebagai Teknisi

Seorang pria datang ke sebuah properti dan mengatakan bahwa ia mendapat tugas memperbaiki perangkat di ruang tertentu.

Ia tidak membawa dokumen kerja yang dapat diverifikasi dan meminta petugas segera membukakan akses karena “sudah ditunggu”.

Respons security yang tepat bukan langsung menuduh orang tersebut sebagai pelaku.

Petugas dapat mengikuti prosedur:

1. meminta identitas sesuai SOP;
2. memeriksa tujuan kunjungan;
3. melakukan konfirmasi kepada pihak internal yang berwenang;
4. mencatat kunjungan apabila diwajibkan;
5. memberikan akses hanya setelah persyaratan terpenuhi;
6. melaporkan kondisi yang tidak sesuai prosedur.

Pendekatan tersebut menjaga keseimbangan antara pelayanan dan keamanan.

Mengapa Security Perlu Memahami Social Engineering?

Personel security berada di posisi yang sering berhubungan langsung dengan orang dari berbagai latar belakang.

Di hotel, misalnya, security dapat berinteraksi dengan:

• tamu;
• vendor;
• kontraktor;
• karyawan;
• pengemudi;
• kurir;
• event organizer;
• pihak eksternal lainnya.

Dalam kondisi tersebut, kemampuan mengenali situasi tidak biasa menjadi penting.

Perpol Nomor 4 Tahun 2020 tentang Pengamanan Swakarsa mendefinisikan Satpam sebagai kelompok profesi pengemban fungsi kepolisian terbatas non-yustisial yang dibentuk untuk melaksanakan pengamanan dalam lingkungan kerja. Peraturan tersebut juga mengatur Satpam sebagai bagian dari pengamanan swakarsa.

Artinya, pengamanan bukan sekadar menjaga pintu masuk. Dalam pelaksanaan tugas sehari-hari, petugas perlu bekerja berdasarkan prosedur, kewenangan, dan konteks lingkungan yang diamankan.

Pemahaman Social Engineering dapat membantu personel lebih waspada terhadap permintaan, perilaku, atau kondisi yang tidak sesuai prosedur.

Tanda-Tanda yang Perlu Mendapat Perhatian

Tidak ada satu tanda yang otomatis membuktikan seseorang melakukan Social Engineering. Namun, kombinasi beberapa indikator dapat menjadi alasan untuk melakukan verifikasi tambahan.

Yang penting, indikator tersebut bukan dasar untuk melakukan tuduhan. Fungsinya adalah membantu petugas menentukan kapan harus berhenti sejenak dan melakukan verifikasi.

Bagaimana Security Mencegah Social Engineering?

Pencegahan yang efektif tidak bergantung pada kemampuan satu orang saja. Organisasi perlu membangun sistem yang membuat keputusan aman menjadi lebih mudah dilakukan.

1. Tetapkan Prosedur Verifikasi yang Jelas

SOP harus menjawab pertanyaan praktis seperti:

• Siapa yang boleh memasuki area tertentu?
• Bagaimana identitas diverifikasi?
• Siapa yang dapat memberikan persetujuan akses?
• Bagaimana vendor diverifikasi?
• Apa yang dilakukan ketika pihak eksternal tidak dapat memberikan bukti yang sesuai?
• Kapan supervisor harus dilibatkan?

Prosedur yang jelas mengurangi ketergantungan pada keputusan spontan.

2. Terapkan Prinsip “Verifikasi Sebelum Memberikan Akses”

Jangan menjadikan penampilan, jabatan yang diklaim, atau rasa percaya sebagai satu-satunya dasar keputusan.

Jika seseorang mengaku sebagai vendor, misalnya, verifikasi melalui data atau kontak internal yang sudah diketahui organisasi.

FTC juga menyarankan agar seseorang tidak menggunakan nomor atau kontak yang diberikan oleh pihak yang mencurigakan ketika melakukan verifikasi. Gunakan informasi kontak yang diperoleh melalui sumber yang sudah dipercaya.

3. Latih Personel dengan Skenario Nyata

Pelatihan tidak harus selalu berupa teori.

Gunakan simulasi sederhana seperti:

• tamu tanpa konfirmasi;
• vendor yang datang di luar jadwal;
• orang yang mengaku mendapat instruksi dari manajemen;
• permintaan akses mendadak;
• pihak yang meminta informasi internal.

Tujuannya bukan membuat petugas mencurigai semua orang, tetapi membiasakan mereka mengikuti prosedur ketika menghadapi kondisi yang tidak biasa.

NIST sendiri menempatkan faktor manusia sebagai bagian penting dalam program awareness dan pelatihan phishing.

4. Hindari Budaya “Asal Membantu”

Keramahan dan pelayanan merupakan bagian penting dari pekerjaan security, terutama di lingkungan hospitality.

Namun, membantu bukan berarti mengabaikan prosedur.

Petugas dapat tetap sopan dengan mengatakan, misalnya:

“Mohon tunggu sebentar, saya perlu melakukan konfirmasi terlebih dahulu sesuai prosedur.”

Kalimat sederhana seperti ini membantu petugas mempertahankan standar keamanan tanpa menciptakan konflik yang tidak perlu.

5. Buat Mekanisme Pelaporan

Personel harus mengetahui apa yang dilakukan ketika menemukan situasi mencurigakan.

Misalnya:

Temukan → Jangan mengambil keputusan di luar kewenangan → Verifikasi → Eskalasi bila diperlukan → Catat/laporkan.

Alur tersebut dapat disesuaikan dengan SOP masing-masing organisasi.

Social Engineering Bukan Hanya Masalah Security

Salah satu kesalahan dalam pengelolaan risiko adalah menganggap Social Engineering sebagai tanggung jawab security saja.

Faktanya, banyak proses organisasi melibatkan manusia.

Karyawan dapat menerima telepon.
Resepsionis dapat menerima tamu.
Finance dapat menerima permintaan pembayaran.
HR dapat menangani data karyawan.
IT dapat mengelola akun dan akses.
Security mengelola berbagai aspek pengamanan fisik.

Karena itu, pencegahan sebaiknya menjadi tanggung jawab lintas fungsi.

NIST menyebut phishing sebagai ancaman yang membutuhkan pendekatan human-centered, termasuk pemahaman terhadap perilaku pengguna dan konteks ketika mereka menerima suatu pesan.

Pendekatan tersebut relevan secara prinsip untuk keamanan organisasi secara lebih luas: manusia, prosedur, dan teknologi harus saling mendukung.

Checklist Sederhana untuk Pengelola Keamanan

Pengelola perusahaan atau properti dapat menggunakan checklist berikut untuk mengevaluasi kesiapan terhadap Social Engineering:

• SOP akses tamu sudah tersedia.
• Proses verifikasi vendor sudah jelas.
• Daftar pihak yang berwenang memberikan akses tersedia.
• Security mengetahui kapan harus melakukan eskalasi.
• Ada prosedur ketika identitas atau tujuan kunjungan tidak dapat diverifikasi.
• Personel mendapatkan awareness mengenai Social Engineering.
• Skenario manipulasi manusia pernah dibahas dalam pelatihan.
• Insiden atau kejadian mencurigakan dicatat.
• Prosedur diperbarui berdasarkan hasil evaluasi.
• Security, reception, management, dan departemen terkait memahami pembagian kewenangan.

Checklist ini dapat dikembangkan menjadi bagian dari evaluasi risiko keamanan yang lebih luas.

ISO 31000 memberikan kerangka untuk mengidentifikasi, menganalisis, mengevaluasi, menangani, memantau, dan mengomunikasikan risiko sehingga risiko manusia dapat ditempatkan dalam proses manajemen risiko organisasi, bukan ditangani secara terpisah.

Apa yang Harus Dilakukan Jika Menemukan Situasi Mencurigakan?

Prioritas pertama adalah jangan panik dan jangan langsung menuduh.

Gunakan pendekatan yang sistematis:

1. Hentikan sementara permintaan jika memang diperlukan berdasarkan SOP.
2. Verifikasi identitas dan tujuan melalui saluran resmi.
3. Hubungi pihak internal yang berwenang jika dibutuhkan.
4. Jangan memberikan informasi atau akses di luar kewenangan.
5. Eskalasi kepada supervisor atau pihak terkait apabila verifikasi tidak dapat dilakukan.
6. Dokumentasikan kejadian sesuai prosedur organisasi.

Jika situasi berkembang menjadi ancaman keamanan nyata, ikuti prosedur tanggap insiden dan kewenangan yang berlaku.

Peran Security dalam Sistem Pengamanan yang Lebih Luas

Pemahaman Social Engineering tidak berarti security harus menjadi ahli cybersecurity.

Yang lebih penting adalah memahami bagaimana faktor manusia dapat memengaruhi keamanan fisik dan operasional.

Petugas security perlu mengetahui:

• batas kewenangannya;
• prosedur akses;
• mekanisme verifikasi;
• jalur eskalasi;
• cara berkomunikasi secara profesional;
• cara mencatat kejadian;
• kapan suatu kondisi perlu dilaporkan.

Dengan pendekatan tersebut, security bukan hanya menjadi pihak yang “menjaga pintu”, tetapi menjadi salah satu lapisan dalam sistem pengamanan organisasi.

Untuk perusahaan yang sedang mengevaluasi pengelolaan tenaga keamanan, informasi mengenai layanan Bali Security Services dapat menjadi salah satu referensi awal untuk memahami pilihan pengelolaan personel security di Bali. Situs resminya menjelaskan bahwa PT Garda Sekawan Utama menyediakan security personnel serta security consulting services yang mencakup pengembangan dan implementasi strategi manajemen risiko keamanan.

Social Engineering adalah risiko yang memanfaatkan faktor manusia untuk memengaruhi seseorang agar memberikan informasi, akses, atau melakukan tindakan tertentu.

Dalam konteks security, ancaman tersebut dapat muncul melalui interaksi langsung maupun saluran digital. Karena itu, sistem keamanan tidak cukup hanya mengandalkan teknologi.

Keamanan manusia perlu diperkuat melalui SOP yang jelas, verifikasi, pelatihan berbasis skenario, komunikasi, pelaporan, dan manajemen risiko.

Bagi pengelola hotel, villa, resort, kantor, gudang, kawasan komersial, maupun properti lainnya, memahami Social Engineering membantu security mengenali situasi yang tidak biasa tanpa harus bersikap berlebihan terhadap setiap orang.

Prinsip sederhananya adalah: tetap ramah, tetap profesional, tetapi jangan melewati prosedur hanya karena seseorang terlihat meyakinkan atau mengaku memiliki kepentingan tertentu.

FAQ

1. Apa itu Social Engineering?

Social Engineering adalah metode manipulasi yang memanfaatkan faktor manusia untuk mendorong seseorang memberikan informasi, akses, atau melakukan tindakan tertentu. Bentuknya dapat terjadi secara digital maupun melalui interaksi langsung.

2. Apakah Social Engineering hanya berkaitan dengan cybersecurity?

Tidak. Social Engineering memang sering dibahas dalam cybersecurity, terutama phishing dan impersonasi digital. Namun, prinsip manipulasi manusia juga relevan dalam physical security, seperti upaya memperoleh akses ke area tertentu melalui penyamaran atau tekanan.

3. Mengapa security perlu memahami Social Engineering?

Security sering menjadi bagian dari proses pemeriksaan akses dan berinteraksi langsung dengan pihak internal maupun eksternal. Pemahaman Social Engineering membantu petugas mengenali situasi tidak biasa dan melakukan verifikasi sesuai SOP.

4. Apakah setiap orang yang meminta akses dengan cara tidak biasa adalah pelaku Social Engineering?

Tidak. Perilaku yang tidak biasa bukan bukti bahwa seseorang melakukan serangan. Indikator tersebut sebaiknya menjadi alasan untuk melakukan verifikasi tambahan, bukan dasar untuk langsung menuduh.

5. Bagaimana cara mencegah Social Engineering di perusahaan?

Beberapa langkah yang dapat dilakukan adalah membuat SOP akses yang jelas, melakukan verifikasi identitas dan kewenangan, memberikan awareness kepada personel, menyediakan jalur eskalasi, serta mengevaluasi kejadian yang mencurigakan.

6. Apakah pelatihan security cukup untuk mencegah Social Engineering?

Pelatihan penting, tetapi bukan satu-satunya solusi. Pencegahan yang lebih kuat membutuhkan kombinasi antara personel yang memahami prosedur, SOP yang jelas, mekanisme verifikasi, pengawasan, teknologi, dan proses manajemen risiko.

7. Apakah Social Engineering dapat terjadi di hotel atau villa?

Ya. Lingkungan hospitality memiliki banyak interaksi antara security, tamu, vendor, kontraktor, karyawan, dan pihak eksternal. Karena itu, prosedur verifikasi dan kontrol akses tetap diperlukan tanpa mengurangi kualitas pelayanan.

SUMBER REFERENSI

1. NIST — NIST Phish Scale User Guide — NIST Phish Scale User Guide
2. NIST — Human-Centered Cybersecurity: Phishing — NIST Human-Centered Cybersecurity – Phishing
3. ISO — ISO 31000:2018 – Risk management — Guidelines — ISO 31000:2018
4. Federal Trade Commission (FTC) — Help the FTC fight impersonation scams — FTC – Impersonation Scams
5. Polri — Peraturan Kepolisian Negara Republik Indonesia Nomor 4 Tahun 2020 tentang Pengamanan Swakarsa — Perpol Nomor 4 Tahun 2020 tentang Pengamanan Swakarsa