Pentingnya Keamanan Data 70% Serangan Siber Berawal dari Satu Klik Staf HR

Lebih dari 70 persen serangan siber ke perusahaan besar berawal dari email phishing yang menyasar staf HR. Alasannya sederhana: tim HR memegang dokumen paling sensitif di perusahaan, mulai dari data pajak, kontrak kerja, hingga informasi gaji karyawan. Bagi penyerang, satu klik keliru dari staf HR bisa menjadi pintu masuk ke seluruh data perusahaan.

Pada 2020, sekitar 91 juta data pengguna dan karyawan Tokopedia diduga diretas dan dijual di dark web. Insiden ini menjadi salah satu pengingat paling mahal di Indonesia bahwa data yang dikelola tim HR bukan sekadar catatan administratif, melainkan target bernilai tinggi bagi penyerang.

Data karyawan adalah salah satu aset paling sensitif yang dikelola perusahaan. Nomor identitas, data gaji, rekening bank, catatan kinerja, hingga informasi keluarga terkumpul dalam satu sistem. Ketika perusahaan beralih ke HRIS dan mulai memanfaatkan HR analytics untuk pengambilan keputusan, nilai data itu naik, dan begitu juga risikonya. Pertanyaannya bukan lagi apakah data HR perlu dilindungi, melainkan seberapa siap sistem Anda menghadapi ancaman yang semakin canggih.

Artikel ini merangkum temuan dua riset akademik terbaru tentang keamanan sistem informasi HR, lalu menghubungkannya dengan kewajiban hukum yang kini berlaku penuh di Indonesia melalui UU Pelindungan Data Pribadi.

Pelajaran keamanan data dari kebocoran Tokopedia 2020

Studi Maulidar, Wanda, dan Hijriatin (2025) yang dipublikasikan di International Journal of Engineering, Science and Information Technology meneliti kesadaran keamanan siber di departemen HR Tokopedia setelah insiden kebocoran 2020. Menggunakan pendekatan studi kasus kualitatif melalui wawancara mendalam, observasi, dan analisis dokumen, riset ini menemukan pola yang relevan bagi hampir semua perusahaan di Indonesia.

Setelah insiden tersebut, Tokopedia memperketat kebijakan keamanannya, termasuk penerapan multi-factor authentication (MFA) dan enkripsi data. Namun studi menemukan tiga tantangan yang tetap bertahan: kepatuhan karyawan terhadap protokol keamanan yang belum konsisten, kompleksitas implementasi kebijakan, dan pemahaman terhadap ancaman siber yang masih terbatas. Dengan kata lain, teknologi keamanan yang baik saja tidak cukup jika tidak diimbangi budaya dan kesadaran karyawan.

Angka yang perlu diperhatikan

Riset Maulidar dkk. (2025) merangkum sejumlah data yang menegaskan skala persoalan ini:

• Lebih dari 60 persen organisasi pernah mengalami insiden keamanan data karyawan akibat serangan siber.
• Lebih dari 30 persen kebocoran data terjadi karena ancaman internal (insider threat), baik disengaja maupun tidak.
• Sekitar 40 persen kebocoran data korporat disebabkan kelalaian karyawan, seperti berbagi kredensial login atau memakai perangkat tidak aman.
• Lebih dari 70 persen serangan siber ke perusahaan besar berawal dari email phishing yang menyasar staf HR, karena mereka kerap menangani dokumen sensitif seperti data pajak dan kontrak kerja.
• Hanya sekitar 35 persen karyawan yang secara aktif mengikuti panduan keamanan siber perusahaan.

Kabar baiknya, langkah pencegahan terbukti berdampak besar. Grafik berikut merangkum estimasi penurunan risiko dari berbagai langkah keamanan, berdasarkan studi yang dikutip dalam riset tersebut.

Pelatihan keamanan rutin dilaporkan menurunkan risiko phishing dan social engineering hingga 80 persen, penerapan Zero Trust Architecture menurunkan risiko keamanan siber hingga 55 persen, dan pemanfaatan AI untuk deteksi ancaman menurunkan risiko kebocoran hingga 65 persen dalam tiga tahun pertama. Perlu dicatat bahwa angka-angka ini berasal dari studi yang berbeda dan mengukur jenis risiko yang berbeda, sehingga sebaiknya dibaca sebagai indikasi arah, bukan jaminan pasti.

Ancaman nyata terhadap sistem informasi HR

Riset kedua, oleh Aduwo, Akonobi, dan Makata (2024) di International Journal of Scientific Research in Humanities and Social Sciences, menganalisis 47 studi kasus organisasi dan mewawancarai 23 profesional keamanan siber yang berfokus pada teknologi HR. Kesimpulan utamanya jelas: pendekatan keamanan tradisional tidak lagi memadai untuk melindungi ekosistem data tenaga kerja modern.

Menurut studi tersebut, platform HR analytics menghadapi ancaman yang berlapis, antara lain akses tidak sah terhadap data pribadi, kebocoran yang menyasar catatan kepegawaian, ancaman dari pengguna internal berhak istimewa, serta pelanggaran kepatuhan terhadap regulasi privasi. Dua riset ini saling menguatkan pada satu titik: ancaman internal dan faktor manusia sama berbahayanya dengan serangan dari luar.

Baca Juga : Keamanan Data Karyawan: Mengapa HRIS Wajib Pakai Enkripsi Setara Bank

Titik lemah yang sering terabaikan

Studi Aduwo dkk. (2024) mengidentifikasi sejumlah kerentanan yang umum ditemukan pada sistem informasi HR saat ini:

• Protokol enkripsi yang belum memadai
• Kontrol akses yang longgar
• Mekanisme autentikasi yang lemah
• Kemampuan jejak audit (audit trail) yang terbatas

Empat celah ini terdengar teknis, tetapi dampaknya sangat bisnis. Tanpa enkripsi yang benar, data gaji bisa terbaca saat berpindah antar sistem. Tanpa kontrol akses yang granular, seorang staf bisa melihat data yang tidak relevan dengan tugasnya. Tanpa audit trail, perusahaan tidak akan tahu siapa mengakses apa ketika insiden terjadi.

Faktor manusia: budaya keamanan Data sama pentingnya dengan teknologi

Salah satu benang merah kedua riset adalah bahwa kebijakan keamanan yang ketat sering gagal bukan karena teknologinya, melainkan karena rendahnya kepatuhan pengguna. Karyawan kerap menganggap protokol keamanan seperti penggantian kata sandi berkala sebagai penghambat produktivitas, sehingga memilih jalan pintas yang berisiko.

Maulidar dkk. (2025) merekomendasikan beberapa langkah untuk mengatasi hal ini:

• Pelatihan interaktif dan berbasis praktik, bukan sekadar teori, termasuk pendekatan gamifikasi untuk meningkatkan keterlibatan dan retensi pengetahuan karyawan.
• Keterlibatan manajemen senior, karena kepatuhan meningkat ketika pimpinan menunjukkan komitmen nyata terhadap keamanan data.
• Sistem insentif dan pengakuan bagi karyawan yang disiplin menerapkan kebijakan keamanan.
• Audit keamanan berkala untuk mengidentifikasi celah sebelum dieksploitasi.

Intinya, keamanan data adalah tanggung jawab bersama, bukan hanya urusan departemen IT.

Lima dimensi kerangka kepatuhan yang perlu dibangun

Sebagai solusi teknis, Aduwo dkk. (2024) mengusulkan kerangka yang mengintegrasikan prinsip arsitektur zero-trust, enkripsi tingkat lanjut, kontrol akses berbasis peran (role-based access control), pemantauan berkelanjutan, dan pelaporan kepatuhan otomatis. Kerangka itu berdiri di atas lima dimensi inti:

1. Infrastruktur keamanan teknis, termasuk enkripsi menyeluruh untuk setiap transmisi data HR.
2. Penyelarasan kepatuhan terhadap regulasi, agar sistem mengikuti aturan yang berlaku.
3. Struktur tata kelola organisasi, sehingga tanggung jawab keamanan jelas pemiliknya.
4. Manajemen hak privasi karyawan, memastikan hak pemilik data terpenuhi.
5. Protokol respons insiden, untuk bertindak cepat dan terukur saat terjadi pelanggaran.

Dalam implementasi percontohan pada studi tersebut, organisasi melaporkan penurunan insiden keamanan hingga 78 persen, peningkatan skor kepatuhan regulasi sekitar 85 persen, dan peningkatan tingkat kepercayaan karyawan terhadap perlindungan privasi hingga 92 persen. Angka terakhir penting: keamanan data yang baik bukan hanya soal menghindari denda, tetapi juga membangun kepercayaan karyawan terhadap perusahaan.

Konteks Indonesia: UU PDP bukan lagi wacana

Bagi perusahaan di Indonesia, kerangka di atas beririsan langsung dengan kewajiban hukum. Kedua riset menyoroti Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), yang mewajibkan perusahaan melindungi data karyawan dari kebocoran dan penyalahgunaan. Masa transisi dua tahunnya telah berakhir pada Oktober 2024, sehingga kewajibannya kini berlaku penuh.

Beberapa poin yang paling relevan bagi pengelola data HR:

• Sanksi administratif dapat mencapai 2 persen dari pendapatan tahunan perusahaan, di luar sanksi lain seperti penghentian pemrosesan data.
• Kewajiban pemberitahuan kebocoran kepada pemilik data dan otoritas dalam waktu 3×24 jam sejak insiden diketahui.
• Prinsip pembatasan akses dan tujuan pemrosesan, yang secara praktis menuntut kontrol akses berbasis peran dan jejak audit, dua hal yang persis disebut sebagai titik lemah dalam riset di atas.
• Potensi kewajiban menunjuk Pejabat Pelindungan Data Pribadi dalam kondisi tertentu.

Dengan kata lain, membangun keamanan HR yang layak bukan lagi pilihan strategis semata, melainkan bagian dari kepatuhan yang bisa berujung sanksi finansial jika diabaikan.

Checklist: yang harus Anda tuntut dari penyedia HRIS

Sebelum memercayakan data karyawan ke sebuah sistem, pastikan penyedia HRIS Anda dapat menjawab hal-hal berikut:

• Apakah data dienkripsi, baik saat disimpan maupun saat dikirim antar sistem?
• Apakah tersedia multi-factor authentication dan kontrol akses berbasis peran, sehingga setiap pengguna hanya melihat data yang relevan dengan tugasnya?
• Apakah ada jejak audit yang mencatat siapa mengakses dan mengubah data, serta kapan?
• Bagaimana prosedur respons insiden dan pemberitahuan kebocoran, dan apakah sesuai tenggat 3×24 jam UU PDP?
• Apakah data diproses dan disimpan sesuai ketentuan yang berlaku di Indonesia?
• Apakah penyedia melakukan pemantauan berkelanjutan untuk mendeteksi aktivitas mencurigakan?
• Apakah penyedia mendukung edukasi dan praktik keamanan yang mudah diterapkan tim HR Anda sehari-hari?

Jika penyedia kesulitan menjawab pertanyaan-pertanyaan ini, data karyawan Anda mungkin lebih terekspos daripada yang Anda kira.

Keamanan data adalah fondasi, bukan fitur tambahan

Di Smart Salary, kami memandang keamanan data karyawan sebagai fondasi produk, bukan pelengkap. Prinsip yang sama dengan temuan kedua riset di atas, mulai dari kontrol akses yang ketat, enkripsi, jejak audit, hingga dukungan terhadap budaya keamanan, menjadi acuan dalam cara kami mengelola data HR dan payroll pelanggan agar tetap selaras dengan UU PDP.

Aplikasi HRIS Smart Salary menyatukan seluruh perjalanan karyawan, mulai dari onboarding, absensi, manajemen talenta, hingga resignasi, dalam satu platform terpusat yang terhubung langsung dengan payroll. Artinya, data sensitif karyawan tidak lagi tersebar di berbagai spreadsheet dan folder yang sulit dikontrol, melainkan dikelola dalam satu sistem dengan akses yang jelas siapa boleh melihat apa. Semakin sedikit tempat data berpindah tangan, semakin kecil pula celah kebocorannya.

Jika Anda sedang mengevaluasi sistem HR untuk perusahaan Anda, jadikan keamanan data dan kepatuhan sebagai kriteria utama, setara dengan fitur dan harga. Gunakan checklist di atas sebagai bahan pertanyaan Anda, lalu jadwalkan demo dengan tim Smart Salary dan buktikan sendiri jawabannya. Data karyawan yang aman adalah kepercayaan yang Anda jaga.

FAQ Seputar Keamanan Data Karyawan

Apa itu keamanan data karyawan dan kenapa penting bagi perusahaan?

Keamanan data karyawan adalah upaya melindungi informasi sensitif seperti nomor identitas, data gaji, rekening bank, dan catatan kinerja dari akses tidak sah, kebocoran, dan penyalahgunaan. Ini penting karena data HR adalah target bernilai tinggi bagi penyerang — lebih dari 60 persen organisasi pernah mengalami insiden keamanan data karyawan — dan kebocorannya bisa berujung sanksi hukum serta hilangnya kepercayaan karyawan.

Kenapa tim HR sering menjadi target serangan siber?

Karena tim HR memegang dokumen paling sensitif di perusahaan, mulai dari data pajak, kontrak kerja, hingga informasi gaji. Riset menunjukkan lebih dari 70 persen serangan siber ke perusahaan besar berawal dari email phishing yang menyasar staf HR. Bagi penyerang, satu klik keliru dari staf HR bisa menjadi pintu masuk ke seluruh data perusahaan.

Apa saja ancaman terbesar terhadap keamanan data di sistem HR?

Ancamannya berlapis: phishing dan social engineering dari luar, ancaman internal (insider threat) yang menyumbang lebih dari 30 persen kebocoran, serta kelalaian karyawan seperti berbagi kredensial login yang menyebabkan sekitar 40 persen kebocoran data korporat. Di sisi sistem, kerentanan umum meliputi enkripsi yang belum memadai, kontrol akses yang longgar, autentikasi lemah, dan jejak audit yang terbatas.

Apa kewajiban perusahaan menurut UU PDP terkait data karyawan?

UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan perusahaan melindungi data karyawan dari kebocoran dan penyalahgunaan. Kewajiban ini berlaku penuh sejak masa transisi berakhir pada Oktober 2024. Poin pentingnya: sanksi administratif hingga 2 persen dari pendapatan tahunan, kewajiban pemberitahuan kebocoran dalam 3×24 jam, prinsip pembatasan akses, serta potensi kewajiban menunjuk Pejabat Pelindungan Data Pribadi dalam kondisi tertentu.

Bagaimana cara meningkatkan keamanan data karyawan di perusahaan?

Kombinasikan teknologi dan budaya. Dari sisi teknologi: terapkan enkripsi menyeluruh, multi-factor authentication, kontrol akses berbasis peran, dan jejak audit. Dari sisi manusia: pelatihan keamanan rutin yang interaktif (terbukti menurunkan risiko phishing hingga 80 persen), keterlibatan manajemen senior, sistem insentif bagi karyawan yang disiplin, dan audit keamanan berkala.

Apa saja kriteria HRIS yang aman untuk data karyawan?

Minimal, penyedia HRIS harus bisa membuktikan: enkripsi data saat disimpan dan dikirim, MFA dan kontrol akses berbasis peran, jejak audit yang lengkap, prosedur respons insiden yang sesuai tenggat 3×24 jam UU PDP, pemrosesan data sesuai ketentuan di Indonesia, pemantauan berkelanjutan, dan dukungan edukasi keamanan data untuk tim HR.

Referensi

Aduwo, M. O., Akonobi, A. B., & Makata, C. O. (2024). Cybersecurity and Data Privacy Compliance Framework for Human Resource Analytics and Digital Workforce Information Systems. International Journal of Scientific Research in Humanities and Social Sciences, 1(2), 562–593. https://doi.org/10.32628/IJSRSSH242658

Maulidar, Wanda, E., & Hijriatin, M. (2025). Cybersecurity Awareness in HR: Protecting Employee Data in the Digital Era. International Journal of Engineering, Science and Information Technology, 5(2), 237–242. https://doi.org/10.52088/ijesty.v5i2.819

Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.