Pada tahun 2026, keamanan data perusahaan bukanlah lagi masalah yang bisa ditunda hingga “ada waktu”. Di Italia, semester pertama tahun 2025 mencatat 2.755 insiden siber, angka tertinggi yang pernah tercatat, dengan peningkatan sebesar 36% dibandingkan akhir tahun 2024; selain itu, sekitar seperlima dari seluruh serangan yang tercatat sejak tahun 2020 terkonsentrasi hanya dalam enam bulan pertama tahun 2025, menurut laporan terbaru Clusit yang dikutip pada tahun 2025 (sumber). Bagi banyak UMKM, hal ini mengubah sudut pandang: ini bukan sekadar memiliki antivirus dan cadangan data, tetapi juga kemampuan untuk mendeteksi sinyal-sinyal lemah, anomali, dan akses yang tidak sesuai profil sebelum kerusakan menjadi operasional.
Kabar baiknya adalah fondasi awal tersebut sudah ada di banyak perusahaan. Pada tahun 2022, 74,4% perusahaan Italia dengan setidaknya 10 karyawan menerapkan setidaknya tiga langkah keamanan TIK, angka yang sejalan dengan rata-rata UE (74,0%) (ISTAT). Masalahnya adalah bahwa landasan yang meluas tersebut belum tentu berarti pertahanan yang lengkap. Jika pengendalian tetap terpisah-pisah, data dapat bocor melalui file lokal, cloud, email, perangkat pribadi, dan izin yang terlupakan. Di sinilah diperlukan pendekatan yang lebih praktis, yang berorientasi pada siklus hidup data dan pemantauan berkelanjutan, bukan hanya pada pencegahan.
Data yang paling penting untuk diingat adalah ini: 2.755 insiden siber di Italia pada semester pertama tahun 2025, angka tertinggi yang pernah tercatat, dengan kenaikan sebesar 36% dibandingkan akhir tahun 2024. Bagi sebuah UKM, pesannya bukanlah untuk hidup dalam kepanikan. Intinya adalah memandang risiko siber sebagai bagian yang tak terpisahkan dari operasional, setara dengan kelangsungan sistem manajemen atau ketersediaan email.
Banyak perusahaan Italia sudah memiliki sistem pengamanan dasar, tetapi sering kali menerapkannya secara tidak teratur. Firewall tidak dapat melindungi file yang dibagikan secara tidak benar, cadangan data tidak dapat melindungi akun dengan izin akses yang berlebihan, dan antivirus tidak dapat memperbaiki kesalahan konfigurasi di cloud. Akibatnya, sistem pertahanan tersebut tampak lengkap di atas kertas, tetapi justru meninggalkan celah masuk yang sangat nyata.
Keamanan sering kali gagal bukan karena kurangnya alat, melainkan karena kurangnya koordinasi antara alat, orang, dan proses.
UKM sangat rentan ketika pekerjaan tersebar di antara kantor, rumah, konsultan eksternal, dan perangkat pribadi. Dalam situasi seperti ini, serangan tidak perlu rumit untuk berhasil. Cukup dengan akses yang tidak dikelola dengan baik, sesi yang dibiarkan terbuka, atau file yang terlupa dibagikan di folder cloud.
Gagasan untuk hanya melindungi perbatasan jaringan tidak lagi efektif. Data berpindah, diduplikasi, dan digunakan kembali di berbagai sistem. Oleh karena itu, keamanan data perusahaan harus dipahami sebagai kemampuan untuk mengurangi permukaan serangan dan segera mendeteksi ketika ada sesuatu yang menyimpang dari pola normal.
Referensi yang berguna, bahkan bagi mereka yang sedang mempertimbangkan pilihan arsitektur dan kepatuhan, adalah analisis mengenai apakah NIS2 merupakan peluang atau hambatan. Pelajaran praktisnya adalah bahwa kepatuhan saja tidak cukup, karena data harus dilindungi secara berkelanjutan, bukan hanya didokumentasikan.
Sebagian besar insiden bermula dari kesalahan mendasar, bukan dari serangan yang canggih. Data tidak semuanya tersimpan di tempat yang sama, dan tidak dilindungi dengan cara yang sama. Sebuah file yang tersimpan di server, faktur yang dikirim melalui email, dan laporan yang terbuka di sistem manajemen memerlukan pengamanan yang berbeda, karena luasnya area yang terpapar, cara akses, dan kemungkinan penyalinan data tersebut berbeda-beda. Pembedaan antara data yang disimpan, data yang sedang dikirim, dan data yang sedang digunakan tetap menjadi titik awal yang paling berguna untuk menghindari pengamanan umum yang tampak kokoh namun cakupannya terbatas.
Data yang disimpan adalah data statis, baik yang berada di server lokal, repositori cloud, maupun cadangan. Yang penting di sini adalah enkripsi, kontrol akses, dan—jika diperlukan—teknik seperti de-identifikasi dan tokenisasi (Agenda Digital). Pertanyaan yang tepat bukanlah sekadar “apakah file-file tersebut sudah disimpan?”, melainkan “siapa yang dapat membukanya, menyalinnya, atau memindahkannya tanpa sepengetahuan kita?”.
Bagi sebuah UMKM, hal ini tercermin dalam langkah-langkah yang sangat konkret, dan seringkali dilema sesungguhnya terletak pada pilihan antara kesederhanaan operasional dan pengendalian yang ketat:
Jika sebuah arsip juga berisi versi lama, file ekspor, atau lampiran yang terlupakan, risikonya akan meningkat tanpa disadari oleh siapa pun. Dalam hal ini, pengelolaan data tersembunyi sama pentingnya dengan perlindungan file saat ini.
Data yang sedang dikirim adalah data yang berpindah antara pengguna, aplikasi, dan lokasi. Di sini diperlukan protokol yang aman seperti SFTP, HTTPS, SSH, dan TLS (Agenda Digital). Jika sebuah perusahaan mengirimkan daftar harga, data pelanggan, atau dokumen SDM, perlindungan tidak boleh hanya berhenti di server tujuan. Perlindungan tersebut juga harus mencakup proses pengiriman, karena di situlah terjadi penyadapan, kesalahan konfigurasi, dan penerusan yang tidak semestinya.
Data yang sedang digunakan adalah data yang terbuka di dalam aplikasi, peramban, dan sistem manajemen. Dalam konteks ini, prinsip hak akses minimal (least privilege) sangat penting, karena prinsip ini membatasi akses hanya kepada pengguna yang berwenang dan mengurangi dampak dari akun yang diretas (Agenda Digital). Jika seorang staf penjualan melihat data lebih dari yang diperlukan, risikonya bukan sekadar teoritis, melainkan operasional, karena setiap data tambahan yang terlihat berpotensi disalin, diekspor, atau dibagikan.
Aturan praktis: jika Anda tidak tahu status suatu data, Anda tidak benar-benar tahu cara melindunginya.
Pengawasan awal yang baik dilakukan dengan memetakan tiga hal: di mana data tersebut berada, siapa yang mengaksesnya, dan sistem apa saja yang memindahkannya. Dari situ, celah-celah keamanan langsung terlihat, yang seringkali lebih banyak terdapat pada izin akses dan alur data daripada pada perangkat lunak itu sendiri. Bagi sebuah UKM, hasilnya jelas: semakin sedikit risiko pada data yang tidak bergerak, semakin sedikit langkah yang tidak perlu pada data yang berpindah, dan semakin sedikit hak akses pada data yang digunakan setiap hari.
Data gelap adalah data yang terlupakan, terduplikasi, atau tidak terpakai yang menumpuk tanpa nilai operasional yang jelas. Banyak panduan membahas tentang pencadangan dan enkripsi, tetapi mengabaikan poin ini, karena cakupan risiko sering kali semakin luas bahkan sebelum perlindungan diterapkan. Ekspor lama, lampiran, salinan lokal, dan arsip proyek akhirnya tersebar di berbagai tempat, dan tidak ada yang tahu secara pasti di mana letaknya atau siapa yang menggunakannya. TechRadar Italia mengingatkan bahwa data ini juga dapat mencakup kekayaan intelektual dan informasi rahasia yang sensitif, serta bahwa pengelolaannya memerlukan pemahaman mengenai asal-usul, manipulasi, dan penggunaan data tersebut.
Kesalahan yang paling umum adalah menumpuk segala sesuatu “untuk berjaga-jaga”. Pada praktiknya, semakin banyak data yang Anda simpan, semakin banyak pula kemungkinan akses, titik-titik kesalahan, dan biaya tata kelola. Keamanan data perusahaan sering kali meningkat ketika Anda mengurangi data yang tidak lagi diperlukan, alih-alih hanya menambahkan kontrol-kontrol baru.
Bagi sebuah UKM, intinya bukan sekadar menata data. Yang terpenting adalah memutuskan data mana yang benar-benar layak disimpan secara online, mana yang harus dipindahkan ke arsip, dan mana yang harus dihapus dari sistem aktif sebelum menimbulkan masalah terkait paparan data atau kepatuhan.
Panduan EDPB untuk usaha kecil menekankan pentingnya minimalisasi data, pseudonimisasi atau anonimisasi, peninjauan berkala atas izin, dan enkripsi (EDPB). Langkah yang sering terlewatkan di perusahaan adalah mengimplementasikan prinsip-prinsip ini ke dalam proses pengelolaan siklus hidup data untuk data yang jarang digunakan atau terlupakan, dengan aturan yang jelas mengenai penyimpanan, pengarsipan, dan penghapusan.
Kriteria sederhana lebih efektif daripada aturan yang abstrak. Jika suatu data tidak diperlukan untuk proses yang sedang berjalan, kewajiban hukum, atau pemulihan operasional yang telah ditentukan, data tersebut harus dihapus atau diarsipkan dengan cara yang terkendali. Sebaliknya, jika data tersebut benar-benar diperlukan untuk bisnis, data tersebut harus tetap disimpan dengan kepemilikan yang jelas dan ditinjau secara berkala.
Dalam proyek-proyek yang saya tangani, pendekatan praktis ini mencegah perdebatan tak berujung mengenai berkas-berkas “yang mungkin berguna”. Ketika sebuah folder tetap terbuka hanya karena kebiasaan, risikonya bukanlah sekadar teori. Setiap salinan tambahan memperluas jumlah orang yang dapat melihat, mengekspor, atau meneruskannya, dan setiap arsip yang tidak terkelola dengan baik membuat semakin sulit untuk melacak ke mana data sensitif tersebut berakhir.
Kamu bisa menggunakan urutan berikut ini:
Keuntungannya di sini ada dua. Anda mengurangi risiko paparan dan mempermudah upaya perlindungan terhadap hal-hal yang benar-benar penting. UKM yang mengambil langkah ini sering kali menyadari bahwa sebagian dari masalahnya bukanlah kurangnya perlindungan, melainkan banyaknya data yang dibiarkan beredar tanpa alasan yang jelas.
Pertahanan yang efektif tidak berasal dari alat-alat yang tersebar, melainkan dari sistem pengendalian yang saling melengkapi. Di perusahaan UKM yang saya dampingi, langkah-langkah paling berguna tetaplah yang berfokus pada penutupan sesi secara otomatis, firewall dan antivirus yang selalu diperbarui, pencadangan data yang aman, pengenal unik, pencabutan izin yang sudah tidak berlaku, serta pemeriksaan akses secara berkala. Prinsipnya sederhana. Setiap langkah yang diambil secara terpisah memang membantu, tetapi lompatan nyata terjadi ketika satu langkah menutupi titik buta dari langkah lainnya.
Logika “defense in depth” berfungsi ketika setiap lapisan mengimbangi keterbatasan lapisan sebelumnya. Enkripsi melindungi konten meskipun sebuah file keluar dari batas yang diharapkan, pencadangan berfungsi untuk memulihkan sistem tanpa menghentikan aktivitas, DLP mengurangi kebocoran data yang tidak sah, MFA mempersulit penyalahgunaan kredensial, pengelolaan akses membatasi hak istimewa, danpenguatan sistem (hardening) mengurangi area yang rentan. Jika salah satu lapisan ini hilang, pertahanan akan menjadi lebih rapuh daripada yang terlihat.
Inti praktisnya terletak pada integrasi, bukan pada daftar. Dokumentasi yang dirujuk dalam sumber tersebut menekankan bahwa perlindungan data sensitif harus diperluas dari lingkungan Microsoft 365 ke layanan SaaS, cloud, dan repositori lokal melalui klasifikasi dan pencegahan kebocoran data (DNCSRL). Bagi sebuah UKM, ini merupakan poin yang penting, karena saat ini data yang berguna untuk pekerjaan tidak hanya tersimpan dalam satu sistem saja dan sering berpindah antar aplikasi yang tidak dirancang untuk berkomunikasi secara aman satu sama lain.
Perlindungan perusahaan berbasis Zero Trust sangat membantu dalam hal ini. Setiap akses harus diverifikasi dalam konteks yang tepat, dengan mempertimbangkan identitas, perangkat, lokasi, dan tingkat risiko, sehingga izin akses tidak tetap berlaku hanya karena seseorang sudah berada di dalam jaringan.
Dalam model kerja hybrid, masalahnya bukan hanya soal akses jarak jauh, melainkan juga banyaknya perangkat yang terlibat. Panduan EDPB untuk UKM menyarankan kebijakan mengenai kerja jarak jauh, perlindungan perangkat pribadi, VPN, penguncian sesi otomatis, dan penghapusan akses yang sudah tidak berlaku. Bagi banyak perusahaan, inti masalahnya lebih bersifat budaya daripada teknis. Aturan yang dirancang untuk komputer di kantor diterapkan pada konteks kerja yang tersebar, lalu mereka terkejut ketika sistem pengendalian tidak berfungsi sebagaimana mestinya.
Laptop pribadi tidak boleh diperlakukan sebagai bagian tak terpisahkan dari jaringan perusahaan. Laptop tersebut harus dikelola sebagai titik masuk, dengan kriteria yang jelas mengenai enkripsi, pembaruan, akses, dan pemisahan profil.
Bagi mereka yang harus memutuskan dari mana memulainya, prioritasnya bukanlah mengumpulkan alat-alat. Cadangan data yang dibuat dengan baik tetap berguna, tetapi tidak dapat menggantikan izin akses yang tidak teratur atau kredensial yang dibiarkan aktif terlalu lama. Keamanan data perusahaan benar-benar terjamin ketika sistem pengendalian saling terintegrasi dan ketika lingkup keamanannya juga mencakup data yang terlupakan—data yang sering kali luput dari pengawasan dan menimbulkan risiko yang paling sulit dideteksi.
Kecerdasan buatan mengubah cara Anda memandang data, karena mengalihkan fokus dari aturan baku ke perilaku. Di perusahaan kecil dan menengah (UKM), hal ini sangat berharga, mengingat pola-pola anomali sering kali luput dari perhatian di tengah aktivitas normal pengguna, pemasok, dan konsultan. ELECTE, sebuah platform analitik data berbasis kecerdasan buatan untuk UKM, berfokus pada analisis otomatis dan deteksi anomali, sebuah pendekatan yang sangat sesuai dalam konteks pemantauan berkelanjutan.
Keamanan tradisional sering kali didasarkan pada ambang batas, tanda tangan, dan aturan yang sudah diketahui. Hal ini memang cocok untuk banyak situasi, tetapi menjadi kurang efektif ketika perilaku berubah secara halus. Sebaliknya, sistem AI dapat mendeteksi akses yang tidak biasa, jam akses yang tidak wajar, volume aktivitas yang tidak sesuai profil, atau kombinasi peristiwa yang, jika dilihat secara terpisah, tampak tidak berbahaya.
Manfaat praktisnya bukanlah untuk menggantikan tim TI, melainkan untuk membantu mereka mengantisipasi masalah lebih awal. Ketika data berasal dari berbagai sumber, seperti CRM, ERP, cloud, dan log akses, pemantauan manual cenderung bersifat reaktif. AI memudahkan peralihan ke pemantauan sinyal secara berkelanjutan.
Bagi sebuah UMKM, penggunaan dana yang bermanfaat bersifat sangat praktis:
Analisis serupa ini juga sangat relevan dengan tema pengelolaan lonjakan dan penurunan dalam data, karena logika yang sama yang membantu mengidentifikasi anomali bisnis juga dapat membantu mengenali anomali keamanan. Intinya adalah memiliki platform yang tidak hanya menyimpan data, tetapi juga memantaunya secara aktif.
Ketika pemantauan dilakukan secara berkelanjutan, keamanan data perusahaan tidak lagi sekadar upaya mengejar insiden yang sudah terjadi. Hal ini berubah menjadi kemampuan untuk mendeteksi penyimpangan-penyimpangan kecil, sebelum penyimpangan tersebut berkembang menjadi masalah akses atau kehilangan informasi.
Rencana yang efektif untuk UMKM harus bersifat bertahap, bukan sekadar ideal. Perusahaan yang benar-benar berhasil meningkatkan kinerjanya memulai dengan beberapa langkah yang sangat efektif, lalu mengkonsolidasikan sisanya. Prioritasnya adalah menata sistem terlebih dahulu sebelum menambahkan alat baru, karena sistem keamanan akan bekerja lebih baik jika peran, data, dan akses sudah terorganisir dengan baik.
Dalam waktu seminggu, fokuskan pekerjaan Anda pada hal-hal yang dapat segera mengurangi paparan.
Pada bulan berikutnya, fokuslah pada struktur dan pengendalian.
Dalam waktu tiga bulan, ia berupaya mewujudkan keamanan yang dapat diulang.
Pengawasan yang paling bermanfaat bukanlah yang sempurna, melainkan yang benar-benar dapat dijalankan seseorang setiap minggu.
Jika Anda menginginkan indikator yang sederhana, ukur jumlah akses yang tidak sah yang telah dihapus, keberhasilan pemulihan, dan seberapa cepat suatu anomali sampai ke perhatian pihak yang berwenang untuk menanganinya. Hal-hal tersebut merupakan indikator yang jauh lebih berguna daripada daftar periksa yang hanya diisi sekali saja.
Keamanan data perusahaan berjalan efektif jika tidak mengganggu alur kerja, melainkan mendukungnya. Di kantor penjualan, misalnya, tim dapat berbagi penawaran dan daftar harga di lingkungan yang diklasifikasikan, dengan akses yang dicabut begitu kolaborasi berakhir. Di bagian administrasi, dokumen sensitif hanya dapat diakses oleh mereka yang benar-benar perlu mengolahnya, sedangkan di bagian operasional, data produksi atau logistik dipantau tanpa harus melalui pemeriksaan manual yang terus-menerus.
Perbedaan itu terletak pada budaya internal. Jika karyawan memandang keamanan sebagai hambatan, mereka akan mengabaikan aturan. Sebaliknya, jika mereka memandangnya sebagai cara untuk menghindari kendala, kesalahan, dan pemborosan waktu, mereka akan lebih mudah menerimanya. Di sini diperlukan bahasa yang sederhana, contoh-contoh konkret, dan pembagian tanggung jawab, bukan sekadar prosedur yang tersimpan di laci.
Tujuannya bukanlah agar semua hal terlihat oleh tim TI, melainkan agar semuanya dapat dikelola dengan baik. Perusahaan yang meraih hasil terbaik memperlakukan data sebagai aset operasional, dengan sistem pengendalian yang memberikan perlindungan tanpa memperlambat siklus penjualan, penagihan, atau layanan pelanggan.
ELECTE membantu UMKM mengubah data mentah menjadi informasi yang mudah dipahami, melalui analisis otomatis dan deteksi anomali yang juga berguna untuk pemantauan keamanan secara berkelanjutan. Jika Anda ingin memiliki kontrol yang lebih besar atas aliran informasi Anda dan melihat bagaimana pendekatan berbasis kecerdasan buatan (AI) dapat mendukung tata kelola dan deteksi anomali, kunjungi ELECTE dan pertimbangkan cara mengintegrasikannya ke dalam proses Anda.
.svg)
.svg)
.svg)
