Daftar tips keamanan siber biasanya panjang, dan justru itu masalahnya. Ketika dua puluh saran disajikan dengan bobot yang terlihat sama, yang terjadi bukan dua puluhnya dikerjakan, melainkan tidak ada satu pun yang dikerjakan sampai selesai.
Delapan langkah berikut diurutkan menurut seberapa besar pengurangan risikonya, bukan menurut seberapa mudah dikerjakan. Bila hanya sempat mengerjakan tiga yang pertama, tiga itu sudah menutup sebagian besar cara orang kehilangan akun dan datanya.
1. Nyalakan autentikasi dua faktor
Ini satu-satunya langkah yang layak dikerjakan hari ini juga bila tidak ada waktu untuk yang lain. Alasannya sederhana: kata sandi bocor jauh lebih sering daripada yang orang kira, dan biasanya bukan karena kelalaian pemiliknya — melainkan karena ada layanan lain yang datanya bocor, lalu daftar kata sandi itu dicoba ke mana-mana.
Dengan faktor kedua yang aktif, kata sandi yang benar saja tidak cukup untuk masuk. Urutan yang perlu didahulukan:
- Akun surel utama. Ini yang paling penting, karena hampir semua akun lain memulihkan kata sandinya lewat surel. Siapa yang menguasai surel Anda praktis menguasai sisanya.
- Akun perbankan dan pembayaran.
- Akun kerja — surel kantor, penyimpanan berkas, dan akses jarak jauh ke jaringan.
- Media sosial, terutama yang terhubung ke nama organisasi.
2. Berhenti memakai ulang kata sandi
Kata sandi yang sama di beberapa layanan berarti satu kebocoran di layanan paling remeh membuka akses ke layanan paling penting. Ini persis cara kerja serangan yang mencoba kredensial bocor secara massal, dan tingkat keberhasilannya cukup tinggi justru karena kebiasaan memakai ulang begitu lazim.
Saran yang lebih berguna daripada “buat kata sandi yang rumit”: buat yang panjang. Empat kata acak yang tidak berhubungan jauh lebih sulit ditebak mesin sekaligus jauh lebih mudah diingat manusia daripada delapan karakter penuh simbol yang akhirnya ditulis di kertas tempel.
Untuk akun kerja yang jumlahnya banyak, pengelola kata sandi menyelesaikan persoalan ini sekaligus — Anda hanya perlu mengingat satu kata sandi utama, dan sisanya dibuatkan berbeda-beda secara acak.
3. Nyalakan pembaruan otomatis
Sebagian besar serangan terhadap perangkat pribadi tidak memakai celah yang baru ditemukan. Mereka memakai celah yang tambalannya sudah terbit berbulan-bulan lalu, pada perangkat yang belum memasangnya.
Yang perlu dinyalakan pembaruan otomatisnya: sistem operasi komputer dan ponsel, peramban, dan aplikasi perkantoran. Menunda pembaruan sesekali karena sedang mengejar tenggat itu wajar; yang berbahaya adalah menunda terus sampai lupa.
4. Kenali cara kerja phishing, bukan cuma cirinya
Nasihat lama “jangan klik tautan mencurigakan” sudah tidak banyak menolong, karena pesan phishing sekarang jarang terlihat mencurigakan. Bahasanya rapi, logonya benar, dan alamat pengirimnya menyerupai yang asli.
Yang lebih dapat diandalkan adalah mengenali polanya. Hampir semua pesan phishing memuat dua unsur ini sekaligus:
- Desakan waktu. Akun akan diblokir hari ini, pembayaran harus dikonfirmasi sekarang, dokumen kedaluwarsa dalam dua jam. Tujuannya membuat Anda bertindak sebelum sempat berpikir.
- Permintaan yang menyimpang dari kebiasaan. Atasan meminta transfer lewat pesan singkat, bagian keuangan meminta kata sandi, atau vendor tiba-tiba mengirim nomor rekening baru.
Penangkalnya satu kalimat: untuk apa pun yang mendesak dan menyangkut uang atau akses, verifikasi lewat jalur yang berbeda. Telepon ke nomor yang sudah Anda simpan sebelumnya, bukan ke nomor yang tercantum di pesan itu. Kebiasaan ini menggagalkan hampir seluruh upaya penipuan bergaya “atasan meminta transfer”.
5. Buat cadangan yang benar-benar terpisah
Cadangan adalah satu-satunya hal yang bekerja ketika semua lapisan lain gagal — perangkat hilang, terkena ransomware, atau rusak tanpa peringatan.
Syaratnya cuma satu, tapi sering luput: harus ada salinan yang tidak ikut terkena bila perangkat utamanya bermasalah. Cadangan yang tersimpan di komputer yang sama, atau di penyimpanan jaringan yang selalu terhubung, akan ikut terenkripsi bersama data aslinya saat terjadi serangan.
6. Kunci layar dan enkripsi penyimpanan
Dua langkah ini menjawab risiko yang paling sederhana dan paling sering terjadi: perangkat hilang atau tertinggal.
Kunci layar otomatis setelah beberapa menit menganggur mencegah orang lain memakai perangkat yang ditinggal sebentar di meja. Enkripsi penyimpanan — BitLocker di Windows, FileVault di macOS, dan bawaan di ponsel modern — memastikan isi perangkat tidak bisa dibaca meski penyimpanannya dibongkar dan dipasang ke komputer lain.
Untuk perangkat kerja yang dibawa pulang atau ke lokasi pelanggan, keduanya bukan tambahan melainkan syarat dasar. Laptop berisi data pelanggan yang hilang tanpa enkripsi bukan sekadar kehilangan aset; itu insiden kebocoran data dengan kewajiban pelaporan tersendiri.
7. Pisahkan akun administrator dari akun harian
Di komputer, memakai akun beradministrasi penuh untuk pekerjaan sehari-hari berarti apa pun yang berjalan di komputer itu ikut memegang wewenang penuh — termasuk yang berjalan tanpa Anda kehendaki.
Akun harian yang tidak beradministrasi membuat pemasangan perangkat lunak memerlukan persetujuan tambahan. Sedikit lebih merepotkan, dan justru kerepotan sesaat itulah yang menahan sebagian besar pemasangan yang tidak disengaja.
Prinsip yang sama berlaku di sisi organisasi, dengan taruhan yang jauh lebih besar. Pembahasannya ada di tips mengamankan server dari serangan siber.
8. Bereskan akun dan aplikasi yang tidak dipakai
Langkah terakhir ini paling sering diabaikan karena tidak terasa mendesak, padahal ia mengurangi luas permukaan yang bisa diserang.
- Akun layanan yang sudah tidak dipakai. Terutama yang memakai kata sandi lama Anda, dan yang tidak pernah dinyalakan autentikasi dua faktornya. Akun terlupakan di layanan yang kemudian bocor adalah sumber kredensial untuk menyerang akun lain.
- Aplikasi yang lama tidak dibuka. Aplikasi yang tidak dipakai tetap memegang izin yang dulu diberikan, dan tidak ada yang memperhatikan ketika ia berhenti menerima pembaruan.
- Akun bekas karyawan. Ini pekerjaan organisasi, bukan pribadi, dan termasuk yang paling sering tertinggal. Akun yang masih hidup setelah orangnya keluar adalah pintu masuk yang tidak diawasi siapa pun.
Untuk perusahaan, butir terakhir sebaiknya jadi bagian tetap dari prosedur ketika ada karyawan berhenti — sejajar dengan pengembalian kartu akses dan perangkat kerja.
Kalau harus memilih tiga
| Langkah | Waktu yang dibutuhkan | Yang ditutupnya |
|---|---|---|
| Autentikasi dua faktor di surel utama | Sekitar sepuluh menit | Pengambilalihan akun lewat kata sandi bocor |
| Pembaruan otomatis di semua perangkat | Sekitar dua puluh menit | Serangan lewat celah yang tambalannya sudah lama terbit |
| Cadangan terpisah yang pernah diuji | Satu sore untuk menyiapkan | Ransomware, kerusakan perangkat, dan kehilangan |
Ketiganya bisa diselesaikan dalam satu hari kerja, dan tidak satu pun memerlukan pembelian. Sisanya bisa menyusul secara bertahap.
Penutup
Keamanan siber untuk perangkat sehari-hari tidak ditentukan oleh perangkat lunak mahal. Ia ditentukan oleh beberapa kebiasaan yang dijalankan konsisten — faktor kedua yang aktif, perangkat yang selalu diperbarui, cadangan yang pernah diuji, dan naluri untuk memverifikasi lewat jalur lain ketika ada permintaan mendesak.
Bila hanya satu yang bisa dikerjakan setelah membaca ini, nyalakan autentikasi dua faktor di akun surel utama Anda. Sepuluh menit, dan itu menutup jalur yang paling banyak dipakai orang untuk kehilangan seluruh akunnya sekaligus.
Pertanyaan yang sering diajukan
Autentikasi dua faktor pada akun surel utama. Hampir semua akun lain memulihkan kata sandinya lewat surel, sehingga akun surel yang jatuh praktis membuka seluruh akun lainnya. Pemasangannya memakan sekitar sepuluh menit.
Panjang lebih menentukan daripada rumit. Empat kata acak yang tidak berhubungan lebih sulit ditebak mesin sekaligus lebih mudah diingat manusia daripada delapan karakter penuh simbol. Yang paling berbahaya bukan kata sandi sederhana, melainkan kata sandi yang dipakai ulang di banyak layanan.
Jauh lebih baik daripada tidak sama sekali, tapi bisa dibajak lewat pengambilalihan nomor telepon. Bila layanannya menyediakan pilihan aplikasi autentikator, pilih itu — kodenya dibuat di perangkat Anda sendiri tanpa melewati jaringan operator.
Cukup sekali dalam beberapa bulan, dan tidak perlu memulihkan semuanya. Memulihkan satu berkas saja sudah membuktikan prosesnya bekerja, sekaligus memberi gambaran berapa lama waktu yang dibutuhkan bila suatu saat harus memulihkan seluruhnya.